Sophos Mobile on Premise Benutzerhandbuch
Advertentie
Advertentie
Sophos Mobile on Premise
Administratorhilfe
Produktversion: 8.1
Inhalt
(2018/03/27)
(2018/03/27)
Benutzer für Android Enterprise verwalten (Szenario „Managed Google Domain“).................. 299
(2018/03/27)
Sophos Mobile on Premise
1 Über diese Hilfe
Diese Hilfe erläutert die Verwendung von Sophos Mobile Admin.
Weitere Informationen finden Sie in folgenden Dokumenten:
• Eine Installationsbeschreibung für Sophos Mobile finden Sie im Dokument Sophos Mobile
Installationsanleitung . Dieses Dokument ist nicht relevant für Sophos Mobile as a Service.
• Informationen zur Benutzung von Sophos Mobile Admin als Superadministrator für die
Kundenverwaltung finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung
(englisch) . Dieses Dokument ist nicht relevant für Sophos Mobile as a Service.
• Eine Beschreibung der wichtigsten Schritte für die Erstkonfiguration finden Sie in den Dokumenten
Sophos Mobile Schnellstart-Anleitung und Sophos Mobile as a Service Schnellstart-Anleitung .
• Informationen zum Self Service Portal finden Sie in der Sophos Mobile Benutzerhilfe .
Bezeichnungen
In dieser Hilfe werden folgende Bezeichnungen verwendet:
• Sofern nicht anders angegeben, bezieht sich der Ausdruck Windows Mobile auf die Windows-10-
Editionen Mobile und Mobile Enterprise sowie auf Windows Phone 8.1.
• Sofern nicht anders angegeben, beziehen sich die Ausdrücke Windows und Windows 10 auf die
Windows-10-Editionen Pro, Enterprise, Education, Home und S.
• Sofern nicht anders angegeben, bezieht sich der Ausdruck Windows IoT auf die Windows-10-
Edition IoT Core.
• Sofern nicht anders angegeben, wird bei allen Prozeduren vorausgesetzt, dass Sie bereits als
Administrator an Sophos Mobile Admin angemeldet sind.
Copyright © 2018 Sophos Limited 1
2
Sophos Mobile on Premise
2 Über Sophos Mobile
Sophos Mobile
Sophos Mobile ist die EMM-Lösung für Unternehmen, die mobile Geräte einfacher und zeitsparender verwalten und schützen möchten. Mobile Geräte können gemeinsam mit Endpoint-, Netzwerk- oder
Server-Security über die benutzerfreundliche, webbasierte und zentrale Admin-Oberfläche von
Sophos Central verwaltet werden. Sichere Container-Anwendungen und Unterstützung von mobiler
Betriebssystem-Containerisierung in iOS, Android Enterprise und Samsung Knox sorgen dafür, dass
Unternehmensdaten von privaten Daten auf dem Gerät getrennt bleiben.
Mit branchenführendem Datenschutz, umfassender Sicherheit, erstklassigem Preis-Leistungs-
Verhältnis und flexiblen Verwaltungsoptionen bietet Sophos Mobile die optimalen Voraussetzungen für den sicheren Einsatz mobiler Geräte in Unternehmen: Benutzer bleiben produktiv, Geschäftsdaten sicher und persönliche Daten privat.
Sophos Mobile Security
Sophos Mobile Security schützt Android-Geräte, ohne die Performance oder Akkulaufzeit zu beeinträchtigen. Sophos Mobile Security basiert auf leistungsstarker Anti-Malware-Technologie von
Sophos und bietet neben preisgekröntem Malware- und Virenschutz auch Erkennungsfunktionen für unerwünschte Apps, Privacy und Security Advisors, Schutz vor Verlust und Diebstahl, Web Protection u.v.m.
Sophos Secure Workspace
Sophos Secure Workspace ist eine Container-basierte Mobile-Content-Management-App für iOS und Android, die eine sicheres und effizientes Schützen, Verwalten und Verteilen von
Geschäftsdokumenten und Web-Inhalten ermöglicht. Bearbeiten Sie Dokumente im Office-Format direkt in der Container-Umgebung – so bleiben verschlüsselte Inhalte sicher. Anti-Phishing-
Technologie schützt Benutzer vor Schadlinks in Dokumenten und Inhalten.
Bei einer Verwaltung durch Sophos Mobile können Administratoren den Zugriff auf Inhalte je nach
Compliance-Regeln des Geräts einfach beschränken. In Kombination mit Sophos SafeGuard
Encryption ermöglicht Sophos Secure Workspace einen nahtlosen Austausch verschlüsselter Dateien zwischen Windows-, macOS-, iOS- und Android-Usern – sowohl bei lokaler Speicherung als auch
Speicherung in der Cloud.
Sophos Secure Email
Sophos Secure Email ist eine funktionsstarke, sichere Container-E-Mail- App für Android und iOS, mit der Sie bei einer Verwaltung durch Sophos Mobile geschäftliche E-Mails, Kalender und Kontakte von privaten Daten auf dem mobilen Gerät trennen können. Alle Unternehmensdaten sind mittels AES-256-
Verschlüsselung geschützt und der Zugriff kann auf Grundlage von Geräte-Compliance-Regeln einfach gesperrt werden. Mit Sophos Secure Email kann die IT außerdem geschäftliche E-Mails sicher und einheitlich auf verschiedenen Geräten und Betriebssystem-Varianten bereitstellen.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
3 Über Sophos Mobile Admin
Sophos Mobile Admin ist das zentrale Instrument für die Geräteverwaltung mit Sophos Mobile. Es ist die Web-Schnittstelle für den für die Geräteverwaltung benutzten Server. Mit der Web-Konsole können Sie eine unternehmensweite Richtlinie für die Gerätenutzung implementieren und sie auf die bei Sophos Mobile registrierten Geräte anwenden.
In Sophos Mobile Admin können Sie:
• Das System konfigurieren, zum Beispiel persönliche oder plattformspezifische Einstellungen.
• Compliance-Richtlinien konfigurieren und Aktionen festlegen, die ausgeführt werden, wenn Geräte
nicht mehr den festgelegten Regeln entsprechen. Siehe Compliance-Richtlinien (Seite 43).
• Geräte bei Sophos Mobile registrieren. Siehe
•
Neue Geräte provisionieren. Siehe Geräte registrieren
(Seite 54).
• Apps auf registrierten Geräten installieren. Siehe
•
Profile und Sicherheitsrichtlinien für Geräte definieren. Siehe Profile und Richtlinien
(Seite 85).
• Auftragspakete zum Bündeln mehrerer Aufgaben erstellen und sie in einem Arbeitsschritt auf
Geräte übertragen. Siehe Auftragspakete
(Seite 256).
•
Einstellungen für das Self Service Portal konfigurieren. Siehe Self Service Portal konfigurieren
(Seite 23).
• Administrative Aufgaben bei Geräten durchführen, zum Beispiel das Kennwort für Geräte zurücksetzen, Geräte bei Verlust oder Diebstahl sperren oder zurücksetzen, Geräte deregistrieren.
Siehe
•
Berichte erstellen und anzeigen. Siehe Berichte
(Seite 10).
3.1 Benutzeroberfläche
Die Benutzeroberfläche in Sophos Mobile Admin ist unterteilt in eine Kopfleiste, einen seitlichen
Menübereich und den Hauptbereich. Im Hauptbereich werden je nach gewähltem Menüpunkt unterschiedliche Seiten von Sophos Mobile Admin angezeigt.
• Kopfleiste
Im rechten Teil der Kopfleiste befinden sich die folgenden Links:
— Ihr Kontoname und der Kundenname.
— Die Schaltfläche Hilfe zum Öffnen der Online-Hilfe in einem separaten Browser-Fenster.
— Die Schaltfläche Abmelden zum Abmelden von Sophos Mobile Admin.
• Menübereich
Über das Hauptmenü auf der linken Seite greifen Sie auf die verschiedenen funktionalen Bereiche von Sophos Mobile zu.
Hinweis
Die Ihnen zugewiesene Administratorrolle hat Einfluss auf Ihre Handlungsmöglichkeiten. Siehe
Copyright © 2018 Sophos Limited 3
Sophos Mobile on Premise
4
3.2 Tabellen-Ansichten
Auf vielen Seiten in Sophos Mobile Admin werden die Informationen in Tabellenform dargestellt.
Diese Tabellen haben einheitliche, interaktive Bedienelemente.
Oberhalb der Tabelle:
• Verwenden Sie das Symbol Spalten ein- oder ausblenden , um die Sichtbarkeit einzelner
Tabellenspalten zu konfigurieren.
• Geben Sie im Feld Alle Felder durchsuchen einen Text ein, um nur Zeilen anzuzeigen, die diesen
Text (in einer beliebigen Spalte) enthalten.
Innerhalb der Tabelle:
• Klicken Sie auf eine Spaltenüberschrift, um die Tabellenzeilen nach dieser Eigenschaft zu sortieren. Klicken Sie erneut, um die Sortierreihenfolge umzukehren.
• Klicken Sie auf das blaue Dreieck neben einem Eintrag, um Aktionen für diesen Eintrag auszuführen, wie zum Beispiel Anzeigen , Bearbeiten , Löschen .
Unterhalb der Tabelle:
• Verwenden Sie die Navigationsschaltflächen, um eine bestimmte Tabellenseite anzuzeigen.
• Verwenden Sie das Symbol Export , um entweder die gesamte Tabelle oder die aktuell angezeigte
Tabellenseite als Microsoft-Excel-Datei oder als CSV-Datei zu exportieren. Wenn ein Filter aktiv ist, werden nur die aktuell sichtbaren Zeilen exportiert.
3.3 Voraussetzungen
Voraussetzungen, um Sophos Mobile Admin zu verwenden:
• Sie benötigen einen mit dem Internet verbundenen Computer mit einem Web-Browser.
Informationen zu den unterstützten Browsern und den relevanten Versionen finden Sie im
Dokument Sophos Mobile Versionshinweise.
• Der Superadministrator hat einen Kunden angelegt, d.h. einen Mandant, dessen Geräte in
Sophos Mobile verwaltet werden. Weitere Informationen finden Sie im Dokument Sophos Mobile
Superadministrator-Anleitung (englisch) .
Hinweis
Für Sophos Mobile as a Service gibt es einen vordefinierten Kunden. Für Sophos Mobile as a
Service gibt es keinen Superadministrator.
• Sie benötigen ein Sophos Mobile Benutzerkonto und die relevanten Anmeldedaten, um sich in Sophos Mobile Admin anzumelden. Die Anmeldedaten bestehen aus Kunde, Benutzer und
Kennwort. Weitere Informationen finden Sie in An Sophos Mobile Admin anmelden (Seite 6).
3.4 Benutzerrollen
In Sophos Mobile haben Administratoren unterschiedliche Rollen. Die Rolle beeinflusst, welche
Aktionen ein Administrator ausführen kann.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Folgende Rollen sind verfügbar:
Rolle
Administrator
Limited Administrator
Reporting
Content admin
Helpdesk
Read-only
App Group Administrator
Duo API
Beschreibung
Diese Rolle kann alle verfügbaren Aktionen ausführen.
Diese Rolle kann Geräte registrieren und verwalten. Es können aber keine grundlegenden Einstellungen geändert oder andere
Administratoren verwaltet werden.
Diese Rolle kann die Geräteliste anzeigen und kann Berichte erstellen. Verwenden Sie diese Rolle zum Beispiel für einen
Auditor oder einen Mitarbeiter, der die Einstellungen von Sophos
Mobile dokumentieren muss.
Diese Rolle ist für Mitarbeiter geeignet, die Dokumente hochladen, aktualisieren oder löschen müssen. Diese Rolle wird üblicherweise
Personen außerhalb der IT-Abteilung zugewiesen. Die Rechte sind so gesetzt, dass die Einsichtsmöglichkeiten beschränkt sind und nur der Zugriff auf das Menü Dokumente möglich ist.
Diese Rolle kann Support-Aufgaben ausführen, wie z.B. Geräte registrieren oder Apps installieren. Diese Rolle hat keinen Zugriff auf kritische Funktionen, wie die Definition von Einstellungen und das Erstellen, Löschen oder Bearbeiten von Geräten/
Gerätegruppen, Paketen und Profilen.
Diese Rolle hat lesenden Zugriff auf alle Einstellungen, auf welche die Rolle „Administrator“ Zugriff hat.
Diese Rolle kann App-Gruppen verwalten. Ein typischer Anwender ist ein Administrator, der auf die Webservice-Schnittstelle von
Sophos Mobile zugreift, um App-Gruppen zu erstellen, zu aktualisieren oder zu lesen.
Diese Rolle wird für die Integration mit der Authentisierungs-
Software Duo Security benötigt. Administratoren mit der Rolle Duo
API können auf die Webservice-Schnittstelle von Sophos Mobile zugreifen, um Informationen zum Verwaltungsstatus von Geräten abzurufen.
Siehe Integration von Duo Security (Seite 81).
Tipp
Ihre Produktinstallation von Sophos Mobile enthält das Werkzeug „Role Editor“. Mit dem
Role Editor können Sie auf einfache Weise vorhandene Rollen bearbeiten oder Ihre eigenen maßgeschneiderten Rollen erstellen. Der Role Editor befindet sich im Verzeichnis %MDM_HOME
%\tools\Wizard , dabei ist %MDM_HOME% das Installationsverzeichnis von Sophos Mobile.
Informationen zur Verwendung des Role Editor finden Sie im Sophos Knowledgebase-Artikel
122066 , oder wenden Sie sich an den Sophos-Support.
Copyright © 2018 Sophos Limited 5
Sophos Mobile on Premise
Zugehörige Aufgaben
(Seite 323)
3.5 An Sophos Mobile Admin anmelden
1. Öffnen Sie Sophos Mobile Admin in Ihrem Webbrowser.
2. Geben Sie im Anmeldedialog den Kundennamen und Ihre Anmeldeinformationen (Name und
Kennwort) ein. Klicken Sie anschließend auf Anmeldung .
Die Seite Dashboard für den Kunden wird angezeigt.
Hinweis
Wenn Sie sich zum ersten Mal an Sophos Mobile Admin anmelden, werden Sie aufgefordert, Ihr
Kennwort zu ändern.
Hinweis
Ihr Administrator kann im Anmeldedialog Meldungen anzeigen, zum Beispiel, um auf
Aktualisierungen oder Wartungsarbeiten hinzuweisen. Klicken Sie auf eine Meldung, um diese vollständig anzuzeigen.
3.6 Von Sophos Mobile Admin abmelden
Zum Abmelden von Sophos Mobile Admin klicken Sie im Seitenkopf auf Abmelden .
3.7 Kennwort ändern
Sie können nach der Anmeldung an Sophos Mobile Admin Ihr Kennwort jederzeit ändern:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Kennwort ändern .
2. Geben Sie das alte Kennwort sowie ein neues Kennwort ein und bestätigen Sie das neue
Kennwort.
3. Klicken Sie auf Speichern .
6
3.8 Kennwort wiederherstellen
Falls Sie Ihr Kennwort für Sophos Mobile Admin vergessen haben, können Sie es zurücksetzen.
1. Klicken Sie im Dialogfeld Einloggen von Sophos Mobile Admin auf Kennwort vergessen?
Das Dialogfeld Kennwort zurücksetzen wird angezeigt.
2. Geben Sie Ihre Anmeldedaten ein und klicken Sie auf Kennwort zurücksetzen .
Sie erhalten eine E-Mail mit einem Link zum Zurücksetzen Ihres Kennworts.
3. Klicken Sie auf den Link.
Das Dialogfeld Kennwort ändern wird angezeigt.
4. Geben Sie ein neues Kennwort ein, bestätigen Sie es und klicken Sie auf Kennwort ändern .
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Ihr Kennwort wird geändert und Sie werden an Sophos Mobile Admin angemeldet.
Copyright © 2018 Sophos Limited 7
Sophos Mobile on Premise
4 Wichtige Schritte für die
Geräteverwaltung mit Sophos Mobile
Abhängig von den für Ihr Unternehmen relevanten Gerätetypen, Sicherheitsrichtlinien und spezifischen
Anforderungen bietet Sophos Mobile eine breite Palette von Mobile-Device-Management-Funktionen.
Die wichtigsten Schritte für die Geräteverwaltung mit Sophos Mobile sind:
• Compliance-Richtlinien für Geräte konfigurieren. Siehe
(Seite 43).
• Gerätegruppen erstellen. Siehe
(Seite 83).
Gerätegruppen dienen zur Kategorisierung von Geräten. Wir empfehlen, Geräte zu gruppieren. Da sich Aufträge auch für Gerätegruppen statt für Einzelgeräte ausführen lassen, können Sie Geräte so effizient verwalten.
• Geräte registrieren und provisionieren. Siehe
(Seite 52) und
(Seite 54).
Geräte können entweder von Administratoren in Sophos Mobile Admin, oder von Gerätebenutzern im Self Service Portal registriert und provisioniert werden.
•
Profile und Sicherheitseinstellungen für Geräte einrichten. Siehe Profile und Richtlinien
(Seite
85).
• Auftragspakete erstellen. Siehe
• Verfügbare Funktionen für das Self Service Portal konfigurieren. Siehe
Self Service Portal konfigurieren (Seite 23).
• Neue oder aktualisierte Profile und Sicherheitseinstellungen auf registrierte Geräte anwenden.
8 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
5 Dashboard
Hinweis
Dieser Abschnitt beschreibt die Seite Dashboard für reguläre Administratoren. Beim
Superadministrator wird die Seite Dashboard für die Verwaltung von Kunden verwendet. Siehe das Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .
Das konfigurierbare Dashboard ist die Startansicht von Sophos Mobile. Es bietet einen schnellen
Überblick auf die wichtigsten Informationen. Es enthält mehrere Widgets, die Informationen liefern
über:
• Geräte, alle oder nach Gruppen unterteilt
• Compliance-Status nach Plattform oder für alle Geräte
• Managed-Status nach Plattform oder für alle Geräte
• SSP-Registrierungsstatus
• Plattformversionen
Außerdem gibt es ein spezielles Widget Gerät hinzufügen , mit dem der Geräteregistrierungs-Assistent aufgerufen wird. Siehe
Mit dem Geräteregistrierungs-Assistent neue Geräte zuweisen und registrieren
(Seite 56).
Sie können das Dashboard auf folgende Arten anpassen:
• Um ein Widget hinzuzufügen, klicken Sie auf Widget hinzufügen .
• Um ein Widget zu entfernen, klicken Sie auf die Schaltfläche Schließen in der Titelleiste des
Widgets.
• Um die Seite auf das Standardlayout zurückzusetzen, klicken Sie auf Standard-Layout wiederherstellen .
• Um die Position der Widgets auf der Seite zu ändern, ziehen Sie die Titelleiste eines Widgets.
Copyright © 2018 Sophos Limited 9
Sophos Mobile on Premise
6 Berichte
Mit Sophos Mobile können Sie verschiedene Berichte aus folgenden Bereichen erstellen:
• Geräte
• Apps und Dokumente
• Compliance
• Malware
• Zertifikate
So erstellen Sie einen Bericht:
1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Berichte , und anschließend auf den
Namen des gewünschten Berichts.
2. Klicken Sie im Dialog Format auswählen auf eines der verfügbaren Symbole, um das
Ausgabeformat auszuwählen:
•
Klicken Sie auf , um den Bericht als Microsoft-Excel-Datei zu exportieren.
•
Klicken Sie auf , um den Bericht als CSV-Datei zu exportieren.
Der Bericht wird abhängig von den Download-Einstellungen Ihres Web-Browsers auf Ihrem Rechner gespeichert.
10 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
7 Aufträge
Die Seite Auftragsstatus enthält eine Übersicht der von Ihnen erstellten oder gestarteten Aufträge mit ihrem aktuellen Status.
Sie können alle Ihre Aufträge überwachen und bei Problemen eingreifen. Sie können beispielsweise einen Auftrag löschen, der nicht abgeschlossen werden kann, aber das Gerät blockiert.
Um einen Auftrag zu löschen, klicken Sie auf das Löschen -Symbol neben dem Auftrag.
Sie können Aufträge nach Typ und Status filtern, und sie nach Gerätenamen, Paketnamen, Ersteller und Auftragsdatum sortieren.
7.1 Aufträge überwachen
In Sophos Mobile Admin können Sie alle vorhandenen Aufträge für Geräte überwachen.
• Die Seite Aufträge zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Die Seite Auftragsstatus wird automatisch aktualisiert. Sie können somit den Fortschritt der Aufträge verfolgen.
• Die Seite Auftragsdetails zeigt allgemeine Informationen zu einem Auftrag aus der Seite Aufträge oder der Seite Auftragsarchiv .
• Die Seite Auftragsarchiv zeigt alle Aufträge.
7.1.1 Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen
1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Aufträge .
2. Die Spalte Status auf der Seite Auftragsansicht zeigt den Auftragsstatus an, zum Beispiel
Endgültig fehlgeschlagen .
3. Im Feld Aktualisierungsintervall (in Sek.) können Sie auswählen, wie oft die Seite
Auftragsstatus aktualisiert werden soll.
4. Um weitere Details zu einem Auftrag einzusehen, klicken Sie auf das Anzeigen Lupensymbol neben den gewünschten Auftrag.
Die Seite Auftragsdetails wird angezeigt. Neben allgemeinen Informationen zum Auftrag (zum
Beispiel Gerätename, Paketname, Ersteller) zeigt diese Ansicht die Status, die ein bestimmter
Auftrag durchlaufen hat, inklusive Zeitstempel und Fehlercodes. Wenn Kommandos vom Gerät auszuführen sind, wird auf der Seite Auftragsdetails zusätzlich eine Schaltfläche Details angezeigt.
5. Falls verfügbar, klicken Sie auf Details , um die vom Gerät auszuführenden Kommandos einzusehen.
Die an das Gerät geschickten Kommandos sind Teil des Auftrags. Sie werden von der SMC-App oder vom MDM-Client ausgeführt. Die Ergebnisse, die Erfolg oder Fehlschlag angeben, werden an den Server zurück gesendet. Ist kein Fehler aufgetreten, so lautet der Fehlercode "0". Ist ein
Kommando fehlgeschlagen, so wird der entsprechende Fehlercode angezeigt. Meistens werden auch Informationen dazu angezeigt, was den Fehlschlag verursacht haben könnte.
6. Um zur Seite Auftragsdetails zurückzukehren, klicken Sie auf Zurück .
Copyright © 2018 Sophos Limited 11
Sophos Mobile on Premise
7.1.2 Auftragsarchiv anzeigen
1. Klicken Sie im Abschnitt INFORMATION der Menüleiste auf Aufträge .
2. Klicken Sie auf der Seite Auftragsstatus auf Auftragsarchiv .
Die Seite Auftragsarchiv wird angezeigt. Sie zeigt alle abgeschlossenen und fehlgeschlagenen
Aufträge im System.
3. Auf dieser Seite können Sie folgende Aufgaben durchführen:
• Klicken Sie auf Neu laden , um die Seite Auftragsarchiv zu aktualisieren.
• Löschen Sie einen Auftrag aus dem Archiv , indem Sie auf das Löschen -Symbol neben dem relevanten Auftrag klicken.
• Wählen Sie mehrere Aufträge aus und klicken Sie auf Gewählte löschen , um sie aus dem
Archiv zu löschen.
Um zur Seite Auftragsstatus zurückzugehen, klicken Sie in der Menüleiste auf Aufträge .
7.1.3 Auftragsstatus
Die folgende Tabelle bietet einen Überblick der Auftragsstatus, die auf den Seiten Auftragsstatus und
Auftragsarchiv angezeigt werden.
Jedem Status ist eine Farbe zugeordnet, welche die Statuskategorie anzeigt.
Farbschlüssel Status
Angenommen
Beschreibung
Auftrag wurde erstellt.
Wiederholung geplant Auftrag wird später wiederholt.
Gestartet
In Bearbeitung
Auftragspaket wird bearbeitet
Benachrichtigt
Auftrag wurde gestartet.
Auftragsausführung wird vorbereitet.
Auftragspaket-Ausführung wird vorbereitet.
SMC App wurde benachrichtigt.
Befehle gesendet SMC App hat das Paket oder die Kommandos erhalten.
Ergebnisauswertung gestartet
Ergebnis unvollständig
SMC App hat geantwortet und die Auswertung des
Ergebnisses wurde gestartet.
Ergebnisauswertung hat ergeben, dass noch nicht alle
Ergebnisse des Kommandos empfangen wurden.
Warte auf Benutzer-Aktion Eine Benutzer-Aktion auf dem Gerät steht aus.
12 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Farbschlüssel Status
Warte auf
Auftragsausführung
Gerät ist gesperrt
Erfolgreich
Beschreibung
Ein Installationsauftrag wurde an das Gerät gesendet, dessen Ausführung einige Zeit dauern kann.
Auftrag wartet darauf, dass das Gerät entsperrt wird
(nur für iOS).
Paket wurde installiert oder die Kommandos wurden erfolgreich ausgeführt.
Hinweis
Für die Ersteinrichtung (Provisionierung) der App
Sophos Mobile Control muss der Auftrag mit dem
Status Installiert beendet werden.
Installiert
Ergebnisauswertung fehlgeschlagen
Auftrag teilweise fehlgeschlagen
Verschoben
Fehlgeschlagen (wird wiederholt)
Auftrag fehlgeschlagen
Die App Sophos Mobile Control wurde erfolgreich installiert. Das Gerät ist nun provisioniert.
Ergebnisauswertung konnte nicht durchgeführt werden.
Nicht alle Kommandos des Auftrags konnten erfolgreich ausgeführt werden.
Auftrag wird später erneut gestartet.
Auftrag ist fehlgeschlagen und wird später wiederholt.
Auftrag ist fehlgeschlagen und wird nicht wiederholt.
Endgültig fehlgeschlagen Auftrag ist fehlgeschlagen und kann nicht wiederholt werden.
Nicht gestartet
Übersprungen
Auftrag ist Teil eines Auftragspakets und wurde noch nicht ausgeführt.
Auftrag wird vom Gerät nicht unterstützt. Die
Ausführung des Auftragspakets wird mit dem nächsten
Auftrag fortgesetzt.
Unbekannt Der Server hat keine Information zum Auftragsstatus.
Farbschlüssel Kategorie
Öffnen
In Bearbeitung
Copyright © 2018 Sophos Limited 13
Sophos Mobile on Premise
Farbschlüssel Kategorie
Erfolgreich
Fehlgeschlagen
Sonstiges
14 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
8 Warnhinweise
Auf der Seite Alarme sind die Alarme aufgelistet, die Ihre Aufmerksamkeit erfordern.
Angegeben sind jeweils das Ereignis, das den Alarm ausgelöst hat, der Zeitpunkt, sowie der betroffene
Benutzer und das betroffene Gerät.
Die Liste führt außerdem den Schweregrad der Warnhinweise auf:
Graues Infosymbol für Informations-Alarme
Oranges Warnsymbol für Alarme mittlerer Priorität
Rotes Warnsymbol für Alarme hoher Priorität
Alarme bestätigen
Wählen Sie einen oder mehrere Alarme aus und klicken Sie anschließend auf Als bestätigt markieren , um die ausgewählten Alarme aus der Liste zu entfernen. Um bestätigte Alarme anzuzeigen, wählen Sie im Listenfeld oberhalb der Tabelle den Eintrag Bestätigte Alarme anzeigen aus.
Hinweis
Wenn Sie einen Alarm bestätigen, wird dadurch nicht das Problem behoben, das den Alarm ausgelöst hat.
Wichtig
Alle Alarme – auch solche, die Sie nicht bestätigt haben – werden nach 90 Tagen automatisch aus der Datenbank von Sophos Mobile entfernt.
E-Mail-Berichte für Alarme einrichten
Sophos Mobile verschickt E-Mail-Berichte für alle noch nicht bestätigten Alarme. Informationen, wie Sie
Empfänger und Zeitplan für diese Berichte einrichten, finden Sie in
(Seite 21).
Welche Ereignisse lösen Alarme aus?
Alarme werden von folgenden Ereignissen ausgelöst:
• Compliance-Verletzungen, für die Sie die Aktion Alarm erstellen aktiviert haben. Siehe
Compliance-Richtlinie erstellen (Seite 43).
• Behobene Compliance-Verstöße
• Statusänderungen im Geräte-Lebenszyklus:
— Gerät hinzufügen
— Gerät registrieren
Copyright © 2018 Sophos Limited 15
Sophos Mobile on Premise
— Gerät deregistrieren
• Wichtige Geräte-Aktionen:
— Gerät zurücksetzen
— Gerät sperren
— Gerätestandort bestimmen
— Kennwort zurücksetzen
• Überschreiten der Grenzwerte für mobiles Datenvolumen
• Erfolgreiche und fehlgeschlagene Aufträge
• Nicht definierte Platzhalter in Profilen und Richtlinien
• Der bevorstehende Ablauf folgender Lizenzen und Zertifikate:
— Die Sophos Mobile Lizenz
— Die Lizenz für das Apple-Programm für Volumenlizenzen (VPP)
— Die Lizenz für das Apple-Programm zur Geräteregistrierung (DEP)
— Die Samsung-Knox-Premium-Lizenz
— Die SSL/TLS-Zertifikate des Sophos Mobile Servers
— Das Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs)
— Root- und Client-Zertifikate, die in Profilen und Richtlinien konfiguriert sind
— Geräte-Zertifikate
• Zusätzliche Ereignisse für APNs-Zertifikate:
— APNs-Zertifikat erneuert
— APNs-Zertifikat zurückgenommen
— Kein APNs-Zertifikat konfiguriert
• Ereignisse in Sophos Mobile Security:
— Malware erkannt oder entfernt
— PUA erkannt oder entfernt
— App niedriger Reputation erkannt oder entfernt
• Android-Enterprise-Ereignisse:
— Fehler bei der Kommunikation mit Google
— Aufheben der Genehmigung einer beruflichen App, die in einem Auftragspaket verwendet wird
16 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
9 Allgemeine Einstellungen
Auf der Seite Allgemeine Einstellungen können Sie folgende Aufgaben ausführen:
• Persönlich
—
Persönliche Einstellungen konfigurieren
(Seite 17)
• Kennwort ändern
—
• Kennwortrichtlinien
—
Kennwortrichtlinien konfigurieren
(Seite 18)
• SMC-App
—
Einstellungen der SMC-App konfigurieren
(Seite 19)
• Android
—
Baidu Cloud Push aktivieren (Seite 19)
• iOS
—
Einstellungen für iOS konfigurieren
(Seite 20)
• Windows
—
Poll-Intervall für Windows-Geräte konfigurieren
(Seite 20)
• E-Mail-Konfiguration
—
E-Mail konfigurieren (Seite 21)
• Technischer Kontakt
—
Kontaktdetails für technische Unterstützung konfigurieren (Seite 22)
• Kundeneigenschaften
—
Kundeneigenschaften definieren (Seite 22)
9.1 Persönliche Einstellungen konfigurieren
Um Sophos Mobile Admin möglichst effizient zu nutzen, können Sie die Benutzeroberfläche so anpassen, dass nur die Plattformen angezeigt werden, mit denen Sie arbeiten möchten.
Hinweis
Mit der Konfiguration der Plattformen ändern Sie lediglich die Ansicht für den aktuell angemeldeten
Benutzer. Sie können an dieser Stelle keine Funktionen deaktivieren.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Persönlich .
2. Konfigurieren Sie folgende Einstellungen:
Option
Sprache
Zeitzone
Beschreibung
Wählen Sie die Sprache für Sophos Mobile Admin.
Wählen Sie die Zeitzone für die Datumsanzeige.
Copyright © 2018 Sophos Limited 17
Sophos Mobile on Premise
Option Beschreibung
Maßsystem Wählen Sie das Maßsystem für Längenwerte aus ( Metrisch oder Imperial ).
Datensätze pro Tabellenseite Wählen Sie die maximale Anzahl an Tabellenzeilen aus, die pro
Seite angezeigt werden sollen.
Erweiterte Gerätedetails anzeigen
Aktivieren Sie dieses Kontrollkästchen, um alle verfügbaren
Informationen über das Gerät anzuzeigen. Die Registerkarten
Benutzerdefinierte Eigenschaften und Interne Eigenschaften werden der Seite Gerät anzeigen hinzugefügt.
Aktivierte Plattformen Wählen Sie die Plattformen, die Sie für den Kunden verwalten möchten:
• Android
• Android Things
• iOS
• Windows Mobile (beinhaltet Windows Phone 8.1 und
Windows 10 Mobile)
• Windows
• Windows IoT
Die Benutzeroberfläche von Sophos Mobile Admin wird entsprechend der ausgewählten Plattformen angepasst. Es werden nur Ansichten und Features angezeigt, die für die ausgewählten Plattformen relevant sind.
Hinweis
Die Liste der verfügbaren Plattformen richtet sich nach den
Einstellungen aus der Super-Administrator-Konfiguration.
Weitere Informationen finden Sie im Dokument Sophos
Mobile Superadministrator-Anleitung (englisch) .
3. Klicken Sie auf Speichern .
9.2 Kennwortrichtlinien konfigurieren
Konfigurieren Sie zur Durchsetzung der Sicherheit von Kennwörtern Kennwortrichtlinien für Benutzer von Sophos Mobile Admin und Self Service Portal.
Hinweis
Die Kennwortrichtlinien gelten nicht für Benutzer eines externen LDAP-Verzeichnisses.
Informationen zur externen Benutzerverwaltung finden Sie im Dokument Sophos Mobile
Superadministrator-Anleitung (englisch) .
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Kennwortrichtlinien .
2. Unter Regeln können Sie Mindestanforderungen definieren, zum Beispiel die Mindestanzahl der
Kleinbuchstaben, Großbuchstaben oder Ziffern, damit das Kennwort gültig ist.
18 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
3. Konfigurieren Sie unter Einstellungen folgende Einstellungen: a) Änderungsintervall (Tage) : Geben Sie die Kennwort-Gültigkeitsdauer in Tagen ein (zwischen
1 und 730 ), oder lassen Sie das Feld leer, wenn Kennworte nicht ablaufen sollen.
b) Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen : Wählen Sie einen Wert zwischen 1 und 10 aus, oder wählen Sie -- aus, um diese Einschränkung zu deaktivieren.
c) Maximale Anzahl fehlerhafter Loginversuche : Wählen Sie die maximale Anzahl an fehlgeschlagenen Login-Versuchen aus, bevor das Konto gesperrt wird (zwischen 1 und 10 ), oder wählen Sie -- aus, um unbegrenzt viele Login-Versuche zuzulassen.
4. Klicken Sie auf Speichern .
9.3 Einstellungen der SMC-App konfigurieren
Auf der Registerkarte SMC App der Seite Allgemeine Einstellungen konfigurieren Sie Einstellungen für die App Sophos Mobile Control auf Android-, iOS- und Windows-Mobile-Geräten.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte SMC App .
2. Konfigurieren Sie folgende Einstellungen:
Option
Deregistrierung über die App deaktivieren
Beschreibung
Entfernen Sie die Schaltfläche Deregistrieren in der App
Sophos Mobile Control, um zu verhindern, dass Benutzer ihr
Gerät aus der App heraus deregistrieren.
Hinweis
Um eine Deregistrierung durch den Benutzer vollständig zu verhindern, deaktivieren Sie zusätzlich die Option Gerät deregistrieren in den Einstellungen für das Self Service
Portal. Siehe Einstellungen für das Self Service Portal konfigurieren
(Seite 24).
3. Klicken Sie auf Speichern .
9.4 Baidu Cloud Push aktivieren
Sophos Mobile verwendet den Dienst Google Cloud Messaging (GCM), um Push-Benachrichtigungen an Android-Geräte zu senden, damit diese sich mit dem Sophos Mobile Server verbinden. In China funktioniert GCM wahrscheinlich nicht. Sophos Mobile kann darum zusätzlich Baidu Cloud Push verwenden, einen chinesischen Dienst für Push-Benachrichtigungen.
Falls Sie Android-Geräte verwalten, die sich in China befinden, aktivieren Sie folgendermaßen Baidu
Cloud Push:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Android .
2. Wählen Sie im Abschnitt Baidu Cloud Push die Option Baidu Cloud Push aktivieren aus.
3. Klicken Sie auf Speichern .
Wenn Baidu Cloud Push aktiviert ist, sendet Sophos Mobile alle Push-Benachrichtigungen sowohl über
GCM als auch über Baidu Cloud Push.
Copyright © 2018 Sophos Limited 19
Sophos Mobile on Premise
9.5 Einstellungen für iOS konfigurieren
Auf der Registerkarte iOS der Seite Allgemeine Einstellungen konfigurieren Sie spezielle
Einstellungen für iOS-Geräte.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte iOS .
2. Konfigurieren Sie folgende Einstellungen:
Option Beschreibung
Aktivierungssperre-Umgehung Wählen Sie Aktivieren aus, um bei betreuten Geräten eine
Aktivierungssperre bei Bedarf umgehen zu können.
Wenn diese Option ausgewählt ist, ruft Sophos Mobile einen
Umgehungs-Code ab, wenn es sich mit einem betreuten Gerät synchronisiert, bei dem eine Aktivierungssperre eingerichtet ist. Bei Bedarf können Sie auf der Seite Gerät anzeigen des
Gerätes die Aktion Aktivierungssperre-Umgehung ausführen, um die Aktivierungssperre zu entfernen, wenn das Gerät zurückgesetzt und neu bereitgestellt werden soll.
Die Aktivierungssperre ist eine Sicherheitsfunktion von iOS, um im Falle eines Geräteverlustes oder Diebstahls eine neue Geräte-Aktivierung zu verhindern. Normalerweise benötigen Sie die bei der Einrichtung angegebene Apple-ID und das Kennwort, um eine Aktivierungssperre zu entfernen.
Mit Hilfe der Aktivierungssperre-Umgehung können Sie die Aktivierungssperre entfernen, indem Sie lediglich den
Umgehungs-Code angeben.
Gerätenamen synchronisieren Wählen Sie Aktivieren aus, um iOS-Geräte unter dem Namen zu verwalten, der im Gerät konfiguriert ist.
Wenn diese Option aktiviert ist, wird der von Sophos Mobile verwendete Gerätename bei jeder Synchronisierung mit Sophos
Mobile aktualisiert.
Wenn diese Option deaktiviert ist, legen Sie den Gerätenamen bei der Registrierung fest.
3. Klicken Sie auf Speichern .
9.6 Poll-Intervall für Windows-Geräte konfigurieren
Für Windows-Geräte können Sie das Poll-Intervall konfigurieren, in dem sich der Windows-MDM-
Client mit dem Sophos Mobile Server verbindet. Normalerweise verwendet der Server Push-
Benachrichtungen, um sich mit den Clients zu verbinden. Polling wird nur zur Sicherheit verwendet, falls der Push-Benachrichtigungsdienst nicht verfügbar ist.
20 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Die Standardwerte sind in den meisten Fällen ausreichend. Kürzere Intervalle wirken sich negativ auf Akkulaufzeit und Datenverbrauch aus und verursachen eine höhere Server-Last.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Windows .
2. Wählen Sie Poll-Intervalle für die verschiedenen Windows-Betriebssysteme aus. Sie können individuelle Einstellungen vornehmen für:
• Geräte mit Windows 10 Mobile und Windows Phone 8.1
• Windows-10-Computer
3. Klicken Sie auf Speichern .
9.7 E-Mail konfigurieren
Auf der Registerkarte E-Mail-Konfiguration konfigurieren Sie die Einstellungen für E-Mails, die von
Sophos Mobile verschickt werden.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte E-Mail-Konfiguration .
2. Wählen Sie in Sprache die Sprache für die E-Mail aus.
3. Geben Sie in Absendername den Namen ein, der als Absender verwendet wird.
4. Optional: Konfigurieren Sie unter E-Mail-Einstellungen für Alarme Berichte für Alarme, die an
Administratoren gesendet werden: a) Wählen Sie in Schweregrad die Schweregrade der Alarme aus, die in den Berichten enthalten sind.
b) Geben Sie in E-Mail-Empfänger die Empfänger an, indem Sie eine oder mehrere gültige E-
Mail-Adressen eingeben.
c) Geben Sie in E-Mail-Zeitplan die Uhrzeit ein, zu welcher der Bericht gesendet wird. Klicken
Sie anschließend auf Hinzufügen .
Wiederholen Sie dies, um mehrere Berichte pro Tag zu senden.
Hinweis
Zeiten beziehen sich auf die für den Server konfigurierte Zeitzone.
5. Klicken Sie auf Speichern .
Zugehörige Konzepte
Copyright © 2018 Sophos Limited 21
Sophos Mobile on Premise
9.8 Kontaktdetails für technische Unterstützung konfigurieren
Um Benutzer bei Fragen oder Problemen zu unterstützen, können Sie ihnen die Kontaktinformationen für die technische Unterstützung mitteilen. Die Informationen, die Sie hier eingeben, werden in der App
Sophos Mobile Control und im Self Service Portal angezeigt.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Technischer Kontakt .
2. Geben Sie die erforderlichen Informationen für den technischen Kontakt ein.
3. Klicken Sie auf Speichern .
9.9 Kundeneigenschaften definieren
Sie können für jeden Kunden spezifische Eigenschaften definieren.
Wenn Sie eine Eigenschaft Meine Eigenschaft festlegen, können Sie in Profilen und Richtlinien den Platzhalter %_CUSTPROP(Meine Eigenschaft)_% verwenden, um den Wert der Eigenschaft zu referenzieren. Sie können dies zum Beispiel verwenden, um Domänen zu referenzieren, die nur für den Kunden gelten.
Einzelheiten zur Verwendung von Platzhaltern in Profilen und Richtlinien finden Sie in
Profilen und Richtlinien (Seite 90).
So definieren Sie eine Kundeneigenschaft:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Kundeneigenschaft .
2. Klicken Sie auf Kundeneigenschaft hinzufügen .
3. Geben Sie einen Namen und einen Wert für die neue Eigenschaft ein.
4. Klicken Sie auf Anwenden , um die Eigenschaft hinzuzufügen.
5. Klicken Sie auf Speichern , um die Kundeneinstellungen zu speichern.
22 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
10 Self Service Portal konfigurieren
Mit dem Self Service Portal können Sie IT-Aufwände reduzieren, indem Sie den Benutzern ermöglichen, eigenständig Geräte zu registrieren und andere Aufgaben auszuführen, ohne dazu den
Helpdesk zu kontaktieren.
Über die Menüleiste können Sie Einstellungen für die Verwendung des Self Service Portal konfigurieren. Zum Beispiel:
• Für welche Plattformen Geräte registriert werden können.
• Welche Funktionen verfügbar sind.
• Welche Benutzer berechtigt sind, das Self Service Portal zu verwenden.
Im Self Service Portal können Geräte folgender Plattformen verwaltet werden:
• Android
• iOS
• Windows Mobile
• Windows
10.1 Self-Service-Portal-Gruppen bei interner
Benutzerverwaltung erstellen
Self Service Portal Konfigurationen werden auf Gruppen von Self Service Portal Benutzern angewendet. Mit der internen Benutzerverwaltung können Sie Self Service Portal Gruppen erstellen und ihnen Benutzer zuweisen. Weitere Informationen zur Benutzerverwaltung finden Sie in
Service-Portal-Benutzer verwalten
(Seite 29).
Hinweis
Die interne Benutzerverwaltung steht nur dann für einen Kunden zur Verfügung, wenn sie vom
Superadministrator aktiviert wurde. Weitere Informationen finden Sie im Dokument Sophos Mobile
Superadministrator-Anleitung (englisch) . Dies gilt nicht für Sophos Mobile as a Service. Für
Sophos Mobile as a Service gibt es keinen Superadministrator. Für Informationen zur Definition von Benutzerverwaltungsverfahren für Sophos Mobile as a Service siehe
Benutzerverwaltung konfigurieren
(Seite 29).
So erstellen Sie eine Self Service Portal Gruppe:
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Benutzer .
Die Seite Benutzer anzeigen wird angezeigt.
2. Klicken Sie auf Benutzergruppen anzeigen .
Die Seite Benutzergruppen anzeigen wird angezeigt.
3. Klicken Sie auf Gruppe erstellen .
Die Seite Gruppe bearbeiten wird angezeigt.
4. Geben Sie im Feld Name einen Namen für die neue Self Service Portal Gruppe ein.
5. Klicken Sie auf Speichern .
Copyright © 2018 Sophos Limited 23
Sophos Mobile on Premise
Die neue Benutzergruppe für das Self Service Portal wird auf der Seite Benutzergruppen anzeigen angezeigt. Wenn Sie neue Benutzer erstellen, können Sie diese der Gruppe zuweisen. Wenn Sie Self
Service Portal Einstellungen definieren, können Sie die Gruppe auswählen und Ihr die Einstellungen zuweisen.
10.2 Einstellungen für das Self Service Portal konfigurieren
24
Hinweis
Die Self-Service-Portal-Einstellungen sind nicht verfügbar, wenn Sie sowohl die interne als auch
1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Einrichtung und anschließend auf
Self Service Portal .
Die Seite Self Service Portal wird angezeigt.
2. Konfigurieren Sie auf der Registerkarte Konfiguration folgende Einstellungen: a) Wählen Sie in der Liste Maximale Anzahl an Geräten die maximale Anzahl an Geräten aus, die ein Benutzer im Self Service Portal registrieren kann. Hierdurch wird gewährleistet, dass die
Anzahl verfügbarer Lizenzen nicht überschritten wird.
b) Wählen Sie in der Liste Vorauswahl Gerätebesitzer aus, ob neue Geräte als Firmengeräte oder als Privatgeräte eingestuft werden, und ob die Benutzer diese Einstellung ändern dürfen, wenn sie ihre Geräte im Self Service Portal registrieren. Sie können eine der folgenden
Einstellungen auswählen:
• keine Vorauswahl : Der Benutzer kann Firmengerät oder Privates Gerät auswählen.
• Firmengerät (vorausgewählt) : Firmengerät ist vorausgewählt. Der Benutzer kann aber auch Privates Gerät auswählen.
• Firmengerät (fest) : Firmengerät ist ausgewählt und kann vom Benutzer nicht geändert werden.
• Privatgerät (vorausgewählt) : Privates Gerät ist vorausgewählt. Der Benutzer kann aber auch Firmengerät auswählen.
• Privatgerät (fest) : Privates Gerät ist ausgewählt und kann vom Benutzer nicht geändert werden.
c) Wählen Sie unter Verfügbare Funktionen die Funktionen aus, die Benutzern im Self Service
Portal zur Verfügung stehen sollen. Die Funktionen variieren je nach Geräteplattform. Siehe
Verfügbare Aktionen im Self Service Portal (Seite 26).
3. Konfigurieren Sie auf der Registerkarte Nutzungsbedingungen eine Mobil-Richtlinie, einen
Haftungshinweis oder eine Vereinbarung. Dieser Text wird im ersten Schritt angezeigt, wenn
Benutzer ihre Geräte registrieren. Benutzer müssen diesem Text zustimmen, bevor sie fortfahren können.
Sie können den Text mittels HTML-Auszeichnungen formatieren.
4. Konfigurieren Sie auf der Registerkarte Installations-Abschlusstext den Text, der im Self Service
Portal nach der Geräte-Registrierung angezeigt wird. Verwenden Sie dies zum Beispiel, um
Schritte zu beschreiben, die der Benutzer nach der Registrierung durchführen muss.
Sie können den Text mittels HTML-Auszeichnungen formatieren.
5. Konfigurieren Sie auf der Registerkarte Gruppeneinstellungen die Gruppeneinstellungen, zum Beispiel die Gerätegruppen, zu denen registrierte Geräte hinzugefügt werden, und das
Auftragspaket, welches auf die Geräte übertragen wird.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Wichtig
Aufgrund der komplexen Konfigurationsmöglichkeiten der Gruppeneinstellungen empfehlen wir, dass Sie die Geräteregistrierung mit verschiedenen Benutzergruppen testen, bevor Sie die
Einstellungen Ihren Benutzern zur Verfügung stellen.
a) Klicken Sie auf Hinzufügen .
Die Seite Gruppeneinstellungen bearbeiten wird angezeigt.
b) Geben Sie im Feld Name einen Namen für die Self-Service-Portal-Konfigurationsgruppe ein.
c) Geben Sie im Feld Benutzergruppe eine Benutzergruppe ein, die Sie definiert haben (bei interner Benutzerverwaltung), oder eine LDAP-Gruppe mit ihrem vollständigem LDAP-Pfad oder mit Platzhaltern (bei externer Benutzerverwaltung). In diesem Feld können Sie den
Platzhalter * als erstes, letztes oder einziges Zeichen verwenden, um mehrere Gruppen anzugeben. Zum Beispiel: Geben Sie Dev* ein, um alle Gruppen anzugeben, die mit der
Zeichenfolge Dev beginnen. Geben Sie * ein, um alle verfügbaren Gruppen anzugeben.
Hinweis
Der Wert * steht für alle Gruppen, nicht für alle Benutzer. Benutzer, die Mitglied keiner
Gruppe sind, sind ausgeschlossen.
d) Wählen Sie Nutzungsbedingungen während der Registrierung anzeigen aus, um den Text für die Nutzungsbedingungen anzuzeigen, den Sie zuvor als ersten Schritt der
Registrierungsprozedur konfiguriert haben.
e) Wählen Sie Installations-Abschlusstext während der Registrierung anzeigen aus, um Installations-Abschlusstext anzuzeigen, den Sie zuvor als letzten Schritt der
Registrierungsprozedur konfiguriert haben.
f) Wählen Sie in den Spalten Einrichtungspaket - Firmengeräte und Einrichtungspaket -
Privatgeräte das Auftragspaket (für Android, iOS und macOS) bzw. die Richtlinie (für Windows und Windows Mobile) aus, die auf Firmengeräten und Privatgeräten ausgeführt werden soll.
g) Wählen Sie in der Spalte Aktiv die Plattformen aus, die im Self Service Portal verfügbar sein sollen.
Damit Sie eine Plattform auswählen können, müssen Sie erst ein Einrichtungspaket auswählen.
h) Wählen Sie in der Spalte Einfügen in Gerätegruppe die Gruppe, zu der das Gerät hinzugefügt werden soll.
Informationen zu Gerätegruppen finden Sie in Gerätegruppen
(Seite 83).
i) Klicken Sie auf Anwenden .
6. Die Seite Self Service Portal wird angezeigt. Klicken Sie auf Speichern .
Hinweis
Als Superadministrator können Sie auch einen Standardkunden für die Anmeldung im Self
Service Portal festlegen. Weitere Informationen finden Sie im Dokument Sophos Mobile
Superadministrator-Anleitung (englisch) . Dies gilt nicht für Sophos Mobile as a Service. Für
Sophos Mobile as a Service gibt es keinen Superadministrator.
Copyright © 2018 Sophos Limited 25
Sophos Mobile on Premise
10.3 Verfügbare Aktionen im Self Service Portal
Dieser Abschnitt beschreibt die Aktionen, die im Self Service Portal für die jeweiligen Plattformen verfügbar sind.
Aktion
Gerät orten
Gerät sperren
Neukonfiguration
Compliance-Verstöße anzeigen
Beschreibung
Mit dieser Funktion können Benutzer ihre Geräte bei Verlust oder Diebstahl orten.
Mit dieser Funktion können Benutzer ihre Geräte bei Verlust oder Diebstahl sperren.
Plattformen
Android iOS
Windows Mobile
Windows
Android iOS macOS
Windows Mobile
Mit dieser Funktion können Benutzer ihre Geräte neu konfigurieren, falls
Sophos Mobile vom Gerät entfernt wurde, das Gerät jedoch noch registriert ist.
Android iOS macOS
Windows Mobile
Windows
Mit dieser Funktion können Benutzer die vorhandenen Compliance-Verstöße ihrer Geräte anzeigen.
Android iOS macOS
Windows Mobile
Windows
26 Copyright © 2018 Sophos Limited
Aktion
Daten aktualisieren
Kennwort zurücksetzen
Zurücksetzen
Android-Arbeitsprofil entfernen
Sophos Mobile on Premise
Beschreibung
Mit dieser Funktion können Benutzer ihre Geräte manuell mit dem Sophos
Mobile Server synchronisieren. Dies ist zum Beispiel nützlich, wenn das
Gerät längere Zeit ausgeschaltet war und daher nicht mit dem Server synchronisiert wurde. In diesem Fall entspricht das Gerät möglicherweise nicht den Compliance-Regeln und muss mit dem Server synchronisiert werden, damit es die Regeln wieder erfüllt.
Plattformen
Android iOS macOS
Windows Mobile
Windows
Hinweis
Diese Funktion ist nicht für Geräte verfügbar, auf denen Sophos
Mobile nur den Sophos-Container verwaltet.
Mit dieser Funktion können Benutzer das Kennwort für den Sperrbildschirm zurücksetzen. Für Geräte mit Android und iOS wird ein temporäres Kennwort im Self Service Portal angezeigt.
Das Gerät kann nur mit diesem
Kennwort entsperrt werden. Nach dem
Entsperren kann der Benutzer ein neues Kennwort festlegen. Für iOS-
Geräte wird das Kennwort vollständig gelöscht. Der Benutzer muss innerhalb von 60 Minuten ein neues Kennwort definieren.
Android iOS
Windows Mobile
Mit dieser Funktion können Benutzer
Ihre registrierten Geräte bei
Verlust oder Diebstahl auf den
Auslieferungszustand zurücksetzen.
Alle Daten auf dem Gerät werden gelöscht.
Android iOS macOS
Windows Mobile
Windows
Mit dieser Funktion können Benutzer das Arbeitsprofil von ihren Geräte entfernen. Dadurch werden die Geräte auch bei Sophos Mobile deregistriert.
Android
Copyright © 2018 Sophos Limited 27
Sophos Mobile on Premise
Aktion
Gerät deregistrieren
Nicht verwaltetes Gerät löschen
App-Protection-Kennwort zurücksetzen
Sophos-Container-Kennwort zurücksetzen
SMC-App neu konfigurieren
Verwalteter Modus „Verloren“
„Verloren“-Ton abspielen
Beschreibung Plattformen
Mit dieser Funktion können Benutzer
Geräte deregistrieren, die nicht mehr benutzt werden. Dies ist zum Beispiel nützlich, wenn die Anzahl an Geräten, die Benutzer im Self Service Portal registrieren können, begrenzt ist, oder wenn Benutzer ein neues Gerät erhalten.
Android iOS macOS
Windows Mobile
Windows
Mit dieser Funktion können Benutzer deregistrierte Geräte löschen.
Android iOS macOS
Windows Mobile
Windows
Mit dieser Funktion können Benutzer ihr App-Protection-Kennwort auf
Android Geräten zurücksetzen. Das
App-Protection-Kennwort schützt definierte Apps und muss jedes Mal eingegeben werden, wenn Benutzer diese Apps starten. Das Kennwort wird gelöscht und die Benutzer müssen ein neues Kennwort definieren.
Android
Mit dieser Funktion können Benutzer das Sophos-Container-Kennwort zurücksetzen. Das Sophos-Container-
Kennwort muss jedes Mal eingegeben werden, wenn Benutzer eine der
Container-Apps starten. Das Kennwort wird gelöscht und die Benutzer müssen ein neues Kennwort definieren.
Android iOS
Mit dieser Funktion können Benutzer eine bereits installierte App Sophos
Mobile Control neu konfigurieren.
Benutzer können den verwalteten
Modus „Verloren“ aktivieren und deaktivieren.
iOS
Windows Mobile iOS
Benutzer können auf Geräten, die sich im verwalteten Modus „Verloren“ befinden, einen Ton abspielen.
iOS
Zugehörige Aufgaben
Einstellungen für das Self Service Portal konfigurieren
(Seite 24)
28 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
10.4 Self-Service-Portal-Benutzer verwalten
Sophos Mobile bietet verschiedene Arten der Verwaltung von Self-Service-Portal-Benutzern:
• Interne Benutzerverwaltung: Mit der internen Benutzerverwaltung können Sie Benutzer erstellen, indem Sie diese manuell zu Sophos Mobile hinzufügen oder aus einer CSV-Datei importieren.
• Externe Benutzerverwaltung: Mit der externer Benutzerverwaltung können Sie Geräte zu Gruppen und Profilen auf der Grundlage der Directory-Zugehörigkeit zuweisen.
Die Art der Benutzerverwaltung ist kundenspezifisch. Für Sophos Mobile on Premise wird sie vom
Superadministrator definiert, wenn ein Kunde erstellt wird. Für Sophos Mobile as a Service definieren
(Seite 29).
10.4.1 Self-Service-Portal-Benutzerverwaltung konfigurieren
Hinweis
Für Sophos Mobile on Premise wird die Benutzerverwaltung für das Self Service Portal vom
Superadministrator festgelegt, wenn ein Kunde erstellt wird. Siehe das Dokument Sophos Mobile
Superadministrator-Anleitung (englisch) .
1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Einrichtung und anschließend auf
Systemeinstellungen .
Die Seite Systemeinstellungen wird angezeigt.
2. Öffnen Sie die Registerkarte Benutzerverzeichnis . Wählen Sie auf dieser Registerkarte die
Datenquelle für die von Sophos Mobile zu verwaltenden Self Service Portal (SSP) Benutzer aus:
• Wählen Sie Kein Verzeichnis. SSP, benutzerspezifische Profile und LDAP-
Administratoren sind nicht verfügbar aus, um die Benutzerverwaltung zu deaktivieren.
• Wählen Sie Internes Verzeichnis aus, um für Benutzer in Self Service Portal die interne
Benutzerverwaltung zu verwenden.
• Wählen Sie Externes LDAP-Verzeichnis aus, um für Benutzer in Self Service Portal die externe Benutzerverwaltung zu verwenden.
Klicken Sie auf Externes LDAP konfigurieren , um die Serverdaten anzugeben. Siehe
Externes Benutzerverzeichnis konfigurieren (Seite 30).
3. Klicken Sie auf Speichern .
Wenn Sie Internes Verzeichnis oder Externes LDAP-Verzeichnis ausgewählt haben, wird die ausgewählte Option und die Option Kein Verzeichnis. SSP, benutzerspezifische Profile und LDAP-Administratoren sind nicht verfügbar auf der Registerkarte Benutzerverzeichnis angezeigt. Wenn Sie Ihre Auswahl nachträglich ändern möchten, wählen Sie zuerst Kein
Verzeichnis. SSP, benutzerspezifische Profile und LDAP-Administratoren sind nicht verfügbar , damit alle Optionen zur Verfügung stehen.
Hinweis
Die Benutzerverwaltungskonfiguration kann nicht geändert werden, solange Geräte mit dem
Verzeichnis verbunden sind. Wenn Sie versuchen, die Konfiguration zu ändern, während noch
Geräte verbunden sind, wird eine Fehlermeldung angezeigt.
Copyright © 2018 Sophos Limited 29
Sophos Mobile on Premise
10.4.2 Externes Benutzerverzeichnis konfigurieren
Wenn Sie ein externes LDAP-Verzeichnis für die Verwaltung der Benutzerkonten für Sophos Mobile
Admin und für das Self Service Portal verwenden, müssen Sie die Verbindung zu diesem Verzeichnis konfigurieren, damit Sophos Mobile die Benutzerdaten vom LDAP-Server abrufen kann. Für Sophos
Mobile on Premise macht dies der Superadministrator bei der Erstellung des Kunden.
Hinweis
Zwischen dem LDAP-Verzeichnis und Sophos Mobile findet keine Synchronisierung statt. Sophos
Mobile greift auf das LDAP-Verzeichnis nur zu, um Benutzerinformationen nachzuschlagen.
Änderungen an einem LDAP-Benutzerkonto wirken sich nicht auf die Datenbank von Sophos
Mobile aus, und umgekehrt.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Benutzerverzeichnis .
2. Wählen Sie Externes LDAP-Verzeichnis aus.
3. Klicken Sie auf Externes Benutzerverzeichnis (LDAP) konfigurieren , um die Serverdaten anzugeben.
4. Konfigurieren Sie auf der Seite LDAP-Server-Details die folgenden Einstellungen: a) Wählen Sie im Feld LDAP-Typ den Typ des LDAP-Servers aus:
• Active Directory
• IBM Domino
• NetIQ eDirectory
• Red Hat Directory Server
• Zimbra b) Geben Sie im Feld Primäre URL die URL des primären Verzeichnisservers ein. Sie können die
Server-IP-Adresse oder den Servernamen eingeben. Wählen Sie SSL/TLS aus, um die Server-
Verbindung mit SSL oder TLS zu sichern (je nachdem, was der Server unterstützt). Für Sophos
Mobile as a Service kann SSL/TLS nicht deaktiviert werden.
c) Optional: Geben Sie im Feld Sekundäre URL die URL eines Verzeichnisservers ein, auf den ausgewichen wird, falls der primäre Server nicht erreichbar ist. Sie können die Server-
IP-Adresse oder den Servernamen eingeben. Wählen Sie SSL/TLS aus, um die Server-
Verbindung mit SSL oder TLS zu sichern (je nachdem, was der Server unterstützt). Für Sophos
Mobile as a Service kann SSL/TLS nicht deaktiviert werden.
d) Geben Sie im Feld Benutzer einen Benutzer ein, der für Nachschlage-Operationen auf dem
Verzeichnisserver verwendet wird. Sophos Mobile verwendet dieses Konto, wenn es sich mit dem Verzeichnisserver verbindet.
Für Active Directory müssen Sie außerdem die relevante Domäne eingeben. Folgende
Formate werden unterstützt:
• <Domäne>\<Benutzername>
• <Benutzername>@<Domäne>.<Domänen-Code>
30 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Aus Sicherheitsgründen empfehlen wir, dass Sie einen Benutzer angeben, der nur
Leserechte auf dem Verzeichnisserver hat, aber keine Schreibrechte.
e) Geben Sie im Feld Kennwort das Kennwort für den Benutzer ein.
Klicken Sie auf Next .
5. Geben Sie auf der Seite Suchbasis den Distinguished Name (DN) des Suchbasisobjekts ein.
Das Suchbasisobjekt definiert den Ausgangspunkt im LDAP-Verzeichnis für die Suche nach einem
Benutzer oder einer Benutzergruppe.
6. Definieren Sie auf der Seite Suchfelder , welche Verzeichnisfelder zum Auflösen der Platzhalter
%_USERNAME_% und %_EMAILADDRESS_% in Profilen und Richtlinien verwendet werden. Geben
Sie die gewünschten Feldnamen ein oder wählen Sie diese aus den Listen Benutzername und E-
Mail aus.
Hinweis
Die Listen enthalten nur Felder, die für den aktuell am LDAP-Verzeichnis angemeldeten
Benutzer konfiguriert sind, d.h. für den zuvor in Schritt 4.d
(Seite 30) angegebenen
Benutzer. Wenn zum Beispiel kein E-Mail-Feld für diesen Benutzer konfiguriert ist, müssen Sie den gewünschten Wert manuell in das Feld E-Mail eintragen.
Für Active Directory gelten diese Feld-Zuordnungen:
• Benutzername : sAMAccountName
• Vorname : givenName
• Nachname : sn
• E-Mail : mail
7. Geben Sie auf der Seite SSP-Konfiguration an, welche Benutzer sich am Self Service Portal anmelden dürfen. Geben Sie die relevanten Informationen im Feld LDAP-Gruppe ein. Sie haben folgende Möglichkeiten:
• Geben Sie Stern * ein, damit sich Mitglieder aller LDAP-Gruppen am Self Service Portal anmelden dürfen.
Hinweis
Der Wert * steht für alle Gruppen, nicht alle Benutzer. Benutzer, die nicht Mitglied einer
LDAP-Gruppe sind, sind ausgeschlossen.
• Geben Sie den Namen einer auf dem Verzeichnis-Server definierten Gruppe ein, damit sich alle Mitglieder dieser Gruppe am Self Service Portal anmelden dürfen. Wenn Sie die
Gruppe eingegeben haben, klicken Sie auf Gruppe finden , um den Gruppennamen in einen
Distinguished Name (DN) aufzulösen.
• Lassen Sie das Feld leer, damit sich keine Benutzer des Verzeichnis-Servers am Self Service
Portal anmelden dürfen. Verwenden Sie diese Option, um eine externe Benutzerverwaltung für
Sophos Mobile Admin aber nicht für das Self Service Portal zu verwenden.
Copyright © 2018 Sophos Limited 31
Sophos Mobile on Premise
Hinweis
Die Gruppe, die Sie hier angeben, ist unabhängig von der Benutzergruppe, die Sie auf der
Registerkarte Gruppeneinstellungen der Seite Self Service Portal definieren. Mit den
Einstellungen dort definieren Sie Auftragspakete, Gruppenzugehörigkeit in Sophos Mobile und die für jede Benutzergruppe verfügbaren Geräteplattformen.
8. Klicken Sie auf Anwenden .
9. Klicken Sie auf der Registerkarte Benutzerverzeichnis auf Speichern .
10.4.3 Self-Service-Portal-Benutzer erstellen
Dieser Abschnitt gilt nur für die interne Benutzerverwaltung, d.h., wenn Sie kein LDAP-Verzeichnis für die Verwaltung der Benutzerkonten verwenden.
Zur Konfiguration der Benutzerverwaltung in Sophos Mobile on Premise siehe das Dokument Sophos
Mobile Superadministrator-Anleitung (englisch) .
Zur Konfiguration der Benutzerverwaltung in Sophos Mobile as a Service siehe Self-Service-Portal-
Benutzerverwaltung konfigurieren (Seite 29).
So erstellen Sie ein Benutzerkonto für das Self Service Portal:
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Benutzer .
Die Seite Benutzer anzeigen wird angezeigt.
2. Klicken Sie auf Benutzer erstellen .
Die Seite Benutzer bearbeiten wird angezeigt.
3. Aktivieren Sie das Kontrollkästchen Registrierungs-E-Mail senden .
4. Geben Sie folgende Informationen ein: a) Benutzername b) Vorname c) Nachname d) E-Mail-Adresse e) Gruppen (optional)
Hinweis
Das Feld Benutzername darf nur Buchstaben (Lateinisches Alphabet), Ziffern, Leerzeichen, oder die Zeichen \!._-# enthalten.
5. Klicken Sie auf Speichern .
Der neue Self Service Portal Benutzer wird auf der Seite Benutzer anzeigen angezeigt. Eine
Registrierungs-E-Mail wird an den neuen Benutzer gesendet.
Wenn Sie auf das blaue Dreieck neben dem betreffenden Benutzer klicken, können Sie die
Benutzerinformationen anzeigen ( Anzeigen ) oder den Benutzer Bearbeiten oder Löschen .
32 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Wenn Sie auf einen Benutzernamen klicken, wird die Seite Benutzer anzeigen angezeigt. Diese
Seite enthält eine Schaltfläche Registrierungs-E-Mail erneut senden , mit der Sie die E-Mail erneut senden können, falls der Benutzer diese nicht erhalten oder verloren hat.
10.4.4 Self-Service-Portal-Benutzer importieren
Dieser Abschnitt gilt nur für die interne Benutzerverwaltung, d.h., wenn Sie kein LDAP-Verzeichnis für die Verwaltung der Benutzerkonten verwenden.
Zur Konfiguration der Benutzerverwaltung in Sophos Mobile on Premise siehe das Dokument Sophos
Mobile Superadministrator-Anleitung (englisch) .
Zur Konfiguration der Benutzerverwaltung in Sophos Mobile as a Service siehe Self-Service-Portal-
Benutzerverwaltung konfigurieren (Seite 29).
Sie können Benutzerkonten für das Self Service Portal hinzufügen, indem Sie Daten von bis zu 500
Benutzern aus einer UTF-8-kodierten CSV-Datei importieren.
Hinweis
Verwenden Sie einen Text-Editor, um die CSV-Datei zu bearbeiten. Wenn Sie Microsoft Excel verwenden, werden die eingegebenen Werte u. U. nicht korrekt aufgelöst. Achten Sie beim
Speichern darauf, dass die Datei die Endung .csv
besitzt.
Tipp
Auf der Seite Benutzer importieren steht eine Musterdatei mit den korrekten Spaltennamen und der richtigen Spaltenreihenfolge zum Download zur Verfügung.
So importieren Sie Benutzer aus einer CSV-Datei:
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Benutzerverwaltung und dann auf
Benutzer importieren .
2. Wählen Sie auf der Seite Benutzer importieren die Option Registrierungs-E-Mails senden aus.
3. Klicken Sie auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.
Die Einträge werden aus der Datei eingelesen und angezeigt.
4. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen
Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.
5. Klicken Sie auf Fertigstellen , um die Benutzerkonten zu erstellen.
Die Benutzer werden importiert und auf der Seite Benutzer anzeigen angezeigt. Per E-Mail erhalten
Sie ihre Anmeldeinformationen für das Self Service Portal.
10.4.5 Benutzerdetails betrachten
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Benutzerverwaltung .
Die Seite Benutzer anzeigen wird angezeigt, auf der alle Benutzerkonten für das Self Service
Portal enthalten sind.
Copyright © 2018 Sophos Limited 33
Sophos Mobile on Premise
2. Klicken Sie auf das blaue Dreieck neben dem Benutzer, dessen Details Sie anzeigen wollen, und anschließend auf Anzeigen .
Die Kontodetails und die Geräte, denen der Benutzer zugewiesen ist, werden angezeigt.
Bei interner Benutzerverwaltung, d.h., wenn Sie kein LDAP-Verzeichnis für die Benutzerverwaltung verwenden, können Sie auf Bearbeiten klicken, um die Kontodetails zu bearbeiten.
34 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
11 Systemeinstellungen
Auf der Seite Systemeinstellungen können Sie folgende Aufgaben ausführen:
• Lizenz
—
(Seite 35)
• APNs
—
(Seite 36)
—
APNs-Zertifikat erneuern (Seite 37)
—
APNs-Zertifikat in einen anderen Kunden kopieren (Seite 38)
• iOS AirPlay
—
iOS-AirPlay-Wiedergabegeräte konfigurieren
(Seite 40)
• Android Enterprise
—
Android Enterprise einrichten - Übersicht (Seite 293)
• Apple VPP
—
(Seite 280)
—
(Seite 282)
—
VPP-Lizenzinformationen synchronisieren (Seite 284)
• Apple DEP
—
(Seite 75)
• Apple-DEP-Profile
—
(Seite 76)
• Samsung-Knox-Lizenz
—
Samsung-Knox-Lizenz registrieren (Seite 41)
• SCEP
—
(Seite 41)
• Benutzerverzeichnis
—
Benutzerverzeichnis konfigurieren
(Seite 42)
• SGN
—
Synchronisierung des Unternehmens-Schlüsselbundes aktivieren
(Seite 334)
11.1 Lizenzen prüfen
Sophos Mobile verwendet ein benutzerbasiertes Lizenzschema. Eine einzelne Benutzerlizenz ist für alle Geräte gültig, die dem betreffenden Benutzer zugewiesen sind. Für Geräte, die keinem Benutzer zugewiesen sind, ist jeweils eine Lizenz erforderlich.
So überprüfen Sie Ihre verfügbaren Lizenzen:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen .
2. Öffnen Sie auf der Seite Systemeinstellungen die Registerkarte Lizenzen .
Die folgenden Informationen werden angezeigt:
Copyright © 2018 Sophos Limited 35
Sophos Mobile on Premise
• Maximale Anzahl von Lizenzen : Maximale Anzahl von Gerätebenutzern (und nicht zugewiesenen
Geräten), die verwaltet werden können.
Falls der Superadministrator für einen Kunden keinen Höchstwert angegeben hat, ist die
Lizenzanzahl durch die Gesamtzahl für den Sophos Mobile Server begrenzt.
• Genutzte Lizenzen : Anzahl der verwendeten Lizenzen.
• Gültig bis : Das Lizenzablaufdatum.
• Advanced-Lizenz : Der Superadministrator hat für den Kunden eine Lizenz vom Typ Mobile
Advanced aktiviert.
Wenn Sie Fragen zu den Lizenzinformationen haben, oder wenn die angezeigten Informationen Ihrer
Meinung nach nicht korrekt sind, wenden Sie sich an Ihren Sophos Vertriebspartner.
11.2 Zertifikate für den Push-
Benachrichtigungsdienst von Apple (APNs)
Um das integrierte Mobile Device Management (MDM) Protokoll von iOS- und macOS-Geräten verwenden zu können, muss Sophos Mobile den Push-Benachrichtigungsdienst von Apple (APNs) zum Triggern der Geräten benutzen.
APNs-Zertifikate haben eine Gültigkeit von einem Jahr.
Die folgenden Abschnitte beschreiben die Voraussetzungen und die nötigen Schritte, um Zugang zu den APNs-Servern mit Ihrem eigenen Client-Zertifikat zu bekommen.
11.2.1 Voraussetzungen
Für die Kommunikation mit dem Push-Benachrichtigungsdienst von Apple (APNs) muss TCP-
Datenverkehr über folgende Ports erlaubt werden:
• Der Sophos Mobile Server muss sich mit gateway.push.apple.com:2195 TCP
(17.0.0.0/8) verbinden.
• Jedes iOS-Gerät, das ausschließlich über eine WLAN-Verbindung verfügt, muss sich mit
*.push.apple.com:5223 TCP (17.0.0.0/8) verbinden können.
11.2.2 APNs-Zertifikat erstellen
Diese Prozedur setzt voraus, dass Sie noch kein Zertifikat für den Push-Benachrichtigungsdienst von
Apple (APNs) zu Sophos Mobile hochgeladen haben.
Informationen zur Erneuerung eines vorhandenen Zertifikats finden Sie in
(Seite 37).
36
Tipp
Sie können dasselbe Zertifikat für mehrere Kunden verwenden. Siehe
APNs-Zertifikat in einen anderen Kunden kopieren (Seite 38).
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .
Führen Sie anhand der Anleitung auf der Registerkarte die notwendigen Schritte durch, um ein
Zertifikat bei Apple anzufordern und es zu Sophos Mobile hochzuladen.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
2. Klicken Sie im Schritt Certificate Signing Request herunterladen auf CSR herunterladen .
Hierdurch wird die CSR-Datei apple.csr
auf Ihrem Computer gespeichert. Die CSR-Datei gilt nur für den aktuellen Kunden.
3. Sie benötigen eine Apple-ID. Auch wenn Sie bereits eine Apple-ID haben, empfehlen wir Ihnen, für den Gebrauch mit Sophos Mobile eine separate ID zu erstellen. Klicken Sie im Schritt Apple-ID erstellen auf Neue Apple-ID erstellen .
Hierdurch wird die Apple-Internetseite geöffnet, auf der Sie eine Apple-ID für Ihr Unternehmen erstellen können.
Hinweis
Verwahren Sie die Anmeldedaten an einem sicheren Ort, auf den auch Ihre Arbeitskollegen zugreifen können. Ihr Unternehmen benötigt diese Anmeldedaten jedes Jahr, um das Zertifikat zu erneuern.
4. Als Referenz tragen Sie Ihre neue Apple-ID im Feld Apple-ID oben auf der Registerkarte APNs ein.
Wenn Sie das Zertifikat jährlich erneuern, müssen Sie dazu immer dieselbe Apple-ID verwenden.
5. Klicken Sie im Schritt APNs-Zertifikat erstellen oder erneuern auf Apple Push Certificates
Portal .
Hierdurch wird das Apple Push Certificates Portal geöffnet.
6. Melden Sie sich mit Ihrer Apple-ID an und laden Sie die CSR-Datei apple.csr
hoch.
7. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem
herunter und speichern Sie diese.
8. Klicken Sie im Schritt APNs-Zertifikat hochladen auf Zertifikat hochladen und wählen Sie die
Datei mit der Endung .pem
aus, die Sie vom Apple Push Certificates Portal erhalten haben.
9. Klicken Sie auf Speichern , um das APNs-Zertifikat zu Sophos Mobile hinzuzufügen.
Sophos Mobile liest das Zertifikat ein und zeigt die Zertifikatdetails auf der Registerkarte APNs an.
11.2.3 APNs-Zertifikat erneuern
Diese Prozedur setzt voraus, dass Sie schon ein Zertifikat für den Push-Benachrichtigungsdienst von
Apple (APNs) zu Sophos Mobile hochgeladen haben, das abläuft und erneuert werden muss.
(Seite 36).
Wichtig
Es ist wichtig, dass Sie im Apple-Portal das korrekte APNs-Zertifikat zum Erneuern auswählen.
Falls Sie ein falsches Zertifikat erneuern, müssen Sie möglicherweise sämtliche iOS- und macOS-
Geräte erneut registrieren.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .
2. Klicken Sie im Schritt Certificate Signing Request herunterladen auf CSR herunterladen .
Hierdurch wird die CSR-Datei apple.csr
auf Ihrem Computer gespeichert.
3. Überspringen Sie den Schritt Apple-ID erstellen . Dieser Schritt ist nur erforderlich, wenn Sie erstmalig ein APNs-Zertifikat für Sophos Mobile erstellen.
Copyright © 2018 Sophos Limited 37
Sophos Mobile on Premise
4. Klicken Sie im Schritt APNs-Zertifikat erstellen oder erneuern auf Apple Push Certificates
Portal .
Hierdurch wird das Apple Push Certificates Portal geöffnet.
5. Melden Sie sich mit Ihrer Apple ID an. Dies muss dieselbe ID sein, die Sie auch bei der erstmaligen
Erstellung des Zertifikats verwendet haben.
6. Klicken Sie im Apple Push Certificates Portal auf Renew neben Ihrem Sophos Mobile APNs-
Zertifikat.
7. Laden Sie die zuvor erzeugte CSR-Datei apple.csr
hoch.
8. Laden Sie die APNs-Zertifikatdatei mit der Endung .pem
herunter und speichern Sie diese.
9. Klicken Sie im Schritt APNs-Zertifikat hochladen auf Zertifikat hochladen und wählen Sie die
Datei mit der Endung .pem
aus, die Sie vom Apple Push Certificates Portal erhalten haben.
10. Klicken Sie auf Speichern .
11. Wenn Sie als Superadministrator angemeldet sind, werden in einem weiteren Dialog alle Kunden aufgeführt, die dasselbe APNs-Zertifikat wie der Superadministrator-Kunde verwenden, d.h. ein
Zertifikat mit demselben Topic.
• Klicken Sie auf Für alle betroffenen Kunden speichern , um das APNs-Zertifikat für alle diese
Kunden zu erneuern.
• Klicken Sie auf Nur für den Superadministrator-Kunden speichern , um das APNs-Zertifikat nur für den Superadministrator-Kunden zu erneuern.
Wichtig
Falls folgende Meldung angezeigt wird, erneuern Sie nicht das richtige Zertifikat:
Das Topic des neuen Zertifikats stimmt nicht mit dem alten Zertifikat
überein. Wenn mit dem vorherigen Zertifikat Geräte eingerichtet worden sind, müssen diese erneut eingerichtet werden. Wollen Sie Ihre
Änderungen wirklich speichern?
Diese Meldung macht Sie darauf aufmerksam, dass Sie dabei sind, ein neues APNs-Zertifikat mit einer abweichenden Kennung zu erstellen. Wenn Sie die Meldung bestätigen, können alle vorhandenen iOS- und macOS-Geräte nicht mehr verwaltet werden und Sie müssen diese erneut registrieren.
Informationen, wie Sie das richtige Zertifikat ermitteln, finden Sie in
Zertifikat identifizieren (Seite 39).
11.2.4 APNs-Zertifikat in einen anderen Kunden kopieren
Sie können ein Zertifikat für den Push-Benachrichtigungsdienst von Apple (APNs) in einen anderen
Kunden derselben oder einer anderen Installation von Sophos Mobile kopieren.
38
Wichtig
Falls am Kopierziel bereits ein APNs-Zertifikat vorhanden ist, ist es wichtig, dass die
Zertifikateigenschaft Topic des zu kopierenden Zertifikats mit dem Topic des vorhandenen
Zertifikats übereinstimmt. Falls Sie ein falsches Zertifikat kopieren, müssen Sie möglicherweise sämtliche iOS- und macOS-Geräte des Kunden erneut registrieren.
Quell-Zertifikat herunterladen:
1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines
Administrators für den Kunden, dessen APNs-Zertifikat Sie kopieren wollen.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .
3. Notieren Sie sich den Wert für Topic , der bei den Zertifikatdetails angezeigt wird.
4. Klicken Sie auf Zertifikat als PKCS#12-Datei herunterladen .
5. Im Bestätigungsdialog wird das Kennwort für die Zertifikat-Datei angezeigt. Notieren Sie sich dieses Kennwort und klicken Sie anschließend auf Herunterladen .
Die Zertifikatdatei apns_cert.p12
wird auf Ihrem Computer gespeichert.
Zertifikat zum Ziel hochladen:
6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines
Administrators für den Kunden, zu dem Sie das Zertifikat hochladen wollen.
7. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .
8. Falls bereits ein Zertifikat vorhanden ist, überprüfen Sie, dass der Wert für Topic mit dem Wert des zu kopierenden Zertifikats übereinstimmt.
9. Klicken Sie im Schritt APNs-Zertifikat hochladen auf Zertifikat hochladen und suchen Sie nach der Datei apns_cert.p12
, die Sie zuvor heruntergeladen haben.
10. Geben Sie das Kennwort ein und klicken Sie auf Anwenden .
11. Klicken Sie auf Speichern .
11.2.5 Zu erneuerndes APNs-Zertifikat identifizieren
Wenn Sie, wie in APNs-Zertifikat erneuern
(Seite 37) beschrieben, Ihr Zertifikat für den Push-
Benachrichtigungsdienst von Apple (APNs) für Sophos Mobile erneuern, ist es wichtig, dass Sie im
Apple-Portal das richtige APNs-Zertifikat zum Erneuern auswählen.
Dieser Abschnitt beschreibt, wie Sie das aktuell auf den Sophos Mobile Server hochgeladene APNs-
Zertifikat identifizieren.
Ermitteln Sie die Zertifikat-Kennung:
1. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines
Administrators für den Kunden, dessen APNs-Zertifikat erneuert werden muss.
2. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte APNs .
3. Im Abschnitt Inhalt des Apple Push Notification (APN) Keystores werden die Details des hochgeladenen APNs-Zertifikats angezeigt.
4. Notieren Sie sich den für Topic angezeigten Wert.
Dies ist die Zertifikat-Kennung.
Identifizieren Sie das Zertifikat:
5. Öffnen Sie in Ihrem Webbrowser die URL des Apple Push Certificates Portal, https:// identity.apple.com/pushcert/ .
Falls Sie den Microsoft Internet Explorer verwenden und Probleme mit bestimmten Funktionen des Apple-Portals haben, empfehlen wir Ihnen, stattdessen eine aktuelle Version der Webbrowser
Firefox, Opera, Chrome oder Safari zu verwenden.
6. Melden Sie sich mit Ihrer Apple-ID an, die Sie auch bei der erstmaligen Erstellung des Zertifikats verwendet haben.
7.
Klicken Sie in der Liste der APNs-Zertifikate auf das Symbol Zertifikat-Info neben einem
Zertifikat.
Die Zertifikatdetails werden angezeigt.
Copyright © 2018 Sophos Limited 39
Sophos Mobile on Premise
8. Ermitteln Sie, welcher Wert im Feld Subject DN nach der Zeichenkette UID= steht. Wenn dieser
Wert mit der Kennung übereinstimmt, die Sie in Sophos Mobile Admin ermittelt haben, haben Sie das richtige Zertifikat identifiziert.
11.2.6 APNs-Verbindung von Geräten überprüfen
Unter iOS können Benutzer der App Sophos Mobile Control überprüfen, ob ihre Geräte sich mit dem
Push-Benachrichtigungsdienst von Apple (APNs) verbinden können.
1. Tippen Sie in der App Sophos Mobile Control auf das Symbol Information , um die Ansicht Über zu
öffnen.
2. Tippen Sie auf APNs überprüfen .
Die App versucht, eine Verbindung zum Apple-APNs-Server aufzubauen. Dies kann bis zu 5 Sekunden dauern.
Wenn Sie einen Hinweis erhalten, dass der APNs-Server erreicht werden konnte, kann das Gerät
Kommandos vom Sophos Mobile Server mittels APNs erhalten.
Wenn Sie einen Hinweis erhalten, dass der APNs-Server nicht erreicht werden konnte, ist die APNs-
Kommunikation in Ihrem Netzwerk nicht möglich. In diesem Fall kann Sophos Mobile keine iOS-Geräte
verwalten. Um dies zu beheben, müssen Sie sicherstellen, dass die in Voraussetzungen (Seite 36)
beschriebenen Voraussetzungen erfüllt sind.
11.3 iOS-AirPlay-Wiedergabegeräte konfigurieren
Mit Sophos Mobile können Sie das Spiegeln von Inhalten per AirPlay zwischen einem iOS-Gerät und einem vordefinierten AirPlay-Wiedergabegerät (zum Beispiel AppleTV) remote auslösen.
Hinweis
AirPlay funktioniert nur innerhalb eines Netzwerks.
Sie können die Wiedergabegeräte für die Spiegelung per AirPlay definieren.
1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Einrichtung und danach auf
Systemeinstellungen . Öffnen Sie anschließend die Registerkarte iOS AirPlay .
2. Klicken Sie im Abschnitt AirPlay-Wiedergabegeräte auf AirPlay-Wiedergabegeräte erstellen .
Die Seite AirPlay-Wiedergabegerät wird angezeigt.
3. Geben Sie den Namen und optional die MAC-Adresse des AirPlay-Wiedergabegerätes ein. Falls erforderlich, geben Sie das Geräte-Kennwort ein.
4. Klicken Sie auf Anwenden .
Das Gerät wird unter AirPlay-Wiedergabegeräte auf der Registerkarte iOS AirPlay der Seite
Systemeinstellungen angezeigt.
5. Klicken Sie auf Speichern .
Sie können die Spiegelung per AirPlay zwischen einem iOS-Gerät und diesem Wiedergabegerät auslösen, indem Sie auf der Seite Gerät anzeigen für das gewünschte Gerät im Menü Aktionen auf
AirPlay-Wiedergabe anfordern klicken.
40 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
11.4 Samsung-Knox-Lizenz registrieren
Wenn Ihr Unternehmen eine Samsung-Knox-Premium-Lizenz erworben hat, geben Sie auf der
Registerkarte Samsung-Knox-Lizenz den Lizenzschlüssel, die Lizenzanzahl und das Ablaufdatum ein, um den Knox-Container auf Ihren Samsung-Knox-Geräten mit Sophos Mobile zu verwalten.
11.5 Simple Certificate Enrollment Protocol (SCEP)
Sie können Simple Certificate Enrollment Protocol (einfaches Zertifikat-Registrierungs-Protokoll, kurz
SCEP) konfigurieren, um Zertifikate bereitzustellen. Auf diese Weise können Geräte Zertifikate über
SCEP bei einer Zertifizierungsstelle beziehen.
Sie können alle Einstellungen festlegen, die für den Zugriff auf einen CA-Server über SCEP in Sophos
Mobile Admin erforderlich sind.
Die für Geräte benötigten SCEP-Einstellungen legen Sie in einer Konfiguration vom Typ SCEP fest; entweder in einem Geräteprofil (für Android und iOS) oder in einer Richtlinie (für Windows Mobile).
11.5.1 Voraussetzungen
Um das Simple Certificate Enrollment Protocol (SCEP) nutzen zu können, müssen die folgenden
Voraussetzungen erfüllt sein:
• In der Netzwerk-Umgebung muss eine SCEP-fähige Windows-CA vorhanden sein.
• Die Anmeldedaten für einen Benutzer, der einen Challenge-Code erstellen kann, sind verfügbar.
• Der Sophos Mobile hat http- oder https-Zugriff auf die folgenden Adressen:
— https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN
— https://IHR-SCEP-SERVER/CertSrv/MSCEP
11.5.2 SCEP konfigurieren
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte SCEP .
2. Machen Sie die folgenden Angaben: a) Geben Sie im Feld SCEP Server URL https://IHR-SCEP-SERVER/CertSrv/MSCEP ein.
b) Geben Sie im Feld Challenge URL https://IHR-SCEP-SERVER/CertSrv/MSCEP_ADMIN ein.
Hinweis
Wenn Sie einen Windows 2003-Server als SCEP-Server verwenden, geben Sie https://
IHR-SCEP-SERVER/CertSrv/MSCEP ein.
c) Geben Sie in den Feldern Benutzer und Kennwort die Zugangsdaten des Benutzers ein, der einen Challenge-Code erstellen kann.
Copyright © 2018 Sophos Limited 41
Sophos Mobile on Premise
Hinweis
Geben Sie im Feld Benutzer einen Benutzer ein, der über die erforderlichen
Berechtigungen für die Bereitstellung von Zertifikaten verfügt. Verwenden Sie folgendes
Anmeldeformat: benutzername@domäne d) Wählen Sie im Feld Challenge-Zeichen die Zeichenklassen aus, die für das Challenge-
Kennwort verwendet werden.
e) Akzeptieren Sie im Feld Challenge-Länge die Standardlänge.
f) Optional: Deaktivieren Sie die Option HTTP-Proxy verwenden , damit Sophos Mobile für
Verbindungen mit dem SCEP-Server den HTTP-Proxy umgeht. Diese Option ist nur verfügbar, wenn der HTTP-Proxy aktiviert ist.
Für Sophos Mobile on Premise kann der Superadministrator einen HTTP-Proxy konfigurieren, den Sophos Mobile für ausgehende HTTP- und SSL/TLS-Verbindungen verwendet. Siehe das
Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .
Für Sophos Mobile as a Service ist der HTTP-Proxy standardmäßig aktiviert.
3. Klicken Sie auf Speichern .
Sophos Mobile testet die Verbindung zu Ihrem SCEP-Server.
Um mittels SCEP ein Profil zu übertragen, müssen Sie eine Konfiguration vom Typ SCEP zu einem
Geräteprofil (für Android oder iOS) oder einer Richtlinie (für Windows Mobile) hinzufügen.
11.6 Benutzerverzeichnis konfigurieren
Auf der Registerkarte Benutzerverzeichnis können Sie die Einstellungen für die Benutzerverwaltung
ändern. Für weitere Informationen, siehe
Self-Service-Portal-Benutzer verwalten
(Seite 29) und das
Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .
42 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
12 Compliance-Richtlinien
Mit Compliance-Richtlinien können Sie:
• Bestimmte Funktionen eines Gerätes erlauben, verbieten oder erzwingen.
• Aktionen definieren, die ausgeführt werden, wenn gegen eine Compliance-Regel verstoßen wird.
Sie können unterschiedliche Compliance-Richtlinien erstellen und unterschiedlichen Gerätegruppen zuweisen. Somit können Sie verschiedene Sicherheitsstufen auf Ihre verwalteten Geräte anwenden.
Tipp
Wenn Sie sowohl Firmengeräte als auch Privatgeräte verwalten möchten, empfehlen wir, zumindest für diese beiden Gerätetypen unterschiedliche Compliance-Richtlinien zu definieren.
12.1 Compliance-Richtlinie erstellen
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien .
2. Klicken Sie auf der Seite Compliance-Richtlinien auf Compliance-Richtlinie erstellen und wählen Sie anschließend eine Vorlage für die Richtlinie aus:
• Standardvorlage : Eine Auswahl an Compliance-Regeln ohne vordefinierte Aktionen.
• PCI-Vorlage , HIPAA-Vorlage : Compliance-Regeln und Aktionen, die auf den
Sicherheitsstandards HIPAA bzw. PCI DSS basieren.
Die Wahl der Vorlage beschränkt nicht Ihre Konfigurationsmöglichkeiten.
3. Geben Sie einen Namen und optional eine Beschreibung für die Compliance-Richtlinie ein.
Wiederholen Sie die folgenden Schritte für alle benötigten Plattformen.
4. Stellen Sie sicher, dass das Kontrollkästchen Plattform aktivieren aktiviert ist.
Wenn dieses Kontrollkästchen nicht aktiviert ist, werden die Geräte der Plattform nicht auf
Compliance überprüft.
5. Konfigurieren Sie unter Regel die Compliance-Regeln für die ausgewählte Plattform.
Hinweis
Jede Compliance-Regel hat ein festgelegtes Schwere-Level (hoch, mittel, niedrig), das durch blaue Balken dargestellt wird. Die erlaubt Ihnen, die Wichtigkeit jeder Regel zu beurteilen und so eine angemessene Aktion für den Fall eines Regelverstoßes zu definieren.
Hinweis
Für Geräte, auf denen Sophos Mobile den Sophos-Container verwaltet anstatt das gesamte Gerät, ist nur ein Teil der Compliance-Regeln durchsetzbar. Wählen Sie in Regeln hervorheben einen Management-Typ aus, um die für diesen Typ relevanten Regeln hervorzuheben.
Copyright © 2018 Sophos Limited 43
Sophos Mobile on Premise
6. Definieren Sie unter Wenn gegen die Regel verstoßen wird , welche Aktionen bei einem
Regelverstoß ausgeführt werden:
Option
E-Mail verbieten
Container sperren
Netzwerkzugriff verbieten
Alarm erstellen
Auftragspaket übertragen
Beschreibung
E-Mail-Zugriff verweigern.
Diese Aktion kann nur ausgeführt werden, wenn der
Superadministrator eine Verbindung zum internen oder zum
Standalone-EAS-Proxy konfiguriert hat. Siehe das Dokument
Sophos Mobile Superadministrator-Anleitung (englisch) .
Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, Windows, Windows Mobile.
Sophos Secure Workspace und Secure Email deaktivieren.
Dies wirkt sich auf den durch diese Apps verwalteten Zugang zu
Dokumenten, E-Mails und Internet aus.
Diese Aktion kann nur ausgeführt werden, wenn Sie eine Lizenz vom Typ Mobile Advanced aktiviert haben.
Diese Aktion ist nur für Android- und iOS-Geräte verfügbar.
Netzwerkzugriff verbieten.
Diese Aktion kann nur ausgeführt werden, wenn der
Superadministrator Network Access Control konfiguriert hat.
Siehe das Dokument Sophos Mobile Superadministrator-
Anleitung (englisch) .
Einen Alarm erstellen.
Die Alarme werden auf der Seite Alarme angezeigt.
Übermitteln Sie ein bestimmtes Auftragspaket an das Gerät
(optional).
Wählen Sie ein Auftragspaket aus der Liste aus oder wählen
Sie Keine aus, um kein Auftragspaket zu übertragen, wenn ein
Regelverstoß festgestellt wird.
Diese Aktion ist nur für Geräte der folgenden Plattformen verfügbar: Android, iOS, macOS, Windows.
Wichtig
Bei falscher Anwendung werden durch Auftragspakete unter
Umständen Geräte falsch konfiguriert oder sogar auf den
Auslieferungszustand zurückgesetzt. Für die Zuweisung der richtigen Auftragspakete zu Compliance-Richtlinien ist weitreichende Erfahrung mit dem System notwendig.
7. Wenn Sie alle Einstellungen für alle erforderlichen Plattformen vorgenommen haben klicken Sie auf
Speichern , um die Compliance-Richtlinie unter dem gewählten Namen zu speichern.
Die neue Compliance-Richtlinie wird auf der Seite Compliance-Richtlinien angezeigt.
44 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
12.2 Verfügbare Compliance-Regeln
Dieser Abschnitt beschreibt die Compliance-Regeln, die Sie für die einzelnen Plattformen auswählen können.
Regel
Status „Verwaltet“ erforderlich
Minimale Version der SMC-App
Root-Zugriff erlaubt
Beschreibung
Wählen Sie aus, ob gerootete Geräte zulässig sind.
Plattformen
Legen Sie fest, welche Aktionen ausgeführt werden, wenn ein Gerät nicht mehr den Status „Verwaltet“ hat.
Android
Android Things iOS macOS
Windows Mobile
Windows
Windows IoT
Geben Sie die Mindestversion der App
Sophos Mobile Control ein, die auf dem
Gerät installiert sein muss.
Android
Android Things iOS
Windows Mobile
Android
Hinweis
Bei Sony-Geräten mit Enterprise
API 4 oder höher und bei Samsung-
Geräten mit Knox 5.5 oder niedriger beinhaltet das auch Geräte, die von der jeweiligen MDM-API als Insecure klassifiziert werden, zum Beispiel, weil der Bootloader entsperrt ist.
Apps aus unbekannten Quellen erlaubt
Wählen Sie aus, ob Apps aus unbekannten Quellen erlaubt sind.
Diese Regel betrifft nur Geräte mit
Android 7.x oder früher. Mit Android
8 wurde die Systemeinstellung zur
Beschränkung der Installationsquelle entfernt.
Android
Android Debug Bridge (ADB) erlaubt Wählen Sie aus, ob ADB (Android
Debug Bridge) erlaubt ist.
Jailbreak erlauben Wählen Sie aus, ob Jailbroken-Geräte zulässig sind.
Android iOS
Copyright © 2018 Sophos Limited 45
Sophos Mobile on Premise
Regel
Displaysperre erforderlich
Min. OS-Version
Max. OS-Version
Erforderliche Betriebssystem-
Aktualisierungen
Beschreibung Plattformen
Wählen Sie aus, ob ein
Gerätekennwort oder eine andere Art der Displaysperre (zum Beispiel Muster oder PIN) erforderlich ist.
Android iOS
Windows Mobile
Windows Bei Android umfasst dies die
Displaysperre-Arten Muster, PIN und
Passwort, aber nicht Wischen.
Windows-Mobile-Geräte, denen keine Kennwortrichtlinie zugewiesen ist, werden immer als nicht richtlinienkonform eingestuft. Dies liegt an einer Beschränkung in Windows.
Wählen Sie die kleinste erforderliche
Betriebssystemversion aus.
Android
Android Things iOS macOS
Windows Mobile
Windows
Windows IoT
Wählen Sie die neueste erlaubte
Betriebssystemversion aus.
Android
Android Things iOS macOS
Windows Mobile
Windows
Windows IoT iOS Wählen Sie aus, ob auf den Geräten die neueste verfügbare bzw. neueste erforderliche Aktualisierung installiert sein muss.
Manche Aktualisierungen werden von
Apple als erforderlich eingestuft. Die neueste verfügbare Aktualisierung ist eventuell neuer als die neueste erforderliche Aktualisierung.
46 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Regel Beschreibung Plattformen
Max. Synchronisierungsabstand Geben Sie das maximale Intervall zwischen Synchronisierungsvorgängen für Geräte an.
Android
Android Things iOS macOS
Windows Mobile
Windows
Windows IoT
Maximales
Synchronisierungsintervall der SMC-
App
Geben Sie das maximale Zeitintervall für die App-Synchronisierung an.
iOS
Windows Mobile
Max. SMSec-Scanintervall
Ablehnung von SMSec-
Berechtigungen erlaubt
Geben Sie den maximalen Zeitabstand zwischen Malware-Scans an, die von der App „Sophos Mobile Security“ auf dem Gerät durchgeführt werden.
Android
Sophos Mobile Security benötigt auf dem Gerät bestimmte Berechtigungen, um korrekt zu funktionieren. Der
Benutzer muss diese Berechtigungen bei der App-Installation gewähren.
Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein
Compliance-Verstoß ist.
Android
Malware-Apps erlaubt
Verdächtige Apps erlaubt
PUAs erlaubt
Wählen Sie aus, ob von Sophos Mobile
Security entdeckte Malware-Apps erlaubt sind.
Android
Wählen Sie aus, ob von Sophos Mobile
Security entdeckte verdächtige Apps erlaubt sind.
Android
Wählen Sie aus, ob von Sophos Mobile
Security entdeckte PUAs (Potentially
Unwanted Apps) erlaubt sind.
Android
Copyright © 2018 Sophos Limited 47
Sophos Mobile on Premise
Regel
Verschlüsselung erforderlich
Daten-Roaming erlauben
Container konfiguriert
Ortungsberechtigung erforderlich
Ablehnung von SMC-
Berechtigungen erlaubt
Beschreibung Plattformen
Wählen Sie aus, ob für Geräte
Verschlüsselung erforderlich ist.
Android iOS
Benutzer mit Android 5 oder höher müssen bei der Einrichtung einer
Displaysperre zusätzlich die Einstellung
PIN zum Starten des Gerätes erforderlich oder Passwort zum
Starten des Gerätes erforderlich aktivieren. Siehe den Sophos
Knowledgebase-Artikel 123947 .
macOS
Windows Mobile
Windows
Für macOS betrifft diese Einstellung die vollständige FileVault-
Festplattenverschlüsselung.
Für Windows Mobile wird eine
Regelverletzung nur dann gemeldet, wenn gleichzeitig die Einschränkung
Unverschlüsseltes Gerät verbieten aktiv ist. Dies liegt an einer
Beschränkung in Windows.
Wählen Sie aus, ob für Geräte Daten-
Roaming zulässig ist.
Android iOS
Wählen Sie aus, ob auf dem Gerät ein
Container eingerichtet und aktiviert sein muss. Dies kann der Sophos-
Container, ein Samsung-Knox-
Container oder ein Android-Arbeitsprofil sein.
Android
Diese Einstellung bezieht sich auf die
Lokalisieren Funktion. Legen Sie fest, ob der Benutzer der App Sophos
Mobile Control bei der Installation gestatten muss, Ortsdaten abzurufen, damit das Gerät richtlinienkonform ist.
Android
Die App Sophos Mobile Control benötigt auf dem Gerät bestimmte
Berechtigungen, um korrekt zu funktionieren. Der Benutzer muss diese
Berechtigungen bei der App-Installation gewähren.
Android
Wählen Sie aus, ob die Verweigerung der benötigten Berechtigungen ein
Compliance-Verstoß ist.
48 Copyright © 2018 Sophos Limited
Regel
App kann das Gerät orten
Firewall erforderlich
Systemintegritäts-Schutz erforderlich
Sicherheitsupdates erforderlich Die automatische Installation von macOS-Sicherheitsupdates muss aktiviert sein.
Sophos Mobile on Premise
Beschreibung Plattformen
Ortungsdienste müssen aktiviert sein und von der App Sophos Mobile
Control verwendet werden dürfen.
Für Windows Mobile betrifft diese
Regel nur Geräte mit Windows Phone
8.1.
Die macOS-Firewall muss aktiviert sein.
iOS
Windows Mobile macOS
Systemintegritäts-Schutz muss aktiviert sein.
macOS
Hinweis
Systemintegritäts-Schutz ist eine
Sicherheitsfunktion in macOS, mit der die erlaubten Aktionen für den
Root-Benutzer beschränkt werden.
Systemintegritäts-Schutz kann konfiguriert werden, wenn der Mac im Modus macOS#Wiederherstellung gestartet wird.
macOS
Copyright © 2018 Sophos Limited 49
Sophos Mobile on Premise
Regel
Erlaubte Apps / Verbotene Apps
Vorgeschriebene Apps
Windows Defender muss eingeschaltet sein
Windows Defender darf keine
Probleme melden
Windows-Defender-Definitionen müssen aktuell sein
Beschreibung Plattformen
Sie können entweder Erlaubte Apps oder Unzulässige Apps angeben.
Wählen Sie zunächst aus der ersten
Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen
Apps enthält. Informationen zur
Erstellung von App-Gruppen finden Sie
(Seite 287).
Android iOS macOS
Wenn Sie Erlaubte Apps angeben, sind nur die aufgeführten Apps erlaubt. Wenn andere Apps erkannt werden, ist das Gerät nicht mehr richtlinienkonform.
Hinweis
Android-System-Apps sind automatisch erlaubt.
Wenn Sie Unzulässige Apps angeben, ist das Gerät nicht mehr richtlinienkonform, falls diese Apps erkannt werden.
Geben Sie Apps an, die installiert sein müssen. Wählen Sie die App-Gruppe mit den erforderlichen Apps aus der
Liste aus. Informationen zur Erstellung von App-Gruppen finden Sie in
Android iOS macOS
Windows
Windows Die Windows-Defender-Einstellung
Echtzeitschutz muss eingeschaltet sein.
Das Gerät ist nicht richtlinienkonform, wenn Windows Defender Warnungen anzeigt.
Windows
Windows Defender muss die neuesten
Antispyware-Definitionen verwenden.
Windows
50
12.3 Eine Compliance-Richtlinie Gerätegruppen zuweisen
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen .
Die Seite Gerätegruppen wird angezeigt.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
2. Klicken Sie auf das blaue Dreieck neben der Gerätegruppe, der Sie eine Compliance-Richtlinie zuweisen wollen, und anschließend auf Bearbeiten .
Die Gerätegruppe Default ist standardmäßig vorhanden. Weitere Informationen zum Erstellen
eigener Gerätegruppen finden Sie in Gerätegruppen erstellen (Seite 83).
3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die Sie auf Firmenund Privatgeräte anwenden wollen.
4. Klicken Sie auf Speichern .
Die ausgewählten Compliance-Richtlinien werden auf der Seite Gerätegruppen für die jeweilige
Gerätegruppe unter Compliance-Richtlinie (Firmengeräte) und Compliance-Richtlinie
(Privatgeräte) angezeigt.
12.4 Geräte auf Compliance-Verstöße prüfen
Wenn Sie Compliance-Richtlinien konfiguriert haben, können Sie prüfen, ob registrierte Geräte diesen
Richtlinien entsprechen.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Compliance-Richtlinien .
2. Klicken Sie auf Jetzt prüfen .
Alle registrierten Geräte werden auf Compliance-Verstöße geprüft. Die festgelegten Aktionen werden ausgeführt.
Copyright © 2018 Sophos Limited 51
Sophos Mobile on Premise
13 Geräte
13.1 Geräte hinzufügen
Sie können Geräte auf folgende Weisen zu Sophos Mobile hinzufügen:
•
Geräte manuell hinzufügen. Siehe Gerät hinzufügen
(Seite 52).
• Geräte aus einer CSV-Datei importieren. Siehe
Geräte importieren (Seite 53).
• Mit dem Geräteregistrierungs-Assistent ein Gerät zu Sophos Mobile hinzufügen, es einem
Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen. Siehe
Mit dem Geräteregistrierungs-Assistent neue Geräte zuweisen und registrieren (Seite 56).
•
Benutzern ermöglichen, Geräte eigenständig im Self Service Portal zu registrieren. Siehe Self
(Seite 23). Dieses Portal verringert den Aufwand für die IT, weil die
Benutzer Aufgaben ausführen können, ohne sich an das Helpdesk wenden zu müssen. Die Geräte
werden durch das Ausführen vordefinierter Auftragspakete provisioniert. Siehe Auftragspakete
(Seite 256).
Zur Vereinfachung der Geräteverwaltung empfehlen wir Ihnen, Geräte in Gerätegruppen zu organisieren. Siehe
52
13.1.1 Gerät hinzufügen
Wir empfehlen, dass Sie eine oder mehrere Gerätegruppen erstellen, bevor Sie das erste Gerät zu
Sophos Mobile hinzufügen. Um die Geräteverwaltung zu vereinfachen, können Sie jedes Gerät einer
Gerätegruppe zuweisen. Siehe
(Seite 83).
So fügen Sie ein neues Gerät zu Sophos Mobile hinzu:
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
Die Seite Geräte wird angezeigt.
2. Klicken Sie auf Hinzufügen und wählen Sie anschließend im Menüabschnitt Gerät manuell hinzufügen die Plattform aus.
Die Seite Gerät bearbeiten wird angezeigt.
3. Geben Sie auf der Seite Gerät bearbeiten die folgenden Gerätedetails an: a) Geben Sie im Feld Name einen eindeutigen Namen für das neue Gerät ein.
b) Geben Sie im Feld Beschreibung eine Beschreibung für das neue Gerät ein.
c) Wählen Sie unter Eigentümer Firmengerät oder Privat aus.
d) Geben Sie im Feld E-Mail-Adresse eine E-Mail-Adresse ein.
e) Geben Sie im Feld Telefonnummer die Telefonnummer des neuen Gerätes ein. Geben Sie die
Telefonnummer in internationalem Format ein, zum Beispiel +491701234567 .
f) Wählen Sie unter Gerätegruppe die Gerätegruppe, zu der das Gerät hinzugefügt werden soll.
Für weitere Informationen zum Erstellen von Gerätegruppen, siehe Gerätegruppen erstellen
(Seite 83).
4. Um dem Gerät einen Benutzer zuzuweisen, klicken Sie auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf Benutzer zuweisen . Weitere
Informationen finden Sie in
(Seite 66).
5. Um benutzerdefinierte Eigenschaften zum Gerät hinzuzufügen, öffnen Sie die Registerkarte
Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise hinzufügen . Weitere Informationen finden Sie in
Benutzerdefinierte Geräteeigenschaften (Seite
67).
6. Wenn Sie alle erforderlichen Gerätedetails angegeben haben, klicken Sie auf Speichern .
Das neue Gerät wird zu Sophos Mobile hinzufügt und auf der Seite Geräte unter VERWALTEN angezeigt. Sie können das Gerät nun provisionieren und verwalten.
Hinweis
Wenn Sie in Sophos Mobile konfiguriert haben, dass der Name von iOS-Geräten mit dem Gerät
synchronisiert wird (siehe Einstellungen für iOS konfigurieren
(Seite 20)), wird der Name, den Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten Namen ersetzt.
13.1.2 Geräte importieren
Sie können neue Geräte hinzufügen, indem Sie die Daten von bis zu 500 Geräten aus einer UTF-8kodierte CSV-Datei importieren.
Hinweis
Verwenden Sie einen Text-Editor, um die CSV-Datei zu bearbeiten. Wenn Sie Microsoft Excel verwenden, werden die eingegebenen Werte u. U. nicht korrekt aufgelöst. Achten Sie beim
Speichern darauf, dass die Datei die Endung .csv
besitzt.
Hinweis
Die in der CSV-Datei enthaltenen Benutzer müssen schon in Sophos Mobile angelegt worden sein.
Tipp
Auf der Seite Geräte importieren steht eine Musterdatei mit den korrekten Spaltennamen und der richtigen Spaltenreihenfolge zum Download zur Verfügung.
So importieren Sie Geräte aus einer CSV-Datei:
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf der Seite Geräte auf Hinzufügen > Geräte importieren .
3. Klicken Sie auf der Seite Geräte importieren auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.
Die Einträge werden aus der Datei eingelesen und angezeigt.
4. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen
Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.
5. Klicken Sie auf Fertigstellen , um die Geräte anzulegen.
Die in der CSV-Datei aufgeführten Geräte werden importiert und auf der Seite Devices angezeigt.
Anschließend können Sie die Geräte registrieren und konfigurieren.
Copyright © 2018 Sophos Limited 53
Sophos Mobile on Premise
54
13.2 Geräte registrieren
Nachdem Sie in Sophos Mobile Admin neue Geräte hinzugefügt haben, müssen diese bei Sophos
Mobile registriert werden.
Registrierungsarten
Sophos Mobile unterstützt zwei Arten von Registrierung:
Geräte-Registrierung
Sophos-Container-Registrierung
Diese Registrierungsart ermöglicht eine umfassende MDM-Geräteverwaltung (Mobile
Device Management). Sophos Mobile kann das gesamte Gerät verwalten.
Sophos Mobile verwaltet nur den Sophos-
Container auf dem Gerät, aber nicht das Gerät an sich.
Der Sophos-Container ist für Android und iOS verfügbar.
Die Sophos-Container-Registrierung ist in folgenden Situationen nützlich:
• Sie wollen ein Bring-Your-Own-Device-
Szenario (BYOD) unterstützen. Bei der
Sophos-Container-Registrierung erhält
Ihr Unternehmen nur sehr begrenzte
Geräteinformationen, und keine Informationen zu privaten Apps oder Daten.
• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzlich
Funktionen nutzen, die vom Sophos-
Container bereitgestellt werden, wie zum Beispiel die Synchronisierung des
Unternehmens-Schlüsselbundes mit Sophos
SafeGuard Enterprise.
• Ihre Geräte werden mit der MDM-Software eines anderen Herstellers als Sophos verwaltet, aber Sie möchten zusätzliche
E-Mail-Konten einrichten. Dies ist zum
Beispiel für Beraterfirmen interessant, deren
Mitarbeiter E-Mail-Konten auf den Exchange-
Servern ihrer Kunden haben.
Registrierungsverfahren
Sie haben folgende Möglichkeiten, Geräte zu registrieren:
• Sie können einzelne, nicht verwaltete Geräte mit der Funktion Geräte registrieren. Weitere
Informationen finden Sie in
(Seite 55).
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
• Sie können mit dem Geräteregistrierungs-Assistenten ein Gerät zu Sophos Mobile hinzufügen, es einem Benutzer zuweisen, es registrieren, und ein Registrierungs-Auftragspaket übertragen. Siehe
Mit dem Geräteregistrierungs-Assistent neue Geräte zuweisen und registrieren (Seite 56).
Hinweis
Bei Bedarf können Sie den Geräteregistrierungs-Assistenten oder die Methode der automatischen Registrierung verwenden, um iOS-Geräte zu registrieren, auf denen keine
Apple-ID eingerichtet ist. Dies ist zum Beispiel nützlich, um ein Gerät vor der Übergabe an einen Endbenutzer vorzukonfigurieren. Siehe
iOS-Geräte ohne Apple-ID registrieren (Seite
58).
Empfehlungen
Für eine effiziente Registrierung und Konfiguration mehrerer Geräte empfehlen wir folgende Methoden:
• Sie können die Aufträge zusammenfassen, die erforderlich sind, Geräte zu registrieren, erforderliche Richtlinien zuzuweisen und erforderliche Apps zu installieren (zum Beispiel verwaltete
Apps im Falle von iOS-Geräten). Weitere Informationen finden Sie in Auftragspakete
(Seite 256).
• Sie können Benutzern ermöglichen, Geräte im Self Service Portal zu registrieren. Nehmen Sie hierzu bei der Konfiguration der Einstellungen für das Self Service Portal ein Auftragspaket für die Registrierung auf. Weitere Informationen dazu, wie Sie die für die Registrierung erforderlichen
Auftragspakete erstellen, finden Sie in den Dokumenten Sophos Mobile Schnellstart-Anleitung bzw.
Sophos Mobile as a Service Schnellstart-Anleitung . Weitere Informationen zum Auswählen des
Auftragspakets in den Einstellungen Self Service Portal
finden Sie in Einstellungen für das Self
(Seite 24).
13.2.1 Einzelne Geräte registrieren
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf das Gerät, das Sie registrieren wollen.
2. Wählen Sie auf der Seite Gerät anzeigen einen Registrierungstyp aus:
• Um das Gerät bei Sophos Mobile zu registrieren, klicken Sie auf Aktionen > Registrieren .
• Um den Sophos-Container zu registrieren, klicken Sie auf Aktionen > Sophos-Container registrieren .
3. Für die Registrierung des Sophos-Containers wählen Sie ein Auftragspaket oder eine Richtlinie aus.
Der Einrichtungsauftrag wird gestartet und auf der Seite Auftragsstatus angezeigt. Eine E-Mail mit
Registrierungsanweisungen wird an den Benutzer verschickt.
Hinweis
Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von Sophos
Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der Benutzer ein
Administratorkennwort eingeben.
Copyright © 2018 Sophos Limited 55
Sophos Mobile on Premise
13.2.2 Mit dem Geräteregistrierungs-Assistent neue Geräte zuweisen und registrieren
Mit dem Geräteregistrierungs-Assistent können Sie auf einfache Art neue Geräte registrieren. Er führt
Sie durch die folgenden Arbeitsschritte:
• Ein neues Gerät zu Sophos Mobile hinzufügen.
• Optional: Dem Gerät einen Benutzer zuweisen.
• Gerät registrieren.
• Optional: Ein Auftragspaket an das Gerät übermitteln.
So starten Sie den Geräteregistrierungs-Assistent:
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen
> Registrierungs-Assistent .
Tipp
Alternativ können Sie den Assistenten auch starten, indem Sie im Dashboard auf das Widget
Gerät hinzufügen klicken.
2. Auf der Seite Suchparameter für Benutzer eingeben können Sie entweder nach einem Benutzer suchen, dem das Gerät zugewiesen werden soll, oder die Benutzerzuweisung überspringen , um ein Gerät vorerst ohne Benutzerzuweisung zu registrieren.
3. Nachdem Sie Suchparameter eingegeben haben, zeigt der Assistent eine Liste passender
Benutzer an. Wählen Sie den gewünschten Benutzer aus.
4. Konfigurieren Sie auf der Seite Gerätedetails die folgenden Einstellungen:
Option
Plattform
Name
Beschreibung
Telefonnummer
E-Mail-Adresse
Besitzer
Beschreibung
Das Betriebssystem des Gerätes.
Sie können nur eine Plattform auswählen, die für den Kunden, an den Sie angemeldet sind, aktiviert ist.
Ein eindeutiger Name, unter dem das Gerät von Sophos Mobile verwaltet wird.
Eine optionale Beschreibung des Gerätes.
Eine optionale Telefonnummer. Geben Sie die Telefonnummer in internationalem Format ein, zum Beispiel +491701234567 .
Die E-Mail-Adresse, an welche die Registrierungsinformationen gesendet werden.
Wenn für den Kunden eine Benutzerverwaltung konfiguriert ist, ist dies die E-Mail-Adresse des Benutzers, der dem Gerät zugewiesen ist.
Wenn keine Benutzerverwaltung konfiguriert ist, geben Sie hier eine E-Mail-Adresse ein.
Wählen Sie die Art des Gerätebesitzers: entweder Firmengerät oder Privat .
56 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Option Beschreibung
Gerätegruppe Wählen Sie die Gerätegruppe, zu der das Gerät hinzugefügt werden soll. Wenn Sie noch keine Gerätegruppe erstellt haben, können Sie die Gerätegruppe Default wählen, die immer verfügbar ist.
5. Wenn Sie die Registrierung des Sophos-Containers konfiguriert haben, wählen Sie aus, ob Sie das
Gerät oder nur den Sophos-Container registrieren wollen.
Siehe
Sophos-Container-Registrierung konfigurieren (Seite 330).
6. Wählen Sie ein Auftragspaket aus, das nach der Registrierung an das Gerät übertragen wird.
Oder wählen Sie Nur Gerät registrieren aus, um nach der Registrierung kein Auftragspaket zu
übertragen.
Für die Sophos-Container-Registrierung können Sie anstatt eines Auftragspakets auch eine
Richtlinie auswählen.
Wenn Sie auf Weiter klicken, wird das Gerät zu Sophos Mobile hinzugefügt.
7. Folgen Sie auf der Seite Registrierung des Assistenten den Anweisungen, um die Registrierung abzuschließen.
Hinweis
Auf Macs muss die Registrierung von demjenigen Benutzer durchgeführt werden, der von
Sophos Mobile verwaltet werden soll. Für die Installation des Registrierungsprofils muss der
Benutzer ein Administratorkennwort eingeben.
8. Nach dem erfolgreichen Abschluss der Registrierung klicken Sie auf Fertigstellen , um den
Geräteregistrierungs-Assistent zu schließen.
Hinweis
• Nachdem Sie alle Einstellungen vorgenommen haben, können Sie den Assistenten schließen, ohne darauf warten zu müssen, dass die Schaltfläche Fertigstellen erscheint. Ein
Registrierungsauftrag wird erstellt und im Hintergrund ausgeführt.
• Wenn Sie ein Auftragspaket ausgewählt haben, dass nach der Registrierung auf das Gerät
übertragen wird, können Sie auf der Seite Auftragsstatus den Auftragsstatus überwachen.
Siehe Nicht abgeschlossene, fehlgeschlagene und kürzlich abgeschlossene Aufträge anzeigen
(Seite 11).
• Wenn Sie konfiguriert haben, dass Sophos Mobile den Gerätenamen von iOS-Geräten mit
dem Gerät synchronisiert (siehe Einstellungen für iOS konfigurieren
(Seite 20)), wird der
Name, den Sie im Feld Name eingegeben haben, durch den auf dem Gerät konfigurierten
Namen ersetzt.
13.2.3 iOS-Geräte automatisch registrieren
Sie können iOS-Geräte so konfigurieren, dass sie sich während der Geräteaktivierung automatisch bei
Sophos Mobile registrieren. Dazu müssen Sie die Geräte mit Hilfe der Software Apple Configurator 2 dem MDM-Server von Sophos Mobile zuweisen. Wenn die Benutzer die Geräte erstmalig einschalten, startet der iOS-Einrichtungsassistent. Während der Einrichtung werden die Geräte automatisch bei
Sophos Mobile registriert.
Copyright © 2018 Sophos Limited 57
Sophos Mobile on Premise
Hinweis
Detaillierte Informationen zu Apple Configurator 2 finden Sie in der Apple Configurator 2 Hilfe .
So konfigurieren Sie die automatische Registrierung von iOS-Geräten bei Sophos Mobile:
1. Zur Vorbereitung der automatischen Registrierung müssen Sie einmalig eine Gerätegruppe erstellen, die Geräten zugewiesen wird, die sich automatisch bei Sophos Mobile registrieren.
Wählen Sie in den Eigenschaften der Gerätegruppe die Option iOS-Auto-Registrierung aktivieren
aus. Siehe Gerätegruppen erstellen
(Seite 83).
2. Notieren Sie sich die URL, die im Feld URL für Auto-Registrierung angezeigt wird.
Sie benötigen diese URL bei der Konfiguration von Geräten mit Apple Configurator 2.
3. Verbinden Sie das iOS-Gerät, das Sie für die automatische Registrierung konfigurieren wollen, mit einem USB-Anschluss eines Mac-Computers, auf dem Apple Configurator 2 installiert ist.
4. Verwenden Sie in Apple Configurator 2 den Vorbereitungsassistent, um die Gerätekonfiguration einzurichten.
5. Wählen Sie Manuelle Registrierung aus und geben Sie anschließend die Registrierungs-URL der
Gerätegruppe ein.
6. Folgen Sie den weiteren Schritten des Vorbereitungsassistent. Optional können Sie folgende
Bereiche der Geräteaktivierung konfigurieren:
• Gerät als betreut definieren (Supervision mode).
• Computer festlegen, mit denen sich das Gerät per USB koppeln darf.
• Bei betreuten Geräten eine Betreuungsidentität (Supervision Identity) erstellen oder auswählen.
• Schritte des iOS-Einrichtungsassistent deaktivieren.
Nachdem Sie die Konfiguration abgeschlossen haben, übergeben Sie das Gerät an den Benutzer.
Wenn der Benutzer das Gerät erstmalig einschalten, wird die iOS-Einrichtung und die Registrierung bei
Sophos Mobile so durchgeführt, wie Sie es konfiguriert haben.
Tipp
Standardmäßig verwaltet Sophos Mobile die automatisch registrierten Geräte unter einem
Namen, der aus der Geräte-ID und dem Gerätetyp gebildet wird. Alternativ kann Sophos Mobile den Namen verwenden, der auf dem Gerät konfiguriert ist. Siehe die Option Gerätename synchronisieren in
Einstellungen für iOS konfigurieren (Seite 20).
58
13.2.4 iOS-Geräte ohne Apple-ID registrieren
Sie können ein iOS-Gerät bei Sophos Mobile registrieren, auf dem noch keine Apple-ID eingerichtet ist.
Dies ist zum Beispiel nützlich, um Geräte vor der Übergabe an einen Endbenutzer vorzukonfigurieren.
Das Standard-Registrierungsverfahren beinhaltet die Installation der App Sophos Mobile Control auf dem Gerät. Da die App aus dem App Store installiert wird und für den Zugriff auf den App Store eine
Apple-ID erforderlich ist, müssen Sie vor der Registrierung das Gerät mit einer Apple-ID verknüpfen.
Alternativ können Sie ein iOS-Gerät auch registrieren, ohne die App Sophos Mobile Control zu installieren. In diesem Fall müssen Sie das Gerät nicht mit einer Apple-ID verknüpfen. Dies ist auf folgende Arten möglich:
• Mit der automatischen Registrierung. Siehe
iOS-Geräte automatisch registrieren (Seite 57).
• Mit dem Geräteregistrierungs-Assistent. Siehe
Mit dem Geräteregistrierungs-Assistent neue Geräte zuweisen und registrieren (Seite 56).
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Gehen Sie im Geräteregistrierungs-Assistent folgendermaßen vor:
1. Öffnen Sie auf der Seite Registrierung die Registerkarte Registrierung ohne Apple-ID .
2. Öffnen Sie im Webbrowser des Gerätes die Registrierungs-URL. Dies öffnet ein Webformular für die Registrierung bei Sophos Mobile.
3. Geben Sie in diesem Formular das Token ein und klicken Sie anschließend auf Registrieren .
4. Folgen Sie den auf dem Gerät angezeigten Anweisungen, um das Registrierungs-Auftragspaket zu installieren.
13.2.5 Android-Things-Geräte registrieren
Dieser Abschnitt beschreibt die Registrierung eines Android-Things-Gerätes mit Hilfe des
Geräteregistrierungs-Assistenten.
Voraussetzungen:
• Sie haben einen Computer (im Weiteren Host-Computer genannt) eingerichtet, der mit Ihrem lokalen IP-Netzwerk verbunden ist und auf dem das Kommandozeilenwerkzeug für Android Debug
Bridge (adb) installiert ist. adb ist ein Bestandteil des Pakets Android SDK Plattform-Tools. Sie können dieses Paket entweder als Bestandteil des Android SDK oder als Standalone-Paket installieren. Details hierzu finden Sie in der Android-Entwicklerdokumentation.
• Sie haben ein Installations-Image für Android Things auf das Gerät aufgespielt, das Sie registrieren wollen.
• Sie haben das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-Netzwerk verbunden.
So registrieren Sie das Android-Things-Gerät bei Sophos Mobile:
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen
> Registrierungs-Assistent .
2. Verwenden Sie den Geräteregistrierungs-Assistenten wie in Mit dem Geräteregistrierungs-
Assistent neue Geräte zuweisen und registrieren (Seite 56) beschrieben, um den
Registrierungsvorgang zu starten. Gehen Sie bei einem Android-Things-Gerät folgendermaßen vor: a) Im Schritt Gerätedetails des Assistenten wählen Sie im Feld Plattform den Eintrag Android
Things aus.
b) Im Schritt Registrierung des Assistenten klicken Sie auf Sophos Mobile Downloadbereich
öffnen und laden Sie anschließend von dort die APK-Datei des aktuellsten SMC Android Client herunter.
3. Kopieren Sie die APK-Datei auf den Host-Computer.
Tipp
Sie können dieselbe APK-Datei für alle zu registrierenden Android-Things-Geräte verwenden.
4. Verwenden Sie auf dem Host-Computer das Kommandozeilenwerkzeug adb, um sich mit dem
Android-Things-Gerät zu verbinden ( <IP-Adresse> steht für die IP-Adresse des Gerätes): adb connect <IP-Adresse> connected to <IP-Adresse>:5555
5. Installieren Sie mit folgendem adb-Kommando die App Sophos Mobile Control auf dem Android-
Things-Gerät: adb install <Pfad-zur-APK-Datei>
Copyright © 2018 Sophos Limited 59
Sophos Mobile on Premise
6. Führen Sie einen Neustart des Gerätes aus, zum Beispiel mit folgendem adb-Kommando: adb reboot
Hinweis
Ein Neustart ist erforderlich, weil dadurch der App Sophos Mobile Control die erforderlichen
Berechtigungen gewährt werden.
7. Nach dem Neustart müssen Sie sich erneut mit dem Gerät verbinden: adb connect <IP-Adresse>
8. Konfigurieren Sie die App Sophos Mobile Control. Verwenden Sie dazu das adb -Kommando aus dem Geräteregistrierungs-Assistenten oder der Anweisungs-E-Mail: adb shell am start -d "<Konfigurationsparameter>"
Hinweis
Möglicherweise erhalten Sie eine Systemmeldung Warning: Activity not started, its current task has been brought to the front . Diese können Sie ignorieren.
Die App Sophos Mobile Control auf dem Android-Things-Gerät verbindet sich mit Ihrem Sophos Mobile
Server. Nach Abschluss der Registrierung wird das Gerät in Sophos Mobile mit dem Status Verwaltet angezeigt.
13.2.6 Windows-IoT-Geräte registrieren
Dieser Abschnitt beschreibt die Registrierung eines Windows-IoT-Gerätes mit Hilfe des
Geräteregistrierungs-Assistenten.
Voraussetzungen:
• Sie haben ein Installations-Image für Windows 10 IoT Core auf das Gerät aufgespielt, das Sie registrieren wollen.
• Sie haben das Gerät über Ethernet oder WLAN mit Ihrem lokalen IP-Netzwerk verbunden.
So registrieren Sie das Windows-IoT-Gerät bei Sophos Mobile:
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte und anschließend auf Hinzufügen
> Registrierungs-Assistent .
2. Verwenden Sie den Geräteregistrierungs-Assistenten wie in Mit dem Geräteregistrierungs-
Assistent neue Geräte zuweisen und registrieren (Seite 56) beschrieben, um den
Registrierungsvorgang zu starten. Gehen Sie bei einem Windows-IoT-Gerät folgendermaßen vor: a) Im Schritt Gerätedetails des Assistenten wählen Sie im Feld Plattform den Eintrag Windows
IoT aus.
b) Klicken Sie im Schritt Registrierung des Assistenten auf Bereitstellungspaket herunterladen , um eine PPKG-Datei mit dem Bereitstellungspaket für Sophos Mobile herunterzuladen. Der Link befindet sich auch in der Anweisungs-E-Mail.
3. Verwenden Sie auf einem Windows-Computer, der sich im selben Netzwerk wie das Windows-IoT-
Gerät befindet, den Windows-Datei-Explorer, um sich mit dem Gerät zu verbinden.
60 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Geben Sie in der Adressleiste des Datei-Explorers folgende Adresse ein ( <ip-address> steht für die IP-Adresse des Gerätes):
\\<IP-Adresse>\c$
Wenn Sie dazu aufgefordert werden, geben Sie Benutzername und Kennwort für ein
Administratorkonto auf dem Gerät ein.
4. Kopieren Sie die PPKG-Datei, die Sie über den Geräteregistrierungs-Assistenten heruntergeladen haben, in den Ordner C:\Windows\Provisioning\Packages auf dem Gerät.
Hinweis
Der Ordner darf nur eine einzelne Datei mit Endung .ppkg enthalten.
5. Führen Sie einen Neustart des Gerätes aus.
Nach dem Neustart führt das Windows-IoT-Gerät die im Bereitstellungspaket enthaltenen Kommandos aus und verbindet sich mit Ihrem Sophos Mobile Server. Nach Abschluss der Registrierung wird das
Gerät in Sophos Mobile mit dem Status Verwaltet angezeigt.
Wichtig
Führen Sie auf der Seite Gerät anzeigen die Geräte-Aktionen Als „Nicht verwaltet“ festlegen und Löschen nur aus, wenn Sie das Gerät zuvor deregistriert haben. Andernfalls müssen Sie das
Gerät zurücksetzen, bevor Sie es erneut registrieren können. Für das Zurücksetzen müssen Sie erneut ein Installations-Image für Windows 10 IoT Core auf das Gerät aufspielen.
13.3 Geräte deregistrieren
Sie können Geräte deregistrieren, wenn sie nicht mehr benutzt werden, z. B. wenn der Benutzer ein neues Gerät erhält. Dies ist zum Beispiel nützlich, wenn Sie die Anzahl an Geräten, die ein Benutzer im Self Service Portal registrieren kann, begrenzt haben.
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Wählen Sie das gewünschte Gerät aus, klicken Sie auf Aktionen und anschließend auf
Deregistrieren .
Eine Meldung wird angezeigt, die Sie zur Bestätigung des Deregistrierungsvorgangs auffordert.
Hinweis
Sie können mehrere Geräte auswählen, die deregistriert werden.
3. Klicken Sie auf Ja .
Das Gerät ist deregistriert. Dadurch werden folgende Vorgänge ausgelöst:
• Android-Geräte:
— Der Sophos Mobile Control Geräteadministrator wird deaktiviert.
— Die Server-Anmeldedaten und alle weiteren erhaltenen Daten werden entfernt.
— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) sowie die App
„Sophos Mobile Security“ werden zurückgesetzt.
Copyright © 2018 Sophos Limited 61
Sophos Mobile on Premise
• iOS-Geräte:
— Alle Profile werden entfernt.
— Alle verwalteten Apps werden entfernt.
— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.
— Die Container-Apps (Sophos Secure Workspace und Sophos Secure Email) werden zurückgesetzt.
• Macs:
— Alle Richtlinien werden entfernt.
— Alle über Mobile Device Management erhaltenen Zertifikate werden entfernt.
Hinweis
Für Geräte, die bei Sophos Mobile mit dem Android-Enterprise-Modus „Gerätebesitzer“ registriert sind, gibt keine spezielle Aktion, das Gerät zu deregistrieren. Um ein solches Gerät zu deregistrieren, setzen Sie es auf Werkseinstellungen zurück.
13.4 Geräte verwalten
In der Menüleiste können Sie unter VERWALTUNG > Geräte und Gerätegruppen Geräte und
Gerätegruppen verwalten und eine Reihe von administrativen Aufgaben ausführen. Nachdem Sie
Geräte zu Sophos Mobile hinzugefügt haben, können Sie zum Beispiel:
• Gerätedetails anzeigen und bearbeiten.
• E-Mail-Zugriff für Geräte erlauben oder verbieten.
• Geräte per Fernzugriff sperren oder entsperren.
• Geräte-Kennwörter zurücksetzen.
• Geräte bei Verlust oder Diebstahl per Fernzugriff in den Auslieferungszustand zurücksetzen.
• Geräte deregistrieren (Android und iOS).
• Geräte löschen.
13.4.1 Geräte anzeigen
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf den Namen des gewünschten Gerätes.
Die Seite Gerät anzeigen für das ausgewählte Gerät wird angezeigt.
Tipp
Auf der Seite Geräte können Sie sich zusätzliche Informationen anzeigen lassen, indem Sie auf bestimmte Elemente zeigen:
• Zeigen Sie auf das Symbol "Nicht verwaltet" eines Gerätes, um den genauen Status wie
Deregistriert oder Abgemeldet anzuzeigen.
• Zeigen Sie auf das Symbol "Nicht richtlinienkonform“ eines Gerätes, um den Schweregrad
(hoch, mittel, niedrig) anzuzeigen.
62 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
13.4.2 Die Seite „Gerät anzeigen“
Auf der Seite Gerät anzeigen werden alle relevanten Informationen für ein einzelnes Gerät angezeigt.
Im oberen Teil der Seite können Sie auf einen Blick die wichtigsten Geräteinformationen sehen.
Im unteren Teil der Seite werden in mehreren Registerkarten detaillierte Geräteinformationen angezeigt. Die angezeigten Registerkarten und Informationen hängen von der Geräteplattform ab.
Von der Seite Gerät anzeigen können Sie direkt auf die Seite Gerät bearbeiten wechseln. Um das angezeigte Gerät zu bearbeiten, klicken Sie auf Bearbeiten .
Status
Zeigt wichtige Geräteinformationen wie Management-Typ, Management-Status und Compliance-
Status.
Profile
Zeigt die auf dem Gerät installierten Profile an (inklusive Provisionierungsprofile).
Die Registerkarte enthält auch Befehle für die Installation oder Deinstallation von Profilen auf Geräten.
Hinweis iOS-Geräteprofile, die nur folgende Konfigurationen enthalten, werden auf der Registerkarte
Profile nicht angezeigt:
• Roaming/Hotspot
• Hintergrundbild
Diese Konfigurationen werden nicht als Profile auf dem Gerät installiert. Sie nehmen nur
Einstellungen vor, die der Benutzer später wieder ändern kann.
Tipp
Mit dem Suchfeld oberhalb der Tabelle können Sie nach der Profilkennung suchen, auch wenn diese in der Tabelle nicht angezeigt wird.
Richtlinien
Zeigt die dem Gerät zugewiesenen Richtlinien an.
Auf dieser Registerkarte steht die Schaltfläche Richtlinie zuweisen zur Verfügung, um eine Richtlinie einem Gerät zuzuweisen.
Geräteeigenschaften
Zeigt die Geräteeigenschaften wie z. B. Eigenschaften für Modell, Modellname oder
Betriebssystemversion an. Bei Android-Geräten werden gerootete Smartphones ermittelt und die
Copyright © 2018 Sophos Limited 63
Sophos Mobile on Premise relevante Eigenschaft wird angezeigt. Bei iOS-Geräten werden Smartphones mit „Jailbreak“ ermittelt.
Die relevante Eigenschaft wird in der Ansicht angezeigt.
Benutzerdefinierte Eigenschaften
Zeigt benutzerdefinierte Geräteeigenschaften an. Dies sind die Eigenschaften, die Sie selbst anlegen können. Benutzerdefinierte Geräteeigenschaften können zum Beispiel in Platzhaltern verwendet werden, wenn kein Active Directory zur Verfügung steht. Wenn Sie ein Gerät bearbeiten, können Sie hier auch benutzerspezifische Informationen hinzufügen.
Interne Eigenschaften
Zeigt interne Geräteeigenschaften, z. B. die IMEI, oder ob Active-Sync-Datenverkehr erlaubt ist.
Compliance-Verstöße
Diese Registerkarte wird nur für Geräte angezeigt, die gegen Compliance-Regeln verstoßen.
Angezeigt werden die Compliance-Verstöße des Gerätes und die deshalb ausgeführten Maßnahmen.
Zur Konfiguration dieser Aktionen siehe Compliance-Richtlinie erstellen
(Seite 43).
Installierte Apps
Zeigt die auf dem Gerät installierte Software. Je nach Plattform werden unterschiedliche Informationen angezeigt.
In der Spalte Größe wird der Speicherbedarf für die App selber angezeigt. In der Spalte Daten wird der zusätzliche Speicherbedarf der App anzeigt, zum Beispiel für Nutzerdaten, Konfigurationen oder
Ähnliches.
Mit der Schaltfläche App installieren können Sie Software auf dem Gerät installieren. Sie können auch Apps vom Gerät entfernen, indem Sie auf das Symbol Löschen neben der gewünschten App klicken.
Hinweis
• Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, werden Apps außerhalb des Containers nicht aufgeführt. Dies beinhaltet auch Apps, die der Benutzer aus dem Enterprise App Store installiert hat.
• Für iOS können Apps, die als Verwaltet gekennzeichnet sind, stillschweigend entfernt werden.
(Seite 279)
• Für Macs sind Apps aus allen Benutzerkonten aufgeführt.
• Für Windows können Sie nur Apps entfernen, die von Sophos Mobile installiert wurden. Wenn
Sie versuchen, eine vom Benutzer installierte App zu entfernen, schlägt der Auftrag fehl.
System-Apps
Zeigt die Android-System-Apps auf dem Gerät an.
64 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
System-Apps können nicht vom Gerät entfernt werden.
Knox-Apps
Diese Registerkarte enthält die Apps, die vom Benutzer im Samsung-Knox-Container installiert wurden.
Knox-System-Apps
Diese Registerkarte enthält die System-Apps, die im Samsung-Knox-Container installiert sind.
Scan-Ergebnisse
Diese Registerkarte zeigt die Ergebnisse des letzten Sophos Mobile Security Scan-Vorgangs auf dem
Gerät.
Die Registerkarte ist nur verfügbar, wenn die App Sophos Mobile Security von Sophos Mobile verwaltet wird. Siehe
Sophos Mobile Security verwalten (Seite 325).
Zertifikate
Zeigt die auf dem Gerät benutzten Zertifikate an.
Für Macs sind Gerätezertifikate aufgeführt aber keine Benutzerzertifikate.
Tipp
Zeigen Sie in der Tabelle auf den Wert für Betreff oder Aussteller , um die Zertifikatdetails anzuzeigen.
Aufträge
Diese Registerkarte zeigt alle noch nicht abgeschlossenen und fehlgeschlagenen Aufträge sowie die abgeschlossenen Aufträge der letzten Tage an. Diese Aufträge werden Ihnen auch auf der Seite
Auftragsstatus
angezeigt, zusammen mit den Aufträgen aller anderen Geräte. Siehe Aufträge
(Seite 11).
13.4.3 Erweiterten Gerätefilter verwenden
Mit dem erweiterten Gerätefilter können Sie die Geräteliste nach Ihren Anforderungen filtern. Sie können Filtereinstellungen unter einem Namen speichern, um sie später wiederzuverwenden.
So definieren Sie einen Gerätefilter:
1. Klicken Sie auf der Seite Geräte auf Erweiterter Filter im Tabellenkopf.
2. Legen Sie die Filterkriterien fest.
Copyright © 2018 Sophos Limited 65
Sophos Mobile on Premise
3. Um die Filtereinstellungen unter einem Namen zu speichern, geben Sie in Gerätefilter einen
Namen ein und klicken Sie auf Speichern .
4. Wenn Sie die gewünschten Kriterien ausgewählt haben, klicken Sie auf Filter , um den Filter auf die
Geräteliste anzuwenden.
Wenn ein Filter aktiv ist, wird das Filter-Symbol im Tabellenkopf in Grün angezeigt.
Tipp
Denken Sie daran, einen Filter wieder zurückzusetzen, wenn er nicht mehr benötigt wird.
Andernfalls enthalten Listen oder Berichte unter Umständen nicht die erwarteten Ergebnisse.
Weitere Gerätefilter-Funktionen:
• Um einen Filter nicht mehr auf die Geräteliste anzuwenden, klicken Sie auf Erweiterter Filter und anschließend auf Zurücksetzen .
• Um einen gespeicherten Filter anzuwenden, klicken Sie auf Gespeicherte Filter und wählen Sie anschließend den gewünschten Filter aus.
• Um einen gespeicherten Filter zu löschen, klicken Sie auf Gespeicherte Filter und anschließend auf das Mülleimer-Symbol neben dem Filter, den Sie löschen wollen.
• Um einen gespeicherten Filter zu bearbeiten, wenden Sie den Filter zunächst an. Klicken Sie anschließend auf Erweiterter Filter , machen Sie die gewünschten Änderungen und speichern Sie den Filter erneut.
13.4.4 Geräte bearbeiten
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf
Bearbeiten .
Die Seite Gerät bearbeiten für das ausgewählte Gerät wird angezeigt.
3. Nehmen Sie die notwendigen Änderungen vor (zum Beispiel Installation oder Entfernen von
Software auf der Registerkarte Installierte Apps ). Klicken Sie anschließend auf Speichern .
Ihre Änderungen werden auf das bearbeitete Gerät angewendet.
Hinweis
An Eigenschaften vorgenommene Änderungen treten erst in Kraft, nachdem Sie auf Speichern geklickt haben. Wenn Sie die vorgenommenen Änderungen nicht speichern, haben sie keinerlei
Auswirkungen.
13.4.5 Benutzer einem Gerät zuweisen
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten .
3.
Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten neben dem Feld Benutzer und anschließend auf den gewünschten Eintrag in der Auswahlliste:
66 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
• Um einem Gerät ohne Benutzerzuweisung einen Benutzer zuzuweisen, klicken Sie auf Gerät einem Benutzer zuweisen .
• Um einem Gerät mit bestehender Benutzerzuweisung einen anderen Benutzer zuzuweisen, klicken Sie auf Gerät einem anderen Benutzer zuweisen .
4. Geben Sie im Schritt Suchparameter für Benutzer eingeben des Zuweisungsdialogs einen oder mehrere Suchbegriffe ein, um den Benutzer zu finden, dem das Gerät zugewiesen werden soll.
Geben Sie zum Beispiel einen Namen oder Teilnamen ein.
5. Wählen Sie im Schritt Benutzer auswählen den gewünschten Benutzer aus und klicken Sie anschließend auf Anwenden .
6. Klicken Sie auf der Seite Gerät bearbeiten auf Speichern .
13.4.6 Benutzerzuweisung für ein Gerät aufheben
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem gewünschten Gerät und dann auf Bearbeiten .
3. Klicken Sie auf der Seite Gerät bearbeiten auf das Symbol Benutzerzuweisung bearbeiten
neben dem Feld Benutzer und anschließend auf Zuweisung des Benutzers zum Gerät aufheben .
4. Klicken Sie im Bestätigungsdialog auf Ja .
5. Klicken Sie auf Speichern .
13.4.7 Benutzerdefinierte Geräteeigenschaften
Sie können für einzelne Geräte benutzerdefinierte Eigenschaften festlegen.
Wenn Sie eine Eigenschaft Meine Eigenschaft festlegen, können Sie in Profilen und Richtlinien den Platzhalter %_DEVPROP(Meine Eigenschaft)_% verwenden, um den Wert der Eigenschaft zu referenzieren. Mit einer benutzerdefinierten Geräteeigenschaft können Sie zum Beispiel den Benutzer referenzieren, der dem Gerät zugewiesen ist.
Einzelheiten zur Verwendung von Platzhaltern in Profilen und Richtlinien finden Sie in
Profilen und Richtlinien (Seite 90).
Hinweis
• Sie können keine benutzerdefinierte Geräteeigenschaft mit dem gleichen Namen wie eine
Standard-Geräteeigenschaft erstellen.
• Neben den hier beschriebenen benutzerdefinierten Geräteeigenschaften können Sie auch benutzerdefinierte Kundeneigenschaften festlegen. Siehe
Kundeneigenschaften definieren
(Seite 22).
So definieren Sie eine benutzerdefinierte Geräteeigenschaft:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein . Stellen Sie sicher, dass auf der Registerkarte Persönlich die Option Erweiterte Gerätedetails anzeigen aktiviert ist.
2. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
Copyright © 2018 Sophos Limited 67
Sophos Mobile on Premise
3. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf
Bearbeiten .
4. Öffnen Sie auf der Seite Gerät bearbeiten die Registerkarte Benutzerdefinierte Eigenschaften und klicken Sie auf Benutzerdefinierte Eigenschaft hinzufügen .
5. Geben Sie einen Namen und einen Wert für die neue benutzerdefinierte Geräteeigenschaft ein.
6. Klicken Sie auf Anwenden , um die Eigenschaft hinzuzufügen.
7. Klicken Sie auf Speichern , um die Änderungen für das Gerät zu speichern.
13.4.8 Netzwerkzugriff konfigurieren
Damit Sie den Netzwerkzugriff für ein Gerät konfigurieren können, muss Network Access Control
(NAC) in Sophos Mobile aktiviert werden.
Bei Sophos Mobile on Premise wird NAC vom Superadministrator aktiviert. Siehe das Dokument
Sophos Mobile Superadministrator-Anleitung (englisch) .
Bei Sophos Mobile as a Service ist NAC standardmäßig aktiviert.
Sie können den Netzwerkzugriff für ein Gerät auf zwei Weisen konfigurieren:
1. Netzwerkzugriff immer erlauben oder sperren.
2. Netzwerkzugriff grundsätzlich erlauben, aber sperren, wenn das Gerät nicht richtlinienkonform ist.
Hinweis
Sophos Mobile schränkt den Netzwerkzugriff nicht selbst ein. Stattdessen stellt es einen Status
Netzwerk verbieten zur Verfügung, der von einer externen NAC-Software wie zum Beispiel
Sophos UTM verwendet werden kann, um die Netzwerkkommunikation zu blockieren.
So konfigurieren Sie den Netzwerkzugriff für ein Gerät:
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie den Netzwerkzugriffsmodus einstellen wollen.
3. Klicken Sie auf Aktionen und anschließend auf Netzwerkzugriff .
4. Wählen Sie den Netzwerkzugriffsmodus aus:
• Erlauben : Netzwerkzugriff ist für die ausgewählten Geräte erlaubt.
• Sperren : Netzwerkzugriff ist für die ausgewählten Geräte gesperrt.
• Automatischer Modus : Netzwerkzugriff für die ausgewählten Geräte wird durch den
Compliance-Status der Geräte festgelegt.
5. Klicken Sie auf Ja , um die Änderungen zu speichern.
Hinweis
Für Geräte, bei denen Sophos Mobile nur den Sophos-Container verwaltet, können Sie den
Netzwerkzugriff nicht sperren.
Informationen zur Konfiguration des Netzwerkzugriff über Compliance-Richtlinien finden Sie in
Compliance-Richtlinie erstellen
(Seite 43).
68 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
13.4.9 Gerät sperren
Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert sperren. Dadurch wird die
Bildschirmsperre aktiviert.
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .
2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie sperren oder entsperren wollen, und anschließend auf Anzeigen .
3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Sperren .
4. Für macOS: Legen Sie einen 6-stelligen PIN-Code fest, der zum Entsperren auf dem Mac eingegeben werden muss.
Ein Auftrag zum Aktiveren der Bildschirmsperre wird erstellt und an das Gerät übertragen.
• Für alle Plattformen außer macOS: Der Benutzer muss sein Gerätekennwort eingeben (bzw. PIN oder Muster), um das Gerät zu entsperren.
• Für macOS: Der Mac startet neu. Der Benutzer muss den von Ihnen festgelegten PIN eingeben, um das Gerät zu entsperren.
Sie können den Auftragsstatus auf der Seite Auftragsstatus anzeigen.
Hinweis
Auch auf Geräten, auf denen Sophos Mobile nur das Android-Arbeitsprofil verwaltet, sperrt die
Aktion Sperren das Gerät, nicht nur das Arbeitsprofil.
Hinweis
Sie können nicht Geräte sperren, auf denen Sophos Mobile nur den Sophos-Container verwaltet.
Hinweis
Ein Mac, den Sie ferngesteuert gesperrt haben, kann nicht zurückgesetzt werden.
Tipp
In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter
Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter
Sperr-PIN .
13.4.10 Geräte zurücksetzen
Sie können ein von Sophos Mobile verwaltetes Gerät ferngesteuert zurücksetzen. Dadurch wird das
Gerät auf Werkseinstellungen zurückgesetzt.
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .
2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie zurücksetzen wollen, und anschließend auf Anzeigen .
3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Zurücksetzen .
Copyright © 2018 Sophos Limited 69
Sophos Mobile on Premise
4. Für macOS: Legen Sie eine 6-stelligen PIN fest, die auf dem Mac eingegeben werden muss, um ihn zu entsperren.
Ein Auftrag zum Zurücksetzen wird erstellt und an das Gerät übertragen.
Für macOS: Wenn der Auftrag an einen Mac übertragen wird, startet dieser neu und beginnt damit, die
Festplatte zu löschen. Der Benutzer muss die PIN eingeben, um den Mac zu entsperren.
Sie können den Auftragsstatus auf der Seite Auftragsstatus anzeigen.
Hinweis
Folgende Geräte können nicht zurückgesetzt werden:
• Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.
• Geräte, die bei Sophos Mobile mit dem Android-Enterprise-Modus „Profilbesitzer“ registriert sind.
• Geräte mit Android Things oder Windows IoT.
• Macs, die Sie ferngesteuert gesperrt haben.
Tipp
In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter
Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter
Sperr-PIN .
13.4.11 Telecom Expense Management konfigurieren
Mit Telecom Expense Management (TEM) können Sie den Verbrauch mobiler Daten einzelner Geräte
überwachen. Diese Funktion ist für Android- und iOS-Geräte verfügbar.
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .
2. Wählen Sie auf der Seite Geräte die Geräte aus, für die Sie Telecom Expense Management konfigurieren wollen.
Hinweis
Wählen Sie nur Geräte mit demselben mobilen Datentarif aus.
3. Klicken Sie auf Aktionen > Telecom Expense Management konfigurieren .
4. Konfigurieren Sie folgende Einstellungen:
Option
Überwachung aktivieren
Beschreibung
Aktivieren Sie dies, um die Überwachung des mobilen
Datenverbrauchs für die ausgewählten Geräte zu aktiveren.
Verfügbares Datenvolumen Das Datenvolumen Ihres mobilen Datentarifs in MB.
Alarm-Schwellwert Ein Datenvolumen-Grenzwert in MB. Wenn das verbrauchte
Datenvolumen bei einem Gerät diesen Wert überschreitet, wird
ein Alarm erzeugt. Siehe Warnhinweise
(Seite 15).
70 Copyright © 2018 Sophos Limited
Option
Rechnungszyklus
Sophos Mobile on Premise
Beschreibung
Wert zwischen 1 und 31, der angibt, an welchem Tag im Monat das Datenvolumen zurückgesetzt wird.
Hinweis
Bei Monaten mit weniger Tagen wird das Datenvolumen am letzten Tag des Monats zurückgesetzt.
5. Klicken Sie auf Speichern , um die Einstellungen auf die ausgewählten Geräte anzuwenden.
Der mobile Datenverbrauch wird von einem Gerät bei jeder Synchronisation mit dem Sophos Mobile
Server übertragen.
Um den aktuellen mobilen Datenverbrauch eines Gerätes festzustellen, öffnen Sie die Seite
Gerät anzeigen des Gerätes und klicken Sie anschließend auf Aktionen > Telecom Expense
Management .
Wichtig
Der angezeigte Datenverbrauch weicht möglicherweise von dem Wert ab, den Ihnen Ihr
Mobilfunkanbieter berechnet. Es wird nur der von installierten Apps verursachte Datenverbrauch berücksichtigt, aber keine Systemaktualisierungen, Aktualisierungen von System-Apps, oder
ähnliches.
Tipp
Verwenden Sie den Bericht Mobile Datennutzung , um den Datenverbrauch aller Geräte
festzustellen, für die Telecom Expense Management aktiviert ist. Siehe Berichte
(Seite 10).
Hinweis
• Der Wert für den Datenverbrauch wird zu folgenden Zeitpunkten zurückgesetzt:
— Regelmäßig jeden Monat am Ende des von Ihnen festgelegten Tages.
— Wenn Sie Telecom Expense Management für das Gerät deaktivieren.
— Wenn das Gerät bei Sophos Mobile deregistriert wird.
• Für iOS wird kein Datenverbrauch ermittelt, wenn die App Sophos Mobile Control nicht läuft, zum Beispiel, wenn der Benutzer die App nach einem Geräteneustart nicht gestartet hat.
13.4.12 iOS aktualisieren
Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:
• Betreute Geräte mit iOS 10.3 oder höher
• Betreute Apple-DEP-Geräte
Copyright © 2018 Sophos Limited 71
Sophos Mobile on Premise
Hinweis
Dieser Abschnitt beschreibt, wie Sie die iOS-Aktualisierung für ein einzelnes Gerät durchführen.
Um die iOS-Aktualisierung für eine Gerätegruppe durchzuführen, verwenden Sie ein Auftragspaket mit einem Auftrag Letzte iOS-Aktualisierung installieren . Siehe
Verfügbare Auftragstypen für iOS
(Seite 261).
So führen Sie auf einem Gerät eine iOS-Aktualisierung durch:
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .
2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät und anschließend auf
Anzeigen .
3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verfügbare Aktualisierungen anzeigen .
Eine Liste der für das Gerät verfügbaren iOS-Aktualisierungen wird angezeigt. Aktualisierungen mit dem Kennzeichen Kritisch sind von Apple als kritische Sicherheits-Aktualisierungen eingestuft.
4. Um die letzte verfügbare Aktualisierung zu installieren, klicken Sie auf Letzte verfügbare
Aktualisierung installieren .
Ein Auftrag für die iOS-Aktualisierung wird erstellt und an das Gerät übertragen.
Sie können den Auftragsstatus auf der Seite Auftragsstatus anzeigen.
Tipp
• Um den Aktualisierungsstatus eines einzelnen Gerätes zu prüfen, öffnen Sie die Seite Gerät anzeigen für das Gerät. Neben dem Feld Betriebssystem wird ein Warnsymbol angezeigt, falls auf dem Gerät nicht die neueste verfügbare Version von iOS installiert ist.
• Um den Aktualisierungsstatus aller iOS-Geräte zu prüfen, gibt es im Bericht Geräte die Spalte
OsUpdateAvailable .
13.4.13 Für iOS den verwalteten Modus „Verloren“ konfigurieren
Sie können ein verwaltetes iOS-Gerät in den verwalteten Modus „Verloren“ versetzen. Das Gerät kann dann solange nicht mehr verwendet werden, bis der verwaltete Modus „Verloren“ in Sophos Mobile wieder deaktiviert wird.
Im verwalteten Modus „Verloren“ können mit dem Gerät nur folgende Aktion ausgeführt werden:
• Eine von Ihnen konfigurierte Telefonnummer anrufen.
• Einen Notruf tätigen.
72 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
• Der verwaltete Modus „Verloren“ ist eine andere Art von Sperrmodus als der Modus
„Verloren“, den ein Benutzer in iCloud aktivieren kann. Wenn Sie den verwalteten Modus
„Verloren“ in Sophos Mobile aktivieren, kann das Gerät nicht in iCloud entsperrt werden.
• Die Geräteortung funktioniert im verwalteten Modus „Verloren“ zuverlässiger als im normalen
Sperrmodus. Der Gerätestandort wird durch eine iOS-Systemfunktion ermittelt. Es ist nicht erforderlich, dass die App Sophos Mobile Control läuft.
• Der verwaltete Modus „Verloren“ erfordert iOS 9.3 oder später.
So aktivieren Sie den verwalteten Modus „Verloren“:
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .
2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, das Sie in den verwalteten Modus „Verloren“ versetzen wollen, und anschließend auf Anzeigen .
3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Verwalteten Modus „Verloren“ aktivieren .
4. Konfigurieren Sie folgende Einstellungen:
Option
Sperrbildschirm-Nachricht
Beschreibung
Text, der auf dem Sperrbildschirm angezeigt wird.
Telefonnummer Eine Telefonnummer, die vom Sperrbildschirm aus angerufen werden kann.
Fußzeile Ein Fußzeilentext, der am unteren Rand des Sperrbildschirms angezeigt wird.
Wenn Sie keine Fußzeile konfigurieren, wird ein
Standardhinweis zum Kontaktieren eines Administrators angezeigt.
Ein Auftrag zum Aktivieren des verwalteten Modus „Verloren“ wird erstellt und an das Gerät
übertragen. Der verwaltete Modus „Verloren“ wird sofort aktiviert, nachdem das Gerät den Auftrag erhalten hat.
Wenn sich ein Gerät im verwalteten Modus „Verloren“ befindet, können Sie auf der Seite Gerät anzeigen folgende Aktionen ausführen:
• Um das Gerät zu orten, verwenden Sie Aktionen > Ortung .
• Um auf dem Gerät einen Ton abzuspielen, verwenden Sie Aktionen > „Verloren“-Ton abspielen .
Dies erfordert iOS 10.3 oder später.
• Um den verwalteten Modus „Verloren“ zu deaktivieren, verwenden Sie Aktionen > Verwalteten
Modus „Verloren“ deaktivieren .
Tipp
Die Geräteeigenschaft IsMDMLostModeEnabled zeigt an, ob der verwaltete Modus „Verloren“ aktiv ist.
Copyright © 2018 Sophos Limited 73
Sophos Mobile on Premise
13.5 Apple DEP
Mit dem Apple-Programm zur Geräteregistrierung (Device Enrollment Program, kurz DEP) können Sie iPhones, iPads und Macs in größeren Mengen kaufen und in Ihrem Unternehmen bereitstellen. DEP vereinfacht mit folgenden Funktionen die Bereitstellung von Mobilgeräten:
• Konfigurierbarer Aktivierungsprozess.
• Drahtlose Aktivierung des Betreuungsmodus (Supervision mode).
• Over-The-Air-Konfiguration.
• Automatische Registrierung von iOS-Geräten bei Sophos Mobile während der Geräteaktivierung.
Hinweis
Sophos Mobile unterstützt Apple DEP zur Zeit für iPhones und iPads, aber nicht für Macs.
Tipp
Detaillierte Informationen zu DEP finden Sie auf der Apple-Website unter http://www.apple.com/ de/business/programs/ .
Vorbereitungsschritte
Um die Verwaltung von DEP-Geräten mit Sophos Mobile einzurichten, führen Sie einmalig die folgenden Schritte aus:
1. Erstellen Sie im Apple-DEP-Web-Portal einen virtuellen MDM-Server und verknüpfen Sie diesen
mit Sophos Mobile. Siehe Apple DEP einrichten (Seite 75).
2. Erstellen Sie in Sophos Mobile ein oder mehrere DEP-Profile, mit denen verschiedene, DEPspezifische Geräteeigenschaften konfiguriert werden. Mit einem DEP-Profil können Sie außerdem den iOS-Einrichtungsassistent anpassen, der nach dem ersten Einschalten eines Gerätes startet.
Siehe
(Seite 76).
Bereitstellungsschritte
Der typische Ablauf zur Bereitstellung gekaufter DEP-Geräte beinhaltet die folgenden Schritte:
1. Kaufen Sie die Geräte von Apple oder einem zugelassenen DEP-Händler.
2. Weisen Sie im Apple-DEP-Portal die Geräte dem MDM-Server von Sophos Mobile zu.
Informationen zu diesem und dem folgenden Schritt finden Sie in DEP-Geräte bereitstellen
(Seite
79).
3. Weisen Sie in Sophos Mobile Admin den Geräten ein DEP-Profil zu.
4. Verteilen Sie die Geräte an Ihre Benutzer.
5. Wenn die Benutzer die Geräte erstmalig einschalten, startet der angepasste iOS-
Einrichtungsassistent. Während der Einrichtung werden die Geräte bei Sophos Mobile registriert und der Benutzer wird dem Gerät zugewiesen.
6. Bei Bedarf können Sie zusätzliche Auftragspakete auf die Geräte übertragen, um die
Provisionierung zu vervollständigen.
74 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
13.5.1 Apple DEP einrichten
Voraussetzung: Diese Prozedur setzt voraus, dass Sie sich bereits für das Apple-Programm zur
Geräteregistrierung (DEP) registriert haben und ein Administratorkonto für das Apple-DEP-Webportal eingerichtet haben.
Hinweis
Detaillierte Informationen zur DEP-Registrierung finden Sie auf der Apple-DEP-Website unter http://www.apple.com/de/business/programs/ oder in der Hilfe zu den Apple
Bereitstellungsprogrammen .
Tipp
Wenn Sie sich bereits für das Apple-Programm für Volumenlizenzen (VPP) registriert haben, können Sie dieselbe Apple-ID auch für DEP verwenden.
Um Apple DEP mit Sophos Mobile zu verwenden, müssen Sie im Apple-DEP-Webportal einen virtuellen MDM-Server erstellen und mit dem Sophos Mobile Server verknüpfen. Dies beinhaltet einen
Verifizierungsprozess, um eine sichere Verbindung zwischen Sophos Mobile und dem Apple-DEP-
Webservice herzustellen.
So richten Sie einen virtuellen MDM-Server für Sophos Mobile ein:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Apple DEP .
2. Klicken Sie auf Öffentlichen Schlüssel herunterladen , um den öffentlichen Schlüssel von
Sophos Mobile für Apple DEP herunterzuladen.
Die Datei wird abhängig von den Download-Einstellungen Ihres Webbrowsers auf Ihrem Computer gespeichert.
3. Rufen Sie in einem Browser-Fenster das Apple-DEP-Webportal unter https:// deploy.apple.com
auf.
Sie können hierzu auf den Link Apple-DEP-Webportal in Sophos Mobile klicken.
4. Melden Sie sich am Apple-DEP-Webportal mit der Apple-ID Ihres Unternehmens an.
5. Navigieren Sie im Portal zu Device Enrollment Program > Server verwalten und klicken Sie anschließend auf MDM-Server hinzufügen .
6. Geben Sie einen Namen für den MDM-Server ein, zum Beispiel Sophos Mobile .
7. Laden Sie im nächsten Schritt die Datei mit dem öffentlichen Schlüssel hoch, die Sie zuvor von
Sophos Mobile heruntergeladen haben.
8. Laden Sie im nächsten Schritt das Server-Token herunter.
Anschließend können Sie sich vom DEP-Portal abmelden.
9. Klicken Sie in Sophos Mobile auf der Registerkarte Apple DEP auf Datei hochladen und wählen
Sie das Server-Token aus, das Sie vom Apple-DEP-Portal heruntergeladen haben.
Die Details Ihres virtuellen MDM-Servers werden angezeigt.
10. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern.
Das DEP-Server-Token ist ein Jahr gültig.
Copyright © 2018 Sophos Limited 75
Sophos Mobile on Premise
Wichtig
Wenn Sie im Apple-DEP-Webportal ein neues Server-Token erstellen, müssen Sie dieselbe
Apple-ID verwenden, die Sie für die Erstausstellung des Tokens verwendet haben.
13.5.2 DEP-Profil erstellen
Bevor Sie DEP-Profile erstellen können, müssen Sie das Apple-Programm zur Geräteregistrierung
(DEP) einrichten. Siehe Apple DEP einrichten (Seite 75).
Ein DEP-Profil wird einem DEP-Gerät zugewiesen und vom Apple-Server während der
Geräteaktivierung ausgewertet. Es enthält folgende Informationen:
• Den MDM-Server (also der Sophos Mobile Server), mit dem das Gerät verwaltet wird.
• Konfigurationseinstellungen für die Registrierung bei Sophos Mobile.
• Eine Liste der Host-Geräte, mit denen das Gerät gekoppelt werden darf.
• Benutzerdefinierte Einstellungen für den iOS-Einrichtungsassistent, der nach dem ersten
Einschalten eines Gerätes startet.
Bei Bedarf können Sie mehrere DEP-Profile erstellen, um verschiedene Einrichtungs- und
Konfigurations-Einstellungen für Ihre DEP-Geräte zu verwenden.
So erstellen Sie ein DEP-Profil:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Allgemein und öffnen
Sie anschließend die Registerkarte Apple-DEP-Profile .
2. Klicken Sie auf Hinzufügen .
3. Geben Sie im Dialog DEP-Profil bearbeiten einen Namen und optional eine Beschreibung für das
DEP-Profil ein.
4. Optional: Wählen Sie in der Liste Gerätegruppe eine Gerätegruppe aus, die Geräten zugewiesen wird, wenn diese bei Sophos Mobile registriert werden.
Informationen zu Gerätegruppen finden Sie in
Hinweis
Wir empfehlen, zur Vereinfachung der Geräteverwaltung eine eigene Gerätegruppe für DEP-
Geräte zu verwenden.
5. Optional: Wählen Sie in der Liste Auftragspaket ein Auftragspaket aus, das an Geräte übertragen wird, wenn diese bei Sophos Mobile registriert werden.
Die Liste enthält alle iOS-Auftragspakete, die keinen Registrierungsauftrag enthalten.
Informationen zu Auftragspaketen finden Sie in Auftragspakete (Seite 256).
6. Auf der Registerkarte Registrierung können Sie folgende Einstellungen vornehmen:
Option
Gerät betreuen
Benutzer kann MDM-Profil entfernen
Beschreibung
Das Gerät ist betreut (Supervision mode).
Der Benutzer kann das Sophos Mobile Registrierungsprofil über die iOS-Benutzeroberfläche entfernen.
Diese Option kann nur für betreute Geräte deaktiviert werden.
76 Copyright © 2018 Sophos Limited
Option
SMC-App installieren
Sophos Mobile on Premise
Beschreibung
Die App Sophos Mobile Control wird auf dem Gerät installiert.
Wenn Sie diese Option aktivieren, müssen Sie außerdem auf der Registerkarte iOS-Einrichtung die Option „Apple-ID“
überspringen deaktivieren. Dies stellt sicher, dass Sophos
Mobile die App aus dem App Store installieren kann.
Hinweis
Alternativ, falls Sie sich für das Apple-Programm für
Volumenlizenzen (VPP) registriert haben, kann die App
Sophos Mobile als VPP-App installiert werden, auch wenn das Gerät nicht mit einer Apple-ID verknüpft ist. Das Gerät
muss sich im Status verwaltet befinden. Siehe VPP-Apps automatisch zuweisen (Seite 282).
Benutzer kann Zuweisung des
MDM-Profils überspringen
Gerätebenutzer zuweisen
Der Benutzer kann den Einrichtungsschritt überspringen, in dem das Sophos Mobile Registrierungsprofil angewendet wird.
Während der Registrierung bei Sophos Mobile wird der Benutzer nach seinen Anmeldeinformationen für das Self Service Portal gefragt und anschließend dem Gerät zugewiesen.
Mit dieser Option können Sie eine automatische Zuweisung des
Benutzers zum Gerät vornehmen.
7. Auf der Registerkarte iOS-Einrichtung können Sie Schritte des iOS-Einrichtungsassistent deaktivieren, der nach dem ersten Einschalten eines Gerätes startet.
Hinweis
Diese Einstellungen wirken sich nur auf die iOS-Einrichtung aus. Wenn Sie einen
Konfigurationsschritt deaktivieren, kann der Benutzer trotzdem die jeweilige Einstellung nachträglich vornehmen. Um eine Funktion vollständig zu deaktivieren, verwenden Sie eine
Konfiguration Einschränkungen . Siehe
Konfiguration „Einschränkungen“ (iOS-Geräteprofil)
(Seite 158).
Option Beschreibung
„Apps & Daten“ überspringen Der Einrichtungsschritt Apps & Daten wird nicht angezeigt. Der
Benutzer kann keine Daten aus einem iCloud- oder iTunes-
Backup wiederherstellen, oder Daten von einem Android-Gerät
übertragen.
„Daten von Android
übertragen“ deaktivieren
„Diagnostics“ überspringen
Im Einrichtungsschritt Apps & Daten ist die Option Daten von
Android übertragen nicht verfügbar. Der Benutzer kann keine
Daten von einem Android-Gerät übertragen.
Sie können diese Option nur aktivieren, wenn Sie auch „Apps &
Daten“ überspringen aktivieren.
Der Einrichtungsschritt Diagnostics wird nicht angezeigt. Die
Übermittlung von Diagnose- und Nutzungsdaten an Apple ist deaktiviert.
Copyright © 2018 Sophos Limited 77
Sophos Mobile on Premise
Option Beschreibung
„Ortungsdienste“ überspringen Der Einrichtungsschritt Ortungsdienste wird nicht angezeigt.
Der Benutzer kann keine Ortungsdienste aktivieren.
„Siri“ überspringen Der Einrichtungsschritt Siri kann Siri nicht einrichten.
wird nicht angezeigt. Der Benutzer
„Anzeigezoom“ überspringen Der Einrichtungsschritt Anzeigezoom wird nicht angezeigt. Der
Benutzer kann die Bildschirmansicht nicht ändern.
„Apple-ID“ überspringen Der Einrichtungsschritt Apple-ID wird nicht angezeigt. Der
Benutzer kann sich nicht mit seiner Apple-ID an Apple-Diensten anmelden.
„Apple Pay“ überspringen
„Touch ID“ überspringen
Der Einrichtungsschritt Apple Pay wird nicht angezeigt. Der
Benutzer kann keine Kreditkarten- oder Guthabenkarten-
Informationen für das Bezahlen mit Apple Pay in Stores oder
Apps hinzufügen.
Der Einrichtungsschritt Touch ID wird nicht angezeigt. Der
Benutzer kann keinen Fingerabdruck als Passcode-Ersatz einrichten.
„Code erstellen“ überspringen Der Einrichtungsschritt Code erstellen wird nicht angezeigt. Der
Benutzer kann keinen Passcode zum Entsperren des Gerätes einrichten.
„Nutzungsbedingungen“
überspringen
Der Einrichtungsschritt angezeigt.
Nutzungsbedingungen wird nicht
8. Auf der Registerkarte Support-Informationen können Sie folgende Einstellungen vornehmen:
Option
Abteilung
Telefonnummer
Beschreibung
Der Name der Abteilung oder des Standorts, der mit dem Profil verbunden ist.
Dieser Name wird mit weiteren Informationen angezeigt, wenn der Benutzer während der Geräteeinrichtung auf Über
Konfiguration klickt.
Die Support-Telefonnummer für Ihr Unternehmen.
Das Feld ist mit der Telefonnummer aus den Kontaktdetails für
Hinweis
Die Telefonnummer wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.
Die Support-E-Mail-Adresse für Ihr Unternehmen.
Das Feld ist mit der E-Mail-Adresse aus den Kontaktdetails für
78 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Option Beschreibung
Hinweis
Die E-Mail-Adresse wird im DEP-Profil gespeichert, ist aber für den Gerätebenutzer nicht verfügbar.
9. Auf der Registerkarte USB-Kopplung legen Sie Computer fest, mit denen sich das Gerät per USB koppeln darf.
Dies kann verwendet werden, um das Gerät mit iTunes zu synchronisieren oder es mit Apple
Configurator zu verwalten.
• Um USB-Verbindungen mit beliebigen Host-Computern zuzulassen, wählen Sie USB-
Kopplung mit beliebigen Host-Computern erlauben aus.
• Um USB-Verbindungen zu verbieten oder auf bestimmte Computer zu beschränken, deaktivieren Sie USB-Kopplung mit beliebigen Host-Computern erlauben und laden
Sie anschließend für jeden Computer, für den Sie die USB-Kopplung erlauben wollen, eine
Zertifikatdatei hoch.
10. Nachdem Sie alle Registerkarten im Dialog DEP-Profil bearbeiten konfiguriert haben, klicken Sie auf Anwenden , um das DEP-Profil zu speichern.
11. Um das Profil allen neuen DEP-Geräten zuzuweisen, denen kein Profil manuell zugewiesen wurde, wählen Sie es in der Liste Standard-DEP-Profil für neue Geräte aus.
Wenn Sie Keine auswählen, müssen Sie neuen DEP-Geräten ein DEP-Profil manuell zuweisen wie in
(Seite 79) beschrieben. Andernfalls werden DEP-Geräte bei der
Aktivierung nicht bei Sophos Mobile registriert.
12. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern.
13.5.3 DEP-Geräte bereitstellen
Führen Sie diese Prozedur aus, um Ihre Geräte mit Apple DEP zu verbinden und bei Sophos Mobile zu registrieren.
Sie können Geräte verwalten, die Sie entweder bei Apple oder bei einem zugelassenen DEP-Händler erworben haben. Bevor Sie Geräte mit Apple DEP verbinden können, müssen Sie den Händler am
Apple-DEP-Portal einrichten.
Hinweis
Normalerweise führen Sie diese Prozedur aus, bevor Sie die DEP-Geräte an Ihre Benutzer
übergeben und diese die Geräte aktivieren und verwenden.
Hinweis
Detaillierte Informationen zum Apple-DEP-Portal finden Sie in der Hilfe zu den Apple
Bereitstellungsprogrammen .
So weisen Sie Ihre Geräte Sophos Mobile zu und weisen ihnen ein DEP-Profil zu:
1. Geben Sie in Ihrem Webbrowser die URL https://deploy.apple.com
ein, um das Webportal für die Apple-Bereitstellungsprogramme zu öffnen, und melden Sie sich anschließend mit der
Apple-ID Ihres Unternehmens an.
2. Navigieren Sie im Portal zu Device Enrollment Program > Geräte verwalten .
Copyright © 2018 Sophos Limited 79
Sophos Mobile on Premise
3. Wählen Sie im Punkt Geräte auswählen nach Ihre neuen Geräte über die Seriennummer oder die
Bestellnummer aus, oder laden Sie eine CSV-Datei mit den Seriennummern hoch.
Hinweis
Falls Sie die Geräte bei einem Händler erworben haben, sind diese innerhalb von 24 Stunden, nachdem der Händler Ihre Bestellung an Apple übermittelt hat, im DEP-Portal verfügbar.
4. Wählen Sie im Punkt Aktion auswählen die Option Server zuweisen aus und wählen Sie anschließend den virtuellen MDM-Server aus, den Sie für Sophos Mobile eingerichtet haben, wie in
Apple DEP einrichten (Seite 75) beschrieben.
5. Klicken Sie auf OK , um die Zuweisung auszuführen.
Anschließend können Sie sich vom DEP-Portal abmelden.
Wenn Sie ein Standard-DEP-Profil eingerichtet haben wie in DEP-Profil erstellen (Seite 76)
beschrieben, können Sie die weiteren Schritte überspringen.
6. Melden Sie sich an Sophos Mobile Admin an. Verwenden Sie die Zugangsdaten eines
Administrators für den Kunden, für den Sie DEP-Geräte verwalten wollen.
7. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple
DEP .
Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-
DEP-Webportal zugewiesen haben.
8. Falls Geräte nicht angezeigt werden, die Sie Sophos Mobile erst vor Kurzem zugewiesen haben, klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren .
Hinweis
Um die Belastung des Apple-DEP-Servers zu begrenzen, müssen Sie nach jeder
Synchronisierung eine kurze Zeit warten, bevor Sie erneut synchronisieren können.
9. Wählen Sie die neuen Geräte aus und klicken Sie anschließend auf Aktionen > Profil zuweisen .
10. Wählen Sie im Bestätigungsdialog das DEP-Profil aus, das Sie den Geräten zuweisen wollen, und klicken Sie anschließend auf OK .
Wenn die erworbenen Geräte in Ihrem Unternehmen eintreffen, können Sie sie an Ihre Benutzer
übergeben. Es ist keine weitere Konfiguration erforderlich. Wenn die Benutzer die Geräte erstmalig einschalten, werden die iOS-Einrichtung und die Registrierung bei Sophos Mobile so durchgeführt, wie
Sie es im zugewiesenen DEP-Profil konfiguriert haben.
Falls Sie im Profil die Option Benutzer zuweisen ausgewählt haben wie in
76) beschrieben, werden die Benutzer automatisch ihren Geräten zugewiesen.
13.5.4 DEP-Geräte verwalten
DEP-Geräten können Sie zusätzlich ein DEP-Profil zuweisen. Das DEP-Profil wird vom Apple-Server
während der Geräteaktivierung ausgewertet. Siehe DEP-Profil erstellen
(Seite 76).
80 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Das in Sophos Mobile angezeigte DEP-Profil ist unter Umständen nicht das Profil, das tatsächlich auf dem Gerät verwendet wird. Wenn Sie nach der Geräteaktivierung die Zuweisung ändern, wird solange das ursprünglich zugewiesene Profil verwendet, bis das Gerät zurückgesetzt und erneut aktiviert wird.
So ändern Sie das DEP-Profil eines Gerätes:
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte und anschließend auf Apple
DEP .
Auf der Seite Apple-DEP-Geräte sind alle Geräte aufgelistet, denen Sie Sophos Mobile im Apple-
DEP-Webportal zugewiesen haben.
2. Klicken Sie auf Mit dem Apple-DEP-Portal synchronisieren , um die DEP-Informationen zu aktualisieren.
Hinweis
Um die Belastung des Apple-DEP-Servers zu begrenzen, wird die Option Mit dem Apple-
DEP-Portal synchronisieren nach jeder Synchronisierung deaktiviert und steht erst nach ein paar Minuten wieder zur Verfügung.
3. Wählen Sie die Geräte aus, denen Sie ein anderes DEP-Profil zuweisen wollen.
4. Klicken Sie auf Aktionen und anschließend auf die gewünschte Aktion:
• Profil zuweisen : Wählen Sie das DEP-Profil aus, das den Geräten bei der nächsten
Aktivierung zugewiesen wird.
• Profilzuweisung aufheben : Bei der nächsten Geräte-Aktivierung kein DEP-Profil zuweisen.
Die neue Profilzuweisung wird auf der Seite Apple-DEP-Geräte angezeigt. Die Änderungen werden beim nächsten Zurücksetzen und Aktivieren der Geräte angewendet.
13.6 Integration von Duo Security
Sie können Sophos Mobile mit der Authentisierungssoftware Duo Security verbinden. Dies ermöglicht
Duo Security, Geräte anhand ihres Verwaltungsstatus in Sophos Mobile als vertrauensvoll zu identifizieren.
Duo Security benutzt für Android und iOS unterschiedliche Verfahren, um den Vertrauensstatus eines
Gerätes zu bestimmen:
• Für Android-Geräte wird der Vertrauensstatus über die Webservice-Schnittstelle von Sophos
Mobile ermittelt.
• Für iOS-Geräte wird der Vertrauensstatus durch das Vorhandensein eines bestimmten Zertifikats auf dem Gerät festgelegt.
Hinweis
Weitere Informationen zu vertrauenswürdigen Geräten finden Sie in der Dokumentation zu Duo
Security.
Copyright © 2018 Sophos Limited 81
Sophos Mobile on Premise
13.6.1 Die Integration von Duo Security für Android-Geräte konfigurieren
Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer Android-Geräte bestimmen kann.
1. Erstellen Sie in Sophos Mobile einen Administrator mit der Rolle Duo API .
2. Geben Sie im Duo Admin Panel den Namen und das Kennwort dieses Administrators ein.
Weitere Informationen hierzu finden Sie in der Dokumentation zu Duo Security.
Um den Vertrauensstatus eines Android-Gerätes zu bestimmen, sendet die Android-App Duo Mobile die Geräte-ID an den Duo-Security-Server. Der Duo-Security-Server ruft dann den Gerätestatus über die Webservice-Schnittstelle von Sophos Mobile ab und klassifiziert das Gerät als vertrauenswürdig.
Zugehörige Konzepte
(Seite 4)
Zugehörige Aufgaben
(Seite 323)
13.6.2 Die Integration von Duo Security für iOS-Geräte konfigurieren
Führen Sie die folgenden Schritte aus, damit Duo Security den Vertrauensstatus Ihrer iOS-Geräte bestimmen kann.
1. Navigieren Sie über die Menüleiste zu Einrichtung > Systemeinstellungen > Duo Security und konfigurieren Sie anschließend die Einstellungen für den SCEP-CA-Server mit den von Duo
Security bereitgestellten Werten.
2. Fügen Sie dem iOS-Geräteprofil, welches Sie für Ihre iOS-Geräte verwenden, eine Konfiguration
Duo-Gerätezertifikat hinzu.
3. Aktualisieren Sie das iOS-Geräteprofil auf den Geräten.
Hierdurch wird ein Duo-Gerätezertifikat auf den Geräten installiert. Die iOS-App Duo Mobile erkennt das Zertifikat und klassifiziert das Gerät als vertrauenswürdig.
Zugehörige Aufgaben
Profile auf Geräten installieren
(Seite 90)
Zugehörige Referenzinformationen
Duo-Gerätezertifikat (iOS-Geräteprofil)
(Seite 182)
82 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
14 Gerätegruppen
Gerätegruppen dienen zur Kategorisierung von Geräten. Da sich Aufgaben auch für Gerätegruppen statt für Einzelgeräte ausführen lassen, können Sie Geräte so effizient verwalten.
Ein Gerät gehört jeweils immer exakt zu einer Gerätegruppe. Sie weisen ein Gerät einer Gerätegruppe zu, wenn Sie es zu Sophos Mobile hinzufügen.
Tipp
Gruppieren Sie nur Geräte mit demselben Betriebssystem. Gruppen lassen sich dadurch leichter für Installationen und andere betriebssystemspezifische Aufgaben verwenden.
14.1 Gerätegruppen erstellen
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen und anschließend auf
Gerätegruppe erstellen .
2. Geben Sie auf der Seite Gerätegruppe bearbeiten einen Namen und eine Beschreibung für die neue Gerätegruppe ein.
3. Wählen Sie unter Compliance-Richtlinien die Compliance-Richtlinien aus, die auf Firmen- und
Privatgeräte angewendet werden.
4. Klicken Sie auf Speichern .
Hinweis
Die Einstellungen für die Gerätegruppen enthalten die Option iOS-Auto-Registrierung aktivieren . Mit dieser Option können Sie iOS-Geräte mit dem Apple Configurator bereitstellen.
Siehe iOS-Geräte automatisch registrieren
(Seite 57).
Die neue Gerätegruppe wird angelegt und auf der Seite Gerätegruppen angezeigt.
14.2 Gerätegruppen löschen
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Gerätegruppen .
2. Klicken Sie auf der Seite Gerätegruppen auf das blaue Dreieck neben der zu löschenden
Gerätegruppe, und anschließend auf Löschen .
3. Wählen Sie im Bestätigungsdialog eine der verbleibenden Gerätegruppen aus, der die Geräte der aktuellen Gerätegruppe zugewiesen werden.
Diese Auswahl ist nur verfügbar, wenn der aktuellen Gerätegruppe Geräte zugewiesen sind.
4. Klicken Sie auf Ja , um die Gerätegruppe zu löschen.
Copyright © 2018 Sophos Limited 83
Sophos Mobile on Premise
Hinweis
Wenn nur eine Gerätegruppe vorhanden ist und dieser Geräte zugewiesen sind, können Sie die
Gerätegruppe nicht löschen.
84 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15 Profile und Richtlinien
Profile
Profile sind Einstellungen, die Sie festlegen und anschließend auf einem Gerät oder einer
Gerätegruppe installieren.
Für die Installation eines Profils auf einem oder mehreren Geräten erstellt Sophos Mobile einen Auftrag und führt ihn zu einem festgelegten Zeitpunkt aus. Wenn Sie ein Profil aktualisieren, müssen Sie es erneut installieren, damit die geänderten Einstellungen auf dem Gerät wirksam werden.
Es gibt folgende Arten von Profilen:
Konfigurationen für Android-Geräteprofile
(Seite 92)
Konfigurationen für Knox-Container-Profile (Seite 151)
Konfigurationen für iOS-Geräteprofile (Seite 156)
Richtlinien
Richtlinien sind Einstellungen, die Sie festlegen und anschließend einem Gerät oder einer
Gerätegruppe zuweisen. Sie können einem Gerät nicht zwei Richtlinien desselben Typs zuweisen.
Wenn Sie einem Gerät eine Richtlinie zuweisen, löst dies eine Synchronisierung aus und die
Einstellungen werden sofort angewendet. Zugewiesene Richtlinien werden jedes Mal aktualisiert, wenn sich ein Gerät mit dem Sophos Mobile Server verbindet. Daher muss eine Richtlinie nicht explizit erneut angewendet werden, wenn Sie diese aktualisieren.
Es gibt folgende Arten von Richtlinien:
Konfigurationen für Android-Enterprise-Geräterichtlinien
(Seite 126)
Konfigurationen für Richtlinien für Android Enterprise Arbeitsprofile (Seite 113)
Konfigurationen für Sophos-Container-Richtlinien für Android (Seite 139)
Konfigurationen für Mobile-Security-Richtlinien
(Seite 150)
Konfigurationen für Android-Things-Richtlinien (Seite 156)
Konfigurationen für Sophos-Container-Richtlinien für iOS (Seite 187)
Konfigurationen für macOS-Geräterichtlinien
(Seite 199)
Konfigurationen für macOS-Benutzerrichtlinien
(Seite 215)
Konfigurationen für Windows-Mobile-Richtlinien
(Seite 233)
Konfigurationen für Windows-Richtlinien (Seite 245)
Konfigurationen für Android-Things-Richtlinien (Seite 156)
Konfigurationen für Windows-IoT-Richtlinien (Seite 253)
15.1 Profil oder Richtlinie erstellen
Profile und Richtlinien bestehen aus einer oder mehrerer Konfigurationen. Indem Sie Konfigurationen hinzufügen, definieren Sie den Aufgabenbereich des Profils bzw. der Richtlinie, d.h. die auf den
Geräten verwalteten Bereiche.
1. Klicken Sie im Abschnitt EINSTELLUNGEN der Menüleiste auf Profile, Richtlinien und anschließend auf die Plattform, für die Sie ein Profil oder eine Richtlinie erstellen wollen.
Copyright © 2018 Sophos Limited 85
Sophos Mobile on Premise
2. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen . Wenn es für eine Plattform mehrere Arten von Profilen oder Richtlinien gibt, öffnet Erstellen ein Menü, aus dem Sie die gewünschte Option auswählen können.
Eine Liste der verfügbaren Arten von Profilen und Richtlinien finden Sie in
(Seite 85).
3. Geben Sie einen Namen und eine Beschreibung ein.
4. Für iOS- und macOS-Geräteprofile: Geben Sie den Namen Ihres Unternehmens ein.
5. Sophos-Container-Richtlinien enthalten immer eine Konfiguration Allgemein . Diese wird automatisch hinzugefügt. Klicken Sie auf der Seite Richtlinie bearbeiten auf Allgemein , um die
Konfiguration anzuzeigen und bei Bedarf anzupassen.
6. Richtlinien für Android Enterprise enthalten immer eine Konfiguration Einschränkungen . Diese wird automatisch der Richtlinie hinzugefügt. Klicken Sie auf der Seite Richtlinie bearbeiten auf
Einschränkungen , um die Konfiguration anzuzeigen und bei Bedarf anzupassen.
7. Um weitere Konfiguration zu dem Profil oder der Richtlinie hinzuzufügen, klicken Sie auf
Konfiguration hinzufügen und wählen Sie anschließend die gewünschte Konfiguration aus.
Hinweis
Einige Konfigurationen werden nur für bestimmte Betriebssystemversionen oder
Gerätemerkmale unterstützt. Solche Einschränkungen sind in Sophos Mobile Control durch blaue Label gekennzeichnet.
8. Konfigurieren Sie auf der Einstellungsseite der Konfiguration die gewünschten Einstellungen.
9. Optional: Wiederholen Sie die vorhergehenden Schritte, um weitere Konfigurationen hinzuzufügen.
10. Wenn Sie alle erforderlichen Konfigurationen hinzugefügt haben, klicken Sie auf Speichern .
Das Profil oder die Richtlinie wird erstellt. Informationen, wie Sie das Profil oder die Richtlinie auf
Geräte anwenden, finden Sie in
Profile auf Geräten installieren (Seite 90) bzw.
(Seite 91).
Tipp
Wenn Sie ein Profil aktualisieren, können Sie die Änderungen einfach auf alle Geräte anwenden, auf denen das Profil installiert ist: Klicken Sie auf der Seite Profile und Richtlinien auf das blaue
Dreieck neben dem Profil und anschließend auf Geräte aktualisieren .
Wenn Sie eine Richtlinie aktualisieren, werden die Änderungen automatisch auf alle Geräte angewendet, denen die Richtlinie zugewiesen ist.
15.2 Mit Apple Configurator erstellte iOS-
Geräteprofile importieren
Sie können mit dem Apple Configurator erstellte Profile in Sophos Mobile importieren.
Der Apple Configurator kann vom App Store heruntergeladen werden.
86 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Geräteprofile werden auf dieselbe Weise importiert wie Provisionierungsprofile für selbstentwickelte iOS-Apps. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den
Inhalt und verarbeitet die beiden Profilarten entsprechend.
1. Nachdem Sie ein Profil im Apple Configurator erstellt haben, exportieren Sie es (unverschlüsselt und unsigniert) und speichern Sie es auf Ihrem Computer.
2. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > iOS .
3. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen > Profil importieren .
Die Seite Profil bearbeiten wird angezeigt.
4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.
5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen .
6. Klicken Sie auf Speichern .
(Seite 90).
15.3 Provisionierungsprofile für iOS-Apps importieren
Wenn Sie eigene iOS-Apps entwickeln, erstellen Sie Provisionierungsprofile, um Ihre Apps über eine
IPA-Datei installieren zu können anstatt über den App Store. Sie können diese Provisionierungsprofile auf den Sophos Mobile Server hochladen, um sie anschließend an Ihre Geräte zu verteilen.
Details zu Provisionierungsprofilen finden Sie in der iOS Developer Library.
Hinweis
Sie importieren Provisionierungsprofile auf dieselbe Weise wie mit dem Apple Configurator erstellte Geräteprofile. Wenn Sie eine Profildatei hochladen, analysiert Sophos Mobile den Inhalt und verarbeitet die beiden Profilarten entsprechend.
1. Nachdem Sie in Ihrer iOS-Entwicklungsumgebung ein Provisionierungsprofil erstellt haben, speichern Sie dieses auf Ihrem Computer.
2. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > iOS .
3. Klicken Sie auf der Seite Profile und Richtlinien auf Erstellen > Profil importieren .
Die Seite Profil bearbeiten wird angezeigt.
4. Geben Sie in den jeweiligen Feldern einen Namen und eine Beschreibung für das neue Profil ein.
5. Klicken Sie auf Datei hochladen und navigieren Sie zu der Datei, die Sie auf Ihrem Computer gespeichert haben. Wählen Sie diese aus und klicken Sie auf Öffnen .
6. Klicken Sie auf Speichern .
(Seite 90).
Copyright © 2018 Sophos Limited 87
Sophos Mobile on Premise
15.4 Über macOS-Richtlinien
Für Macs gibt es zwei Arten von Richtlinien:
• Geräterichtlinie : Wenn Sie einem Mac eine Geräterichtlinie zuweisen, gelten die Einstellungen für alle Benutzer, die sich an dem Mac anmelden - unabhängig davon, ob diese Benutzer von Sophos
Mobile verwaltet werden oder nicht.
• Benutzerrichtlinie : Wenn Sie einem Mac eine Benutzerrichtlinie zuweisen, gelten die
Einstellungen für alle verwalteten Benutzer, die sich an dem Mac anmelden.
Verwaltete Benutzer sind:
• Der lokale Benutzer, der den Mac bei Sophos Mobile registriert hat.
• Alle Netzwerk-Benutzer, die Sophos Mobile bekannt sind. Dies sind die Benutzer des externen
LDAP-Verzeichnisses, welches Sie für das Self Service Portal konfiguriert haben.
Über Geräte- und Benutzerrichtlinien
• Zusätzlich zu der Registrierungsrichtlinie (die eine Geräterichtlinie ist) können Sie einem Mac eine
Geräterichtlinie und eine Benutzerrichtlinie zuweisen.
• Wenn es konkurrierende Einstellungen in der Geräte- und der Benutzerrichtlinie gibt, wird die restriktivere Einstellung angewendet.
• Auf dem Mac werden die zugewiesenen Richtlinien unter Systemeinstellungen > Profile angezeigt.
• Wenn Sie eine Geräterichtlinie aktualisieren, werden die Änderungen bei der nächsten
Synchronisierung übernommen.
• Wenn Sie eine Benutzerrichtlinie aktualisieren, werden die Änderungen übernommen, wenn sich der Benutzer das nächste Mal am Mac anmeldet.
• Benutzer können zwar die Benutzerrichtlinie vom Mac entfernen. Diese wird aber automatisch erneut zugewiesen, wenn sich der Benutzer das nächste Mal anmeldet.
• Benutzer können nicht die Geräterichtlinie entfernen.
• Wenn ein Benutzer die Registrierungsrichtlinie entfernt, wird der Mac bei Sophos Mobile deregistriert. Hierfür sind Administratorrechte erforderlich.
Zugehörige Konzepte
Konfigurationen für macOS-Geräterichtlinien (Seite 199)
Konfigurationen für macOS-Benutzerrichtlinien (Seite 215)
15.5 Komplexitätsregeln für Windows-Kennwörter
Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von
Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden können. Es gelten unterschiedlicher Regeln für lokale und für Microsoft-Konten.
88 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Lokale Konten
• Kennwort darf nicht den Anmeldenamen oder mehr als zwei aufeinanderfolgende Zeichen des
Benutzernamens enthalten.
• Kennwort muss sechs oder mehr Zeichen lang sein.
• Kennwort muss Zeichen aus drei der folgenden vier Kategorien enthalten:
— Großbuchstaben A-Z (Lateinisches Alphabet)
— Kleinbuchstaben a-z (Lateinisches Alphabet)
— Ziffern 0-9
— Sonderzeichen (!, $, #, %, etc.)
Microsoft-Konten
• Kennwort muss acht oder mehr Zeichen lang sein.
• Kennwort muss Zeichen aus zwei der folgenden vier Kategorien enthalten:
— Großbuchstaben A-Z (Lateinisches Alphabet)
— Kleinbuchstaben a-z (Lateinisches Alphabet)
— Ziffern 0-9
— Sonderzeichen (!, $, #, %, etc.)
15.6 Unterstützung von Samsung Knox
Sie können Ihre Samsung-Knox-Geräte mit Sophos Mobile verwalten.
Um die Unterstützung für Samsung Knox zu aktivieren, müssen Sie inSophos Mobile einen
Informationen zur Konfiguration des Knox-Containers auf Samsung-Geräten finden Sie in
Konfigurationen für Knox-Container-Profile
(Seite 151).
Zur Verwaltung Ihrer Samsung-Knox-Geräte können Sie Auftragspakete für die folgenden Aktionen erstellen:
• Knox-Container: sperren
• Knox-Container: entsperren
• Knox-Container: Kennwort zurücksetzen
• Knox-Container: entfernen (entfernt den Container und alle zugehörigen Einstellungen vom
Gerät)
Informationen zum Erstellen eines Auftragspakets für ein Samsung-Knox-Gerät finden Sie in
(Seite 256).
Copyright © 2018 Sophos Limited 89
Sophos Mobile on Premise
15.7 Platzhalter in Profilen und Richtlinien
Profile und Richtlinien können Platzhalter enthalten, die zum Zeitpunkt der Auftragsausführung durch die eigentlichen Daten ersetzt werden. Sie können folgende Platzhalter verwenden:
• Platzhalter für Benutzerinformationen:
— %_EMAILADDRESS_%
— %_USERNAME_%
• Platzhalter für Geräteeigenschaften:
— %_DEVPROP(Eigenschaftsname)_%
Eigenschaftsname ist entweder eine Standardeigenschaft oder eine benutzerdefinierte
Eigenschaft des Gerätes. Siehe
Benutzerdefinierte Geräteeigenschaften (Seite 67).
• Platzhalter für Kundeneigenschaften:
— %_CUSTPROP(Eigenschaftsname)_%
Siehe Kundeneigenschaften definieren
(Seite 22).
Bei macOS werden Benutzerinformationen folgendermaßen ersetzt:
• Für das lokale Mac-Konto werden die Informationen des Benutzers verwendet, der dem Gerät in
Sophos Mobile zugewiesen ist.
• Für Netzwerkkonten werden die Informationen des LDAP-Benutzerkontos verwendet.
15.8 Profile auf Geräten installieren
1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf eine Geräteplattform, die Profile unterstützt:
• Android
• iOS
Die Seite Profile und Richtlinien für die ausgewählte Plattform wird angezeigt.
2. Klicken Sie auf das blaue Dreieck neben dem Profil, das installiert werden soll, und danach auf
Installieren .
Die Seite Geräte auswählen wird angezeigt.
3. Auf dieser Seite können Sie folgende Aufgaben durchführen:
• Wählen Sie einzelne Geräte aus, auf denen Sie die App installieren wollen.
• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere
Gerätegruppen aus.
4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter .
Die Seite Ausführungszeit wählen wird angezeigt.
5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die
Ausführung des Auftrags an.
6. Klicken Sie auf Fertigstellen .
Die Seite Auftragsstatus wird angezeigt.
Das Profil wird zum angegebenen Zeitpunkt auf den ausgewählten Geräten installiert.
90 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Tipp
Sie können ein Profil auch folgendermaßen installieren:
• Um ein Profil auf allen Geräten zu aktualisieren, auf denen es installiert ist: Klicken Sie auf der
Seite Profile und Richtlinien auf das blaue Dreieck neben dem Profil und anschließend auf
Geräte aktualisieren .
• Um ein Profil auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Profile und klicken Sie auf Profil installieren .
• Um ein Profil auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > Profil installieren .
• Um ein Profil auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:
Fügen Sie dem Auftragspaket einen Auftrag Profil installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.
15.9 Richtlinien Geräten zuweisen
1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf eine Geräteplattform, die Richtlinien unterstützt:
• Android
• Android Things
• iOS
• macOS
• Windows Mobile
• Windows
• Windows IoT
Die Seite Richtlinien für die ausgewählte Plattform wird angezeigt.
2. Klicken Sie auf das blaue Dreieck neben der Richtlinie, die zugewiesen werden soll, und anschließend auf Zuweisen .
Die Seite Geräte auswählen wird angezeigt.
3. Auf dieser Seite können Sie folgende Aufgaben durchführen:
• Wählen Sie einzelne Geräte aus, denen die Richtlinie zugewiesen werden soll.
• Klicken Sie auf Gerätegruppen auswählen und wählen Sie eine oder mehrere Gerätegruppen für die Zuweisung der Richtlinie aus.
4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Fertigstellen .
Die Richtlinie wird den ausgewählten Geräten zugewiesen und ein Synchronisierungsvorgang wird ausgelöst.
Hinweis
Richtlinien können nicht von einem Gerät entfernt werden. Um eine Richtlinie zu deaktivieren, müssen Sie dem Gerät eine andere Richtlinie zuweisen.
Copyright © 2018 Sophos Limited 91
Sophos Mobile on Premise
Tipp
Sie können eine Richtlinie auch folgendermaßen zuweisen:
• Um eine Richtlinie einem einzelnen Gerät zuzuweisen: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Richtlinien und klicken Sie auf Richtlinie zuweisen .
• Um eine Richtlinie mehreren Geräten zuzuweisen: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > Profil installieren .
• Um eine Richtlinie einem oder mehreren Geräten als Teil eines Auftragspakets zuzuweisen:
Fügen Sie dem Auftragspaket einen Auftrag Profil installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.
15.10 Profile deinstallieren
Sie können ein Profil auf eine der beiden folgenden Weisen von einem Gerät deinstallieren:
• Um ein Profil von einem einzelnen Gerät zu deinstallieren: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Profile . Klicken Sie auf das blaue Dreieck neben dem
Profil, das Sie entfernen wollen, und anschließend auf Deinstallieren .
• Um ein Profil von allen Geräten zu deinstallieren, auf denen es installiert ist: Klicken Sie auf der
Seite Profile und Richtlinien einer Plattform auf das blaue Dreieck neben dem Profil, das Sie entfernen wollen, und anschließend auf Deinstallieren .
• Um ein Profil von ausgewählten Geräten zu deinstallieren: Erstellen Sie ein Auftragspaket mit einem Auftrag Profil deinstallieren und übertragen Sie dieses an die gewünschten Geräte oder
Gerätegruppen.
15.11 Profile und Richtlinien herunterladen
Sie können Profile und Richtlinien, die Sie in Sophos Mobile Admin konfiguriert haben, herunterladen.
Dies ist zum Beispiel nützlich, wenn Sie die definierten Einstellungen an den Sophos Support weitergeben möchten.
1. Gehen Sie in der Menüleiste zu Profile, Richtlinien und klicken Sie auf eine Geräteplattform.
Die Seite Profile und Richtlinien für die ausgewählte Plattform wird angezeigt.
2. Klicken Sie auf den Namen des gewünschten Profils bzw. der gewünschten Richtlinie.
Die Seite Profil anzeigen bzw. die Seite Richtlinie anzeigen wird angezeigt.
3. Klicken Sie auf Herunterladen .
Das Profil bzw. die Richtlinie wird auf Ihrem lokalen Computer gespeichert.
15.12 Konfigurationen für Android-Geräteprofile
Mit einem Android-Geräteprofil konfigurieren Sie verschiedene Bereiche von Android-Geräten, wie zum
Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.
Informationen zum Erstellen eines Geräteprofils finden Sie in Profil oder Richtlinie erstellen
(Seite
85).
92 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.12.1 Konfiguration „Kennwortrichtlinien“ (Android-
Geräteprofil)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die
Displaysperre.
Hinweis
Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. Solche Einschränkungen sind in Sophos Mobile durch blaue Label gekennzeichnet.
Kennworttyp
Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:
Einstellung/Feld
Muster, PIN oder Kennwort
Einfaches Kennwort
PIN oder Kennwort
Alphanumerisches Kennwort
Komplexes Kennwort
Beschreibung
Benutzer müssen eine Displaysperre einrichten.
Für die Displaysperre sind die Typen Muster , PIN und Passwort erlaubt. Weitere Einschränkungen bestehen nicht.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein Buchstabe enthalten sein. Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
PIN oder Passwort einrichten. Sie können eine
Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindestzeichenanzahl festlegen.
Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und
Großbuchstaben und Sonderzeichen festlegen.
Siehe die nachfolgenden beiden Tabellen.
Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder
Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:
Copyright © 2018 Sophos Limited 93
Sophos Mobile on Premise
Einstellung/Feld
Minimale Länge des Kennworts
Inaktivitätsdauer bis zur Abfrage des
Kennworts
Beschreibung
Die Mindestanzahl an Zeichen, die ein Kennwort enthalten muss.
Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch
Eingabe des Kennworts entsperren.
Hinweis
Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.
Gültigkeitsdauer des Kennworts in Tagen
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.
Die Anzahl alter Kennwörter, die vom System gespeichert werden. Wenn ein Benutzer ein neues Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 5 oder kein
Wert.
Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Anzahl von Buchstaben
Minimale Anzahl von Kleinbuchstaben
Minimale Anzahl von Großbuchstaben
Minimale Anzahl von Zeichen, die kein
Buchstabe sind
Minimale Anzahl von Ziffern
Minimale Anzahl von Sonderzeichen
Beschreibung
Die Mindestanzahl an Buchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Kleinbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Großbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl nicht-alphabetischer Zeichen
(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.
Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.
Die Mindestanzahl an Sonderzeichen (zum
Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.
94 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Biometrische Authentisierung
Einstellung/Feld
Fingerabdruck-Authentisierung erlauben
Iris-Authentisierung erlauben
Beschreibung
Falls vom Gerät unterstützt, kann der Benutzer das
Gerät mittels Fingerabdruck-Authentisierung entsperren.
Falls vom Gerät unterstützt, kann der Benutzer das
Gerät mittels Iris-Authentisierung entsperren.
15.12.2 Konfiguration „Einschränkungen“ (Android-Geräteprofil)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.
Sicherheit
Einstellung/Feld
Verschlüsselung erzwingen
Verschlüsselung von SD-Karten erzwingen
Beschreibung
Benutzer müssen ihre Geräte verschlüsseln.
Nachdem das Profil auf einem Gerät installiert wurde, wird der Benutzer aufgefordert, die SD-Karte zu verschlüsseln.
Hinweis
Bei manchen Geräten kann der Benutzer den
Verschlüsselungsvorgang abbrechen. In diesem
Fall wird er beim nächsten Einbinden der SD-Karte erneut aufgefordert.
Schnellverschlüsselung erlauben
Auf Werkseinstellungen zurücksetzen erlauben
Entwickleroptionen erlauben
Safe-Modus erlauben
Benutzer können in den Geräte-Einstellungen die
Optionen zur Schnellverschlüsselung ändern.
Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.
Benutzer können die Entwickleroptionen ändern.
Benutzer können das Gerät im Safe-Modus starten.
Copyright © 2018 Sophos Limited 95
Sophos Mobile on Premise
Einstellung/Feld
USB-Debugging erlauben
Beschreibung
Benutzer können USB-Debugging aktivieren.
Hinweis
Für Sony-Geräte mit Enterprise API Version 9 oder höher gilt: Wenn das Kontrollkästchen USB-
Debuggen erlauben deaktiviert ist, sind keine
Entwickleroptionen verfügbar.
Firmware-Wiederherstellung erlauben Alle Arten von Firmware-Updates (wie Over-The-Air,
Download etc.) sind erlaubt.
Sicherung erlauben Benutzer können Systemsicherungen erstellen.
Wenn das Kontrollkästchen deaktiviert ist, ist Google
Backup deaktiviert. Andere Backup-Methoden (zum
Beispiel Backups durch Sophos Mobile) sind weiterhin verfügbar.
Einstellungen ändern erlauben
Zwischenablage erlauben
Gemeinsame Zwischenablage aktivieren
Benutzer können Geräte-Einstellungen ändern.
Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.
Benutzer können Inhalte aus einer App kopieren und in eine andere App einfügen.
Wenn das Kontrollkästchen deaktiviert ist, verwendet jede App eine eigene Zwischenablage.
Diese Einstellung ist nur verfügbar, wenn Sie
Zwischenablage erlauben aktivieren.
Screenshot erlauben
Simulierte Standorte erlauben
Benutzer können Screenshots machen.
Benutzer können in den Android-Entwickleroptionen eine
Pseudo-Standort-App auswählen.
Firmware-Aktualisierungen „Over-the-Air“ sind erlaubt.
Over-The-Air Firmware-Aktualisierung erlauben
Audioaufnahmen erlauben
Videoaufnahmen erlauben
Aktivierungssperre erlauben
S Beam erlauben
Benutzer können Tonaufnahmen machen.
Benutzer können Videos aufnehmen.
Wenn das Kontrollkästchen deaktiviert ist, sind
Fotoaufnahmen und das Abspielen von Videos weiterhin erlaubt.
Benutzer können in den Geräte-Einstellungen die
Optionen zur Aktivierungssperre ändern.
Benutzer können die Samsung-App „S Beam“ starten.
96 Copyright © 2018 Sophos Limited
Einstellung/Feld
S Voice erlauben
„Teilen über“ erlauben
Sophos Mobile on Premise
Beschreibung
Benutzer können die Samsung-App „S Voice“ starten.
Die Funktion Teilen über ist verfügbar.
Konten
Einstellung/Feld
Mehrere Benutzerkonten erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, kann auf den
Geräten nur ein einzelnes Benutzerkonto eingerichtet werden. Benutzer oder andere Apps können keine weiteren Benutzerkonten erstellen.
Hinzufügen von E-Mail-Konten erlauben Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine E-Mail-Konten hinzufügen.
Dies betrifft nicht das Erstellen von Konten über ein
Geräteprofil.
Entfernen des Google-Kontos erlauben Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer nicht das Google-Konto von ihren Geräten entfernen.
Auto-Sync für Google-Konten erlauben Wenn das Kontrollkästchen deaktiviert ist, werden
Google-Konten nicht automatisch synchronisiert.
Benutzer können aber weiterhin eine manuelle
Synchronisierung durchführen, zum Beispiel über die
App Gmail.
Netzwerk und Kommunikation
Einstellung/Feld
Flugmodus erlauben
Synchronisierung bei Roaming erlauben
Nur Notrufe erlauben
Bei Roaming nur manuell synchronisieren
Mobile Datenverbindung erzwingen
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer nicht den Flugmodus aktivieren.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Synchronisierung bei Mobilfunk-Roaming deaktiviert.
Es sind nur Notrufe möglich. Sonstige Anrufe werden gesperrt.
Bei Roaming ist die automatische
Datensynchronisierung deaktiviert. Dies gilt für alle eingerichteten Konten, wie zum Beispiel Google oder
Exchange.
Benutzer können mobile Datenverbindungen nicht deaktivieren.
Copyright © 2018 Sophos Limited 97
Sophos Mobile on Premise
Einstellung/Feld
SMS erlauben
Beschreibung
Datenverbindungen bei Roaming erlauben
Sprachanrufe bei Roaming erlauben
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine SMS senden.
Wenn das Kontrollkästchen deaktiviert ist, sind bei
Roaming keine mobilen Datenverbindungen möglich.
Mobildatenlimit für Benutzer erlauben Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer kein Limit für mobile Daten einstellen.
VPN erlauben
Wenn das Kontrollkästchen deaktiviert ist, sind bei
Roaming keine Sprachanrufe möglich.
Wi-Fi Direct erlauben
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine VPN-Verbindungen verwenden.
Wenn das Kontrollkästchen deaktiviert ist, ist keine
Datenübertragung über „Wi-Fi Direct“ möglich.
Android Beam erlauben
Miracast-Richtlinie erlauben
Wenn das Kontrollkästchen deaktiviert ist, ist keine
Datenübertragung über „Android Beam“ möglich. Dies betrifft auch die Samsung-App „S Beam“.
Wenn das Kontrollkästchen deaktiviert ist, ist keine
Datenübertragung über Miracast möglich.
Bluetooth erlauben
Advanced Audio Distribution Profile
(A2DP) erlauben
Audio/Video Remote Control Profile
(AVRCP) erlauben
Hands-Free Profile (HFP) erlauben
Headset Profile (HSP) erlauben
Phone Book Access Profile (PBAP) erlauben
Serial Port Profile (SPP) erlauben
NFC erlauben
Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.
Um einzelne Bluetooth-Profile zu erlauben, aktivieren
Sie Bluetooth erlauben und wählen Sie anschließend die Profile aus, die Sie erlauben wollen.
Wenn Bluetooth erlauben deaktiviert ist, haben die
Einstellungen keine Wirkung, d.h. alle Profile sind verboten.
WLAN erlauben
Wenn das Kontrollkästchen deaktiviert ist, ist NFC
(Near-Field Communication) deaktiviert.
Wenn das Kontrollkästchen deaktiviert ist, sind keine
WLAN-Verbindungen möglich.
98 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Tethering
Einstellung/Feld
Tethering erlauben
WLAN-Tethering erlauben
USB-Tethering erlauben
Bluetooth-Tethering erlauben
Konfigurieren von WLAN-Tethering erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist kein
Tethering möglich. Dies beinhaltet Tethering über
WLAN, USB und Bluetooth.
Hinweis
Wenn das Kontrollkästchen deaktiviert ist, haben die Einstellungen WLAN-Tethering erlauben , USB-
Tethering erlauben und Bluetooth-Tethering erlauben keine Wirkung.
Wenn das Kontrollkästchen deaktiviert ist, ist kein
WLAN-Tethering (WLAN-Hotspot) möglich.
Wenn das Kontrollkästchen deaktiviert ist, ist kein USB-
Tethering möglich.
Wenn das Kontrollkästchen deaktiviert ist, ist kein
Bluetooth-Tethering möglich.
Der Benutzer kann die Einstellungen des WLAN-
Hotspots konfigurieren.
Hardware
Einstellung/Feld
Kamera erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist die
Kamera nicht verfügbar.
Kamera auf Sperrbildschirm erlauben Wenn das Kontrollkästchen deaktiviert ist, ist die
Kamera bei aktiver Displaysperre nicht verfügbar.
Um bei aktiviertem Sperrbildschirm die Kamera zu erlauben, müssen Sie zusätzlich die Option Kamera erlauben auswählen.
GPS für Standortabfragen erzwingen
SD-Karte erlauben
Für Standortabfragen werden GPS-Informationen verwendet.
Wenn das Kontrollkästchen deaktiviert ist, können in den
Geräten keine SD-Karten verwendet werden.
Copyright © 2018 Sophos Limited 99
Sophos Mobile on Premise
Einstellung/Feld
Verschieben von Apps auf SD-Karte erlauben
Schreiben auf unverschlüsselte SD-
Karte erlauben
Mikrofon erlauben
USB erlauben
USB-Media-Player erlauben
Stromsparmodus erlauben
USB-Host-Modus erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine Apps vom internen Speicher auf die SD-
Karte verschieben.
Wenn das Kontrollkästchen deaktiviert ist, kann nicht auf eine unverschlüsselte SD-Karte geschrieben werden.
Wenn das Kontrollkästchen deaktiviert ist, ist das
Mikrofon nicht verfügbar.
USB-Speichermodus und USB-Mediendaten-Modus
(MTP) sind auf den Geräten verfügbar.
Wenn das Kontrollkästchen deaktiviert ist, ist das MTPO
(Media Transfer Protocol) nicht verfügbar. Da Android
MTP für die Datenübertragung per USB verwendet, ist auch keine Datenübertragungen per USB möglich.
Wenn das Kontrollkästchen deaktiviert ist, wechselt das
Gerät nicht in den Stromsparmodus.
Alle externen Speichermedien, die der Benutzer anschließt, werden gemountet. Dies beinhaltet portable
USB-Speichermedien, externe Festplatten und SD-
Kartenleser.
Wenn das Kontrollkästchen deaktiviert ist, werden externe Speichermedien nicht gemountet.
Anwendungen
Einstellung/Feld
Installation von Apps erlauben
Deinstallation von Apps erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine Apps installieren.
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine Apps deinstallieren.
Installation unsignierter Apps erlauben Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer nur signierte APK-Dateien installieren.
Play Store erlauben Wenn das Kontrollkästchen deaktiviert ist, ist die App
Google Play Store nicht verfügbar.
Apps aus unbekannten Quellen erlauben
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer Apps nur über die App Google Play Store installieren.
100 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Nativen Browser erlauben
App-Absturzberichte erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist der native Browser nicht verfügbar. Browser-Apps von
Drittanbietern sind nicht betroffen.
Wenn das Kontrollkästchen deaktiviert ist, können Apps keine Absturzberichte senden.
Hintergrundbild-Wechsel erlauben Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer nicht den Display-Hintergrund ändern.
Widgets auf Sperrbildschirm erlauben Wenn das Kontrollkästchen deaktiviert ist, sind bei aktiver Displaysperre keine Widgets verfügbar.
Knox-Kontaktinformationen für private
Anrufe erlauben
Auf einem Samsung-Knox-Gerät werden standardmäßig
Kontaktinformationen angezeigt, wenn der Benutzer im privaten Modus einen Anruf von einem Knox-Kontakt erhält.
Wenn das Kontrollkästchen deaktiviert ist, werden im privaten Modus keine Knox-Kontaktinformationen angezeigt.
Autovervollständigung im Browser erlauben
Der Benutzer kann für den nativen Browser die Autovervollständigung aktivieren. Wenn die
Autovervollständigung aktiviert ist, können Webseiten
Vorschläge für das Ausfüllen von Formularen machen.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Autovervollständigung deaktiviert und die entsprechende
Browser-Einstellung ist nicht verfügbar.
Cookies im Browser erlauben
JavaScript im Browser erlauben
Der Benutzer kann für den nativen Browser Cookies aktivieren. Wenn Cookies aktiviert sind, können
Webseiten Cookies auf dem Gerät speichern.
Wenn das Kontrollkästchen deaktiviert ist, sind Cookies deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.
Der Benutzer kann für den nativen Browser JavaScript aktivieren. Wenn JavaScript aktiviert ist, können
Webseiten JavaScript-Code auf dem Gerät ausführen.
Wenn das Kontrollkästchen deaktiviert ist, ist JavaScript deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.
Popups im Browser erlauben Der Benutzer kann für den nativen Browser Popups aktivieren. Wenn Popups aktiviert sind, können
Webseiten neue Browserfenster öffnen.
Wenn das Kontrollkästchen deaktiviert ist, sind Popups deaktiviert und die entsprechende Browser-Einstellung ist nicht verfügbar.
Copyright © 2018 Sophos Limited 101
Sophos Mobile on Premise
Einstellung/Feld
Ändern von Datums- und
Zeiteinstellungen erlauben
Erlaubte Apps / Unzulässige Apps
Beschreibung
Der Benutzer kann Datums- und Zeiteinstellungen
ändern.
Sie können entweder Erlaubte Apps oder Unzulässige
Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.
Diese Einschränkungen betreffen nicht die App-
Installationen, die vom Sophos Mobile Server initiiert werden.
Informationen zur Erstellung von App-Gruppen finden
Sie in
15.12.3 Konfiguration „Knox-Premium-
Einschränkungen“ (Android-Geräteprofil)
Mit der Konfiguration Knox-Premium-Einschränkungen definieren Sie Einschränkungen für
Samsung-Knox-Geräte. Diese Einschränkungen gelten für das Gerät, nicht für den Knox-Container.
Option Beschreibung
Optionen für automatische Firmware-Updates erlauben
Das Gerät prüft automatisch, ob Firmware-
Updates verfügbar sind. Benutzer können dies nicht in den Geräteeinstellungen ändern.
ODE-Trusted-Boot-Verifizierung aktivieren Beim Starten des Gerätes wird die Datenpartition nur entschlüsselt, wenn Binary und Kernel offizielle Versionen des Geräteherstellers sind, d.h., wenn das Gerät nicht gerootet ist.
Wenn das Kontrollkästchen deaktiviert ist, wird beim Starten die Datenpartition immer entschlüsselt.
Installation einer anderen Administrations-
App verhindern
Aktivierung einer anderen Administrations-
App verhindern
Es können keine Apps installiert werden, die
Geräteadministrator-Rechte benötigen. Dies betrifft nicht die Apps, die von Sophos Mobile installiert werden.
Geräteadministrator-Rechte für Apps können nicht aktiviert werden.
102 Copyright © 2018 Sophos Limited
Option
Common-Criteria-Modus erlauben
Sophos Mobile on Premise
Beschreibung
Auf den Geräten wird der Common-Criteria-
Modus (CC Mode) aktiviert. Dies stellt sicher, dass die Geräte die im Mobile Device
Fundamentals Protection Profile (MDFPP) festgelegten Sicherheitseinstellungen erfüllen.
Hinweis: Der CC Mode wird nur angewendet, wenn zusätzlich folgende Bedingungen erfüllt sind:
• Die Geräteverschlüsselung ist aktiviert.
• Die Schnellverschlüsselung ist deaktiviert.
• Die Verschlüsselung des externen Speichers ist aktiviert.
• Die Anzahl fehlerhafter Anmeldeversuche, nach der das Gerät zurückgesetzt wird, ist festgelegt.
• Der Zertifikat-Widerruf ist aktiviert.
• Kennworthistorie (d.h., Verwendung desselben
Kennworts nach Ablauf der Gültigkeit) ist deaktiviert.
15.12.4 Konfiguration „App Protection“ (Android-Geräteprofil)
Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um Apps zu schützen.
Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort definieren, wenn er eine geschützte
App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste
Versuch erst nach einer Wartezeit erfolgen.
Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das
Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.
Einstellung/Feld
Komplexität des Kennworts
Gültigkeitsdauer in Minuten
App-Gruppe
Fingerabdruck-Authentisierung erlauben
Beschreibung
Die minimalen Anforderungen an das vom
Benutzer zu definierende Kennwort.
Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.
Wählen Sie die App-Gruppe aus, welche die
Apps enthält, die mit einem Kennwort geschützt werden.
Informationen zur Erstellung von App-Gruppen finden Sie in
Benutzer können eine geschützte App mit ihrem
Fingerabdruck entsperren.
Copyright © 2018 Sophos Limited 103
Sophos Mobile on Premise
15.12.5 Konfiguration „App Control“ (Android-Geräteprofil)
Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen. Hiermit können Sie zum Beispiel unerwünschte Apps blockieren, die vom Gerätehersteller vorinstalliert worden sind und nicht deinstalliert werden können.
Einstellung/Feld
App-Gruppe
Beschreibung
Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.
Informationen zur Erstellung von App-Gruppen
(Seite 287).
15.12.6 Konfiguration „App-Berechtigungen“ (Android)
Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der
Ausführung eine Berechtigung anfordert.
Einstellung/Feld
App-spezifische
Berechtigungsanfragen zur Laufzeit
Beschreibung
Sie können bestimmte Berechtigungen für einzelne Apps gewähren oder verweigern. Klicken Sie auf Hinzufügen und konfigurieren Sie anschließend die Einstellungen für eine App:
Geben Sie im Feld Kennung die interne App-Kennung ein.
Wählen Sie für jede Berechtigung das gewünschte
Verhalten aus:
• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.
• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.
• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.
15.12.7 Konfiguration „Exchange-Konto“ (Android-Geräteprofil)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein.
Einstellung/Feld
Kontoname
Beschreibung
Der Kontoname.
104 Copyright © 2018 Sophos Limited
Einstellung/Feld
Exchange-Server
Domäne
Benutzer
E-Mail-Adresse
Absender
Kennwort
Synchronisierungszeitraum
Synchronisierungsintervall
SSL/TLS
Standardkonto
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Beschreibung
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Ein Absendername für das Konto.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Das Kennwort für dieses Konto.
Wenn Sie dieses Feld leer lassen, müssen
Benutzer das Kennwort auf ihren Geräten eingeben.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Der zeitliche Abstand zwischen zwei
Synchronisierungsvorgängen.
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Das Konto wird als Standard-E-Mail-Konto verwendet.
105
Sophos Mobile on Premise
Einstellung/Feld
Alle Zertifikate erlauben
Client-Zertifikat
E-Mail-Weiterleitung erlauben
HTML-Format erlauben
Max. Größe von Anhängen in MB
Inhalte
Beschreibung
Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.
Das Client-Zertifikat für die Verbindung zum
Exchange-Server.
E-Mail-Weiterleitung erlauben.
E-Mails im HTML-Format sind zugelassen.
Die maximale Größe einer einzelnen E-Mail-
Nachricht ( 1 , 3 , 5 , 10 , Unbegrenzt ).
Die zu synchronisierenden Inhalte.
Hinweis
Bei Sony-Geräten mit Enterprise API Version 6.x oder niedriger ist es wichtig, dass die
Benutzerinformation des Exchange-Kontos mit dem Benutzer übereinstimmt, der dem Gerät zugewiesen ist.
Auf diesen Geräten ist die App Sophos Mobile Control nicht in der Lage, die ActiveSync-ID an den Sophos Mobile Server zu schicken. Wenn das Gerät zum ersten Mal eine Anfrage an den
EAS-Proxy sendet, kennt Sophos Mobile nicht die vom E-Mail-Client übermittelte ActiveSync-ID.
Um die Benutzerdaten zu verifizieren, sucht der EAS-Proxy nach einem Gerät mit unbekannter
ActiveSync-ID, dem ein Benutzer zugewiesen ist, der mit dem vom E-Mail-Client übermittelten
Benutzer übereinstimmt. Wird ein solches Gerät gefunden, wird ihm die ActiveSync-ID zugewiesen und die E-Mail-Anforderung wird an den Exchange-Server weitergeleitet. Andernfalls wird die
Anforderung abgewiesen.
Einzelheiten hierzu finden Sie im Sophos Knowledgebase-Artikel 121360 .
15.12.8 Konfiguration „WLAN“ (Android-Geräteprofil)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Sicherheitstyp
Beschreibung
Die ID des WLAN-Netzwerks.
Der Sicherheitstyp der WLAN-Verbindung:
• Ohne
• WEP
• WPA/WPA2 PSK
• EAP/PEAP
• EAP/TLS
• EAP/TTLS
106 Copyright © 2018 Sophos Limited
Einstellung/Feld
Phase-2-Authorisierung
Identität
Anonyme Identität
Kennwort
Identitätszertifikat
Vertrauenswürdiges Zertifikat
Proxy-Server und -Port
Sophos Mobile on Premise
Beschreibung
Die Authentisierungsmethode für Phase 2 der
EAP-Aushandlung:
• Ohne
• PAP
• CHAP
• MSCHAP
• MSCHAPv2
Dieses Feld ist für die Verbindungstypen EAP/
PEAP und EAP/TTLS verfügbar.
Die Identität des Benutzers.
Dieses Feld ist für EAP-Verbindungen verfügbar.
Die Pseudo-Identität, die in Phase 1 der EAP-
Aushandlung unverschlüsselt gesendet wird.
Dieses Feld ist für EAP-Verbindungen verfügbar.
Das Kennwort für das WLAN-Netzwerk.
Das Identitätszertifikat für die Verbindung zum
WLAN-Netzwerk.
Die Liste enthält alle Zertifikate aus
Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.
Dieses Feld ist für EAP-Verbindungen verfügbar.
Die Root-CA für das Zertifikat des EAP-Servers.
Die Liste enthält alle Zertifikate aus
Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.
Dieses Feld ist für EAP-Verbindungen verfügbar.
Name oder IP-Adresse und Port eines Proxy-
Servers für die WLAN-Verbindung.
15.12.9 Konfiguration „VPN“ (Android-Geräteprofil)
Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.
Einstellung/Feld Beschreibung
Verbindungsname Der Name der Verbindung, der auf dem Gerät angezeigt wird.
Server Der Host-Name oder die IP-Adresse des Servers.
Copyright © 2018 Sophos Limited 107
Sophos Mobile on Premise
Einstellung/Feld
Verbindungstyp
Beschreibung
Der Typ der VPN-Verbindung:
• L2TP/IPsec (PSK)
Wenn Sie diesen Typ auswählen, werden die Felder Benutzer , Kennwort und L2TP/IPsec (PSK) angezeigt. Geben Sie den Benutzer und das
Kennwort ein. Geben Sie im Feld L2TP/IPsec (PSK) den Pre-shared Key für die Authentisierung ein.
• L2TP/IPsec (Zertifikat)
Wenn Sie diesen Typ auswählen, werden die Felder Client-Zertifikat ,
Root-Zertifikat , Benutzer und Kennwort angezeigt. Wählen Sie in den
Feldern Client-Zertifikat und Root-Zertifikat die relevanten Zertifikate.
Geben Sie außerdem den Benutzer und das zugehörige Kennwort ein.
• Cisco AnyConnect
Wenn Sie diesen Typ auswählen, können Sie XML-Dateien mit einem
AnyConnect-VPN-Profil und/oder einem NVM-Profil (Network Visibility
Module) hochladen. Informationen zu diesen Profilen finden Sie in der
Cisco AnyConnect Administrator-Dokumentation.
15.12.10 Konfiguration „Root-Zertifikat“ (Android-Geräteprofil)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen
Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.12.11 Konfiguration „Client-Zertifikat“ (Android-Geräteprofil)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen
Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
108 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.12.12 Konfiguration „SCEP“ (Android-Geräteprofil)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.
Hinweis
Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer
Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.
Einstellung/Feld
URL
Aliasname
Betreff
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Der Name, unter dem das Zertifikat in
Auswahldialogen angezeigt wird.
Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum
Beispiel können Sie denselben Wert wie für das
Feld Betreff verwenden, nur ohne den Vorsatz
CN= .
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern finden Sie in
Platzhalter in Profilen und Richtlinien
(Seite 90).
Copyright © 2018 Sophos Limited 109
Sophos Mobile on Premise
Einstellung/Feld
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Challenge
Root-Zertifikat
Schlüsselgröße
Als digitale Signatur verwenden
Für Verschlüsselung verwenden
Beschreibung
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Das CA-Zertifikat.
Wählen Sie das Zertifikat aus der Liste aus. Die
Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale
Signatur verwendet werden.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur
Datenverschlüsselung verwendet werden.
15.12.13 Konfiguration „Zugangspunkt (APN)“ (Android-
Geräteprofil)
Mit der Konfiguration Zugangspunkt (APN) konfigurieren Sie einen Zugangspunkt (Access
Point Name - APN) für Mobilgeräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem
Mobilfunknetz verbinden.
110 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Wichtig
Wir empfehlen, die benötigten Einstellungen von Ihrem Netzbetreiber zu erfragen. Wenn Sie Als
Standard-Zugangspunkt verwenden auswählen und die Einstellungen fehlerhaft sind, kann das
Gerät keine mobilen Daten empfangen.
Hinweis
Außer dem Feld APN sind alle Einstellungen optional. Sie sollten nur jene Einstellungen konfigurieren, die von Ihrem Mobilfunkbetreiber benötigt werden.
Einstellung/Feld
APN
Benutzerfreundlicher Name
Proxy-Server und -Port
Benutzername
Server
MMSC
APN-Typ
, Benutzer-Kennwort
MMS-Proxy-Server und -Port
Mobile Country Code (MCC) , Mobile Network
Code (MNC)
Authentifizierung-Typ
Beschreibung
Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz verbindet.
Dies muss ein vom Netzbetreiber akzeptierter
Zugangspunkt sein. Andernfalls kann die
Verbindung nicht aufgebaut werden.
Ein optionaler Name, der auf dem Gerät zusätzlich zum APN angezeigt wird.
Adresse und Portnummer des HTTP-Servers, der für Web-Datenverkehr verwendet wird.
Ein Benutzername und Kennwort für die
Verbindung mit dem Zugangspunkt.
Der WAP-Gateway-Server.
Das Multimedia Messaging Service Center
(MMSC).
Adresse und Portnummer des HTTP-Servers, der für die Kommunikation mit dem MMSC verwendet wird.
Mit MCC und MNC legen Sie einen Netzbetreiber fest.
Der Zugangspunkt wird nur für diesen
Netzbetreiber verwendet.
Die Authentifizierungsmethode für PPP-
Verbindungen.
Die Datenarten für diesen APN.
Um den APN für alle Datenarten zu verwenden, tragen Sie * ein oder lassen das Feld leer.
Copyright © 2018 Sophos Limited 111
Sophos Mobile on Premise
Einstellung/Feld
Träger
Protokoll
Roaming-Protokoll
Als Standard-Zugangspunkt verwenden
Beschreibung
Die vom Netzbetreiber verwendete Radio Access
Technology (RAT).
Das vom Netzbetreiber unterstützte
Netzwerkprotokoll.
Das vom Netzbetreiber unterstützte
Netzwerkprotokoll bei Roaming in fremden
Mobilfunknetzen.
Wählen Sie diese Option aus, um den APN als
Standard zu verwenden.
Wenn Sie mehrere Konfigurationen
Zugangspunkt (APN) verwenden, dürfen
Sie diese Option nur in einer Konfiguration auswählen.
15.12.14 Konfiguration „Kiosk-Modus“ (Android-Geräteprofil)
Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.
Um eine App festzulegen, die ausgeführt wird, wenn das Profil auf ein Gerät übertragen wird, klicken
Sie auf Quelle auswählen und gehen Sie anschließend auf eine der folgenden Weisen vor:
• Wählen Sie Benutzerdefiniert aus und geben Sie eine App-Kennung ein.
• Wählen Sie App-Liste aus und wählen Sie anschließend in der Liste Kennung eine App aus.
Die Liste enthält alle Apps, die Sie auf der Seite Apps konfiguriert haben. Siehe
(Seite 268).
• Wählen Sie Keine aus, um keine festgelegte App im Kiosk-Modus auszuführen. Die Kiosk-Modus-
Einschränkungen werden auf das Gerät übertragen, aber es wird keine App gestartet.
Unter Optionen deaktivieren Sie Hardware- und Software-Funktionen, die im Kiosk-Modus deaktiviert sein sollen.
Wenn das Profil auf ein Gerät übertragen wird, wird die festgelegte App gestartet. Der Benutzer kann jedoch die App verlassen und das Gerät normal verwenden, falls Sie keine der verfügbaren Hardwareoder Software-Funktionen deaktiviert haben. Um tatsächlich einen Kiosk-Modus zu realisieren, müssen
Sie mindestens die Kontrollkästchen Schaltfläche Startbildschirm erlauben und Task-Manager erlauben deaktivieren.
112 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
• Die festgelegte App muss auf dem Gerät vorhanden sein. Ist dies nicht der Fall, verbleiben die zu übertragenden Aufträge im Status Unvollständig, bis die App installiert worden ist. Um die App zu installieren, erstellen Sie zum Beispiel ein Auftragspaket mit einem Auftrag App installieren und übertragen dieses an Ihre Geräte.
• Wenn Sie für Samsung-Knox-Geräte eine App angeben wollen, muss dies eine Launcher-App sein. Launcher-Apps stellen einen alternativen Android-Desktop bereit.
• Für Sony-Geräte mit Enterprise API Version 9 oder niedriger gilt: Wenn Sie eines der
Kontrollkästchen Lautstärke erhöhen erlauben , Lautstärke verringern erlauben oder
Stummschalten erlauben deaktivieren, werden alle Gerätetasten zum Steuern der Lautstärke deaktiviert.
15.13 Konfigurationen für Richtlinien für Android
Enterprise Arbeitsprofile
Mit einer Richtlinie für Android Enterprise Arbeitsprofile konfigurieren Sie das Arbeitsprofil eines
Gerätes. Die Richtlinie kann auf Geräte angewendet werden, die mit dem Android-Enterprise-Modus
„Profilbesitzer“ bei Sophos Mobile registriert sind.
Informationen zur Erstellung einer Android-Enterprise-Richtlinie für Arbeitsprofile finden Sie in
Profil oder Richtlinie erstellen
(Seite 85).
15.13.1 Konfiguration „Kennwortrichtlinien – Gerät“ (Android-
Enterprise-Arbeitsprofil-Richtlinie)
Mit der Konfiguration Kennwort-Richtlinien - Gerät definieren Sie Anforderungen an das Kennwort für die Displaysperre.
Kennworttyp
Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:
Einstellung/Feld
Muster, PIN oder Kennwort
Einfaches Kennwort
Beschreibung
Benutzer müssen eine Displaysperre einrichten.
Für die Displaysperre sind die Typen Muster , PIN und Passwort erlaubt. Weitere Einschränkungen bestehen nicht.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein Buchstabe enthalten sein. Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Copyright © 2018 Sophos Limited 113
Sophos Mobile on Premise
Einstellung/Feld
PIN oder Kennwort
Alphanumerisches Kennwort
Komplexes Kennwort
Beschreibung
Benutzer müssen eine Displaysperre vom Typ
PIN oder Passwort einrichten. Sie können eine
Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindestzeichenanzahl festlegen.
Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und
Großbuchstaben und Sonderzeichen festlegen.
Siehe die nachfolgenden beiden Tabellen.
Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder
Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Länge des Kennworts
Inaktivitätsdauer bis zur Abfrage des
Kennworts
Beschreibung
Die Mindestanzahl an Zeichen, die ein Kennwort enthalten muss.
Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch
Eingabe des Kennworts entsperren.
Hinweis
Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.
Gültigkeitsdauer des Kennworts in Tagen
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.
Die Anzahl alter Kennwörter, die vom System gespeichert werden. Wenn ein Benutzer ein neues Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 5 oder kein
Wert.
114 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Anzahl von Buchstaben
Minimale Anzahl von Kleinbuchstaben
Minimale Anzahl von Großbuchstaben
Minimale Anzahl von Zeichen, die kein
Buchstabe sind
Minimale Anzahl von Ziffern
Minimale Anzahl von Sonderzeichen
Beschreibung
Die Mindestanzahl an Buchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Kleinbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Großbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl nicht-alphabetischer Zeichen
(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.
Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.
Die Mindestanzahl an Sonderzeichen (zum
Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.
15.13.2 Konfiguration „Kennwortrichtlinien –
Arbeitsprofil“ (Android-Enterprise-Arbeitsprofil-Richtlinie)
Mit der Konfiguration Kennwort-Richtlinien - Arbeitsprofil definieren Sie Anforderungen an das
Kennwort des Arbeitsprofils. Der Benutzer muss das Kennwort eingeben, um eine berufliche App zu
öffnen, wenn das Arbeitsprofil gesperrt ist.
Hinweis
Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. Solche Einschränkungen sind in Sophos Mobile durch blaue Label gekennzeichnet.
Kennworttyp
Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:
Einstellung/Feld
Muster, PIN oder Kennwort
Beschreibung
Benutzer müssen eine Displaysperre einrichten.
Für die Displaysperre sind die Typen Muster , PIN und Passwort erlaubt. Weitere Einschränkungen bestehen nicht.
Copyright © 2018 Sophos Limited 115
Sophos Mobile on Premise
Einstellung/Feld
Einfaches Kennwort
PIN oder Kennwort
Alphanumerisches Kennwort
Komplexes Kennwort
Schwache biometrische Erkennung
Beschreibung
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein Buchstabe enthalten sein. Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
PIN oder Passwort einrichten. Sie können eine
Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindestzeichenanzahl festlegen.
Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und
Großbuchstaben und Sonderzeichen festlegen.
Siehe die nachfolgenden beiden Tabellen.
Benutzer dürfen schwache biometrische
Erkennungsverfahren, wie z.B.
Gesichtserkennung, verwenden, um das
Arbeitsprofil zu entsperren.
Hinweis
Schwache biometrische
Erkennungsverfahren bieten eine vergleichbare Sicherheit wie eine 3-stellige
PIN. Das heißt, für ein unberechtigtes
Entsperren sind etwa 1000 Versuche erforderlich.
Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder
Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Länge des Kennworts
Beschreibung
Die Mindestanzahl an Zeichen, die ein Kennwort enthalten muss.
116 Copyright © 2018 Sophos Limited
Einstellung/Feld
Inaktivitätsdauer bis zur Abfrage des
Kennworts
Sophos Mobile on Premise
Beschreibung
Die Zeit, nach der das Arbeitsprofil gesperrt wird, wenn es nicht benutzt wird. Das Profil lässt sich durch Eingabe des Kennworts entsperren.
Hinweis
Das Gerät erzwingt möglicherweise eine kürzere
Zeitspanne als die von Ihnen konfigurierte.
Gültigkeitsdauer des Kennworts in Tagen
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
Die Anzahl falscher Kennworteingaben, nach der das Arbeitsprofil zurückgesetzt wird.
Die Anzahl alter Kennwörter, die vom System gespeichert werden. Wenn ein Benutzer ein neues Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 5 oder kein
Wert.
Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Anzahl von Buchstaben
Minimale Anzahl von Kleinbuchstaben
Minimale Anzahl von Großbuchstaben
Minimale Anzahl von Zeichen, die kein
Buchstabe sind
Minimale Anzahl von Ziffern
Minimale Anzahl von Sonderzeichen
Beschreibung
Die Mindestanzahl an Buchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Kleinbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Großbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl nicht-alphabetischer Zeichen
(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.
Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.
Die Mindestanzahl an Sonderzeichen (zum
Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.
Copyright © 2018 Sophos Limited 117
Sophos Mobile on Premise
15.13.3 Konfiguration „Einschränkungen“ (Android-Enterprise-
Arbeitsprofil-Richtlinie)
Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige
Einstellungen für Android-Arbeitsprofile.
Sicherheit
Einstellung/Feld
Bildschirmaufnahme erlauben
Beschreibung
Benutzer können Screenshots von beruflichen Apps machen.
Benutzer dürfen Anmeldeinformation bearbeiten
Arbeits-Zwischenablage darf in private
Apps kopiert werden
Benutzer können Text aus einer beruflichen App kopieren und in eine private App einfügen.
Das Einfügen von Text aus einer privaten App in eine berufliche App ist immer möglich.
Smart Lock erlauben
Benutzer können im Arbeitsprofil Zertifikate installieren oder deinstallieren.
„Standort teilen“ erlauben
Benutzer können die Android-Funktion „Smart
Lock“ aktivieren, durch die das Gerät in bestimmten
Situationen automatisch entsperrt wird.
Berufliche Apps können auf die Ortungsdienste des
Gerätes zugreifen.
Wenn das Kontrollkästchen deaktiviert ist, können berufliche Apps selbst dann nicht auf Ortungsdienste zugreifen, wenn der Benutzer die Einstellung „Standort teilen“ aktiviert hat.
Internet-Links dürfen in privaten Apps geöffnet werden
Debugging erlauben
Internet-Links, auf die der Benutzer in einer beruflichen
App tippt, können in einer privaten App geöffnet werden.
Benutzer können die Debugging-Funktionen in den
Android-Entwicklereinstellungen aktivieren.
Entsperren mit Fingerabdruck erlauben Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.
Details zu beruflichen Kontakten für private Anrufe erlauben
Die private Telefon-App zeigt bei eingehenden
Gesprächen von beruflichen Kontakten den
Anrufernamen an.
Details zu beruflichen Kontakten für
Bluetooth-Geräte erlauben
Verbundene Bluetooth-Geräte zeigen bei eingehenden
Privatgesprächen von beruflichen Kontakten den
Anrufernamen an.
118 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Suche nach beruflichen Kontakten im privaten Profil erlauben
Beschreibung
Die private Telefon-App zeigt bei der Suche nach
Anrufernamen auch berufliche Kontakte an.
Konten
Einstellung/Feld
Kontenverwaltung erlauben
Beschreibung
Benutzer können Konten dem Work-Profil hinzufügen oder daraus entfernen, ausgenommen das Google-
Konto.
Netzwerk und Kommunikation
Einstellung/Feld
VPN erlauben
Android Beam erlauben
Beschreibung
Benutzer können für berufliche Apps VPN-Verbindungen verwenden.
Benutzer können Android Beam (NFC-
Datenübertragung) verwenden, um Daten aus beruflichen Apps zu senden.
Hardware
Einstellung/Feld
Kamera erlauben
Beschreibung
Berufliche Apps können auf die Kamera zugreifen.
Anwendungen
Einstellung/Feld
Deinstallation von Apps erlauben
Beschreibung
Benutzer können berufliche Apps deinstallieren.
Installation von Apps aus unbekannten
Quellen erlauben
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer berufliche Apps nur aus dem Google Play
Store installieren, nicht aus unbekannten Quellen oder
über Android Debug Bridge (ADB).
Copyright © 2018 Sophos Limited 119
Sophos Mobile on Premise
Einstellung/Feld
App-Verwaltung erlauben
Deaktivieren von Google-
Sicherheitsscans erlauben
Hinweis (kurz)
Hinweis (lang)
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer für berufliche Apps folgende Aufgaben nicht ausführen:
• Apps deinstallieren
• Apps deaktivieren
• Apps beenden
• App-Cache leeren
• App-Daten löschen
• Einstellung Standardmäßig öffnen löschen
Benutzer können die Google-Sicherheitseinstellung
Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.
Die Einstellung befindet sich in der App Einstellungen , unter Google > Sicherheit > Google Play Protect .
Ein unternehmensspezifischer Hinweis, der dem
Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.
Hinweis
Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.
Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen Hinweistextes auf
Weitere Informationen tippt.
Hinweis
Dieser Text wird außerdem auf der Seite
Geräteadministrator für die App Sophos Mobile
Control angezeigt.
15.13.4 Konfiguration „App Protection“ (Android-Enterprise-
Arbeitsprofil-Richtlinie)
Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, mit denen berufliche Apps geschützt werden, d.h. Apps, die im Arbeitsprofil installiert sind.
Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort definieren, wenn er eine geschützte
App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste
Versuch erst nach einer Wartezeit erfolgen.
120 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das
Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.
Einstellung/Feld
Komplexität des Kennworts
Gültigkeitsdauer in Minuten
App-Gruppe
Fingerabdruck-Authentisierung erlauben
Beschreibung
Die minimalen Anforderungen an das vom
Benutzer zu definierende Kennwort.
Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.
Wählen Sie die App-Gruppe aus, welche die
Apps enthält, die mit einem Kennwort geschützt werden.
Informationen zur Erstellung von App-Gruppen finden Sie in
Benutzer können eine geschützte App mit ihrem
Fingerabdruck entsperren.
15.13.5 Konfiguration „App Control“ (Android-Enterprise-
Arbeitsprofil-Richtlinie)
Mit der Konfiguration App Control legen Sie fest, welche beruflichen Apps auf einem Gerät nicht gestartet werden dürfen.
Einstellung/Feld
App-Gruppe
Beschreibung
Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.
Informationen zur Erstellung von App-Gruppen
(Seite 287).
15.13.6 Konfiguration „App-Berechtigungen“ (Android-
Enterprise-Arbeitsprofil-Richtlinie)
Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine berufliche App während der Ausführung eine Berechtigung anfordert.
Copyright © 2018 Sophos Limited 121
Sophos Mobile on Premise
Einstellung/Feld
Standardantwort auf
Berechtigungsanforderungen zur
Laufzeit
App-spezifische
Berechtigungsanforderungen zur
Laufzeit
Beschreibung
Die Standard-Reaktion auf zukünftige
Berechtigungsanforderungen von beruflichen Apps während der Ausführung:
• Abfragen : Apps fordern den Benutzer auf, die
Berechtigung zu gewähren.
• Auto-Bestätigen : Alle Berechtigungsanforderungen während der App-Ausführung werden automatisch gewährt.
• Auto-Verweigern : Alle Berechtigungsanforderungen während der App-Ausführung werden automatisch verweigert.
Der Benutzer kann die Berechtigung nicht nachträglich
ändern.
Sie können bestimmte Berechtigungen für einzelne Apps gewähren oder verweigern. Klicken Sie auf Hinzufügen und konfigurieren Sie anschließend die Einstellungen für eine App:
Geben Sie im Feld Kennung die interne App-Kennung ein.
Wählen Sie für jede Berechtigung das gewünschte
Verhalten aus:
• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.
• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.
• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.
15.13.7 Konfiguration „Exchange-Konto“ (Android-Enterprise-
Arbeitsprofil-Richtlinie)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein. Diese Einstellungen gelten für die App Gmail im Arbeitsprofil.
Einstellung/Feld
Kontoname
Exchange-Server
Beschreibung
Der Kontoname.
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
122 Copyright © 2018 Sophos Limited
Einstellung/Feld
Domäne
Benutzer
E-Mail-Adresse
Absender
Synchronisierungszeitraum
SSL/TLS
Alle Zertifikate erlauben
Client-Zertifikat
Sophos Mobile on Premise
Beschreibung
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Hinweis
Das Kennwort wird vom Benutzer eingegeben.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Ein Absendername für das Konto.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.
Das Client-Zertifikat für die Verbindung zum
Exchange-Server.
15.13.8 Konfiguration „Root-Zertifikat“ (Android-Enterprise-
Arbeitsprofil-Richtlinie)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Das Zertifikat steht beruflichen Apps zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Copyright © 2018 Sophos Limited 123
Sophos Mobile on Premise
124
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.13.9 Konfiguration „Client-Zertifikat“ (Android-Enterprise-
Arbeitsprofil-Richtlinie)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Das Zertifikat steht beruflichen Apps zur Verfügung, d.h. Apps, die im Arbeitsprofil installiert sind.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.13.10 Konfiguration „SCEP“ (Android-Enterprise-
Arbeitsprofil-Richtlinie)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen Apps zur
Verfügung, die im Arbeitsprofil installiert sind.
Hinweis
Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer
Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.
Einstellung/Feld
URL
Aliasname
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Der Name, unter dem das Zertifikat in
Auswahldialogen angezeigt wird.
Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum
Beispiel können Sie denselben Wert wie für das
Feld Betreff verwenden, nur ohne den Vorsatz
CN= .
Copyright © 2018 Sophos Limited
Einstellung/Feld
Betreff
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Challenge
Root-Zertifikat
Schlüsselgröße
Sophos Mobile on Premise
Beschreibung
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern finden Sie in
Platzhalter in Profilen und Richtlinien
(Seite 90).
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Das CA-Zertifikat.
Wählen Sie das Zertifikat aus der Liste aus. Die
Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
Copyright © 2018 Sophos Limited 125
Sophos Mobile on Premise
Einstellung/Feld
Als digitale Signatur verwenden
Für Verschlüsselung verwenden
Beschreibung
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale
Signatur verwendet werden.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur
Datenverschlüsselung verwendet werden.
15.14 Konfigurationen für Android-Enterprise-
Geräterichtlinien
Mit einer Android-Enterprise-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Android-
Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die
Richtlinie kann auf Geräte angewendet werden, bei denen Sophos Mobile als Android Enterprise
Gerätebesitzer registriert ist.
Informationen zur Erstellung einer Android-Enterprise-Geräterichtlinie finden Sie in
Profil oder Richtlinie erstellen
(Seite 85).
15.14.1 Konfiguration „Kennwortrichtlinien“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Kennwort für die
Displaysperre.
Kennworttyp
Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:
Einstellung/Feld
Muster, PIN oder Kennwort
Einfaches Kennwort
PIN oder Kennwort
Beschreibung
Benutzer müssen eine Displaysperre einrichten.
Für die Displaysperre sind die Typen Muster , PIN und Passwort erlaubt. Weitere Einschränkungen bestehen nicht.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein Buchstabe enthalten sein. Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
PIN oder Passwort einrichten. Sie können eine
Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
126 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Alphanumerisches Kennwort
Komplexes Kennwort
Beschreibung
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindestzeichenanzahl festlegen.
Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und
Großbuchstaben und Sonderzeichen festlegen.
Siehe die nachfolgenden beiden Tabellen.
Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder
Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Länge des Kennworts
Inaktivitätsdauer bis zur Abfrage des
Kennworts
Beschreibung
Die Mindestanzahl an Zeichen, die ein Kennwort enthalten muss.
Die Zeit, nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Das Gerät lässt sich durch
Eingabe des Kennworts entsperren.
Hinweis
Das Gerät erzwingt möglicherweise eine kürzere Zeitspanne als die von Ihnen konfigurierte.
Gültigkeitsdauer des Kennworts in Tagen
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
Die Anzahl falscher Kennworteingaben, nach der das Gerät zurückgesetzt wird.
Die Anzahl alter Kennwörter, die vom System gespeichert werden. Wenn ein Benutzer ein neues Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 5 oder kein
Wert.
Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:
Copyright © 2018 Sophos Limited 127
Sophos Mobile on Premise
Einstellung/Feld
Minimale Anzahl von Buchstaben
Minimale Anzahl von Kleinbuchstaben
Minimale Anzahl von Großbuchstaben
Minimale Anzahl von Zeichen, die kein
Buchstabe sind
Minimale Anzahl von Ziffern
Minimale Anzahl von Sonderzeichen
Beschreibung
Die Mindestanzahl an Buchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Kleinbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Großbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl nicht-alphabetischer Zeichen
(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.
Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.
Die Mindestanzahl an Sonderzeichen (zum
Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.
15.14.2 Konfiguration „Einschränkungen“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.
Sicherheit
Einstellung/Feld
Verschlüsselung erzwingen
Auf Werkseinstellungen zurücksetzen erlauben
Safe-Modus erlauben
Debugging erlauben
Screenshot erlauben
Benutzer dürfen Anmeldeinformation bearbeiten
Smart Lock erlauben
Beschreibung
Benutzer müssen ihre Geräte verschlüsseln.
Benutzer können das Gerät auf Werkseinstellungen zurücksetzen.
Benutzer können das Gerät im Safe-Modus starten.
Benutzer können die Debugging-Funktionen in den
Android-Entwicklereinstellungen aktivieren.
Benutzer können Screenshots machen.
Benutzer können Zertifikate installieren oder entfernen.
Benutzer können die Android-Funktion „Smart
Lock“ aktivieren, durch die das Gerät in bestimmten
Situationen automatisch entsperrt wird.
128 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld Beschreibung
„Standort teilen“ erlauben Benutzer können das Teilen des Standorts aktivieren.
Entsperren mit Fingerabdruck erlauben Benutzer können das Gerät mit ihrem Fingerabdruck entsperren.
Ändern des Kontobildes erlauben
Sensible Informationen auf
Sperrbildschirm verbergen
System-Update-Richtlinie
Benutzer können das Foto ihres Benutzerkontos ändern.
Wenn Benachrichtungen auf dem Sperrbildschirm aktiviert sind, werden keine sensiblen Inhalte angezeigt.
Wählen Sie aus, wann Systemaktualisierungen installiert werden:
• Keine Richtlinie : Der Benutzer kann entscheiden, wann
Systemaktualisierungen installiert werden.
• Automatische Installation : Systemaktualisierungen werden automatisch installiert, sobald sie verfügbar sind.
• Installation im Wartungszeitraum :
Systemaktualisierungen werden innerhalb eines
Wartungsfensters automatisch installiert. Geben
Sie Uhrzeiten für den Beginn und das Ende des
Wartungsfensters ein.
• Verschieben : Systemaktualisierungen (ausgenommen
Sicherheitsaktualisierungen) werden für 30 Tage zurückgehalten.
Konten
Einstellung/Feld
Kontenverwaltung erlauben
Beschreibung
Benutzer können auf dem Gerät Konten hinzufügen oder entfernen, ausgenommen das Google-Konto.
Netzwerk und Kommunikation
Einstellung/Feld
SMS erlauben
Datenverbindungen bei Roaming erlauben
VPN erlauben
Android Beam erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine SMS senden.
Wenn das Kontrollkästchen deaktiviert ist, sind bei
Roaming keine mobilen Datenverbindungen möglich.
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine VPN-Verbindungen verwenden.
Benutzer können Android Beam (NFC-
Datenübertragung) verwenden, um Daten aus beruflichen Apps zu senden.
Copyright © 2018 Sophos Limited 129
Sophos Mobile on Premise
Einstellung/Feld
Bluetooth erlauben
Ausgehende Telefonanrufe erlauben
Zurücksetzen der
Netzwerkeinstellungen erlauben
WLAN-Einstellungen aktivieren
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist Bluetooth deaktiviert.
Benutzer können Telefonanrufe tätigen.
Benutzer können die Netzwerkeinstellungen auf
Standardwerte zurücksetzen.
Benutzer können die WLAN-Einstellungen ändern.
Cell-Broadcast-Konfiguration erlauben Benutzer können Cell Broadcast (CB) in ihrer
Nachrichten-App aktivieren oder deaktivieren.
Einstellungen für mobile Netzwerke aktivieren
Benutzer können die Einstellungen für mobile Netze
ändern.
Tethering-Einstellungen aktivieren Benutzer können die Einstellungen für Tethering und mobilen Hotspot ändern.
Hardware
Einstellung/Feld
Kamera erlauben
Mikrofon erlauben
Externe Medien erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist die
Kamera nicht verfügbar.
Wenn das Kontrollkästchen deaktiviert ist, ist das
Mikrofon nicht verfügbar.
Benutzer können externe Medien wie z.B. USB-Speicher mit dem Gerät verbinden.
Anwendungen
Einstellung/Feld Beschreibung
Deinstallation von Apps erlauben Benutzer können Apps deinstallieren.
Installation von Apps aus unbekannten
Quellen erlauben
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer Apps nur aus Google Play installieren, nicht aus unbekannten Quellen oder über Android Debug
Bridge (ADB).
Hintergrundbild-Wechsel erlauben Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer nicht den Display-Hintergrund ändern.
130 Copyright © 2018 Sophos Limited
Einstellung/Feld
App-Verwaltung erlauben
Deaktivieren von Google-
Sicherheitsscans erlauben
Ändern von Datum und Uhrzeit erlauben
Hinweis (kurz)
Hinweis (lang)
Sophos Mobile on Premise
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer für Apps folgende Aufgaben nicht ausführen:
• Apps deinstallieren
• Apps deaktivieren
• Apps beenden
• App-Cache leeren
• App-Daten löschen
• Einstellung Standardmäßig öffnen löschen
Benutzer können die Google-Sicherheitseinstellung
Gerät auf Sicherheitsbedrohungen durchsuchen deaktivieren.
Die Einstellung befindet sich in der App Einstellungen , unter Google > Sicherheit > Google Play Protect .
Benutzer können Datum und Uhrzeit einstellen.
Wenn das Kontrollkästchen deaktiviert ist, werden
Datum und Uhrzeit aus dem Netzwerk bezogen.
Ein unternehmensspezifischer Hinweis, der dem
Benutzer bei Funktionen angezeigt wird, die Sie deaktiviert haben.
Hinweis
Wenn der Text länger als 200 Zeichen ist, wird er möglicherweise abgeschnitten.
Zusätzlicher Hinweistext. Der Text wird angezeigt, wenn der Benutzer bei Anzeige des kurzen Hinweistextes auf
Weitere Informationen tippt.
Hinweis
Dieser Text wird außerdem auf der Seite
Geräteadministrator für die App Sophos Mobile
Control angezeigt.
Copyright © 2018 Sophos Limited 131
Sophos Mobile on Premise
Einstellung/Feld
Erlaubte Bedienungshilfen
Beschreibung
Schränken Sie ein, welche Apps Bedienungshilfen anbieten dürfen:
• Wenn Sie Alle verfügbaren Apps auswählen, können
Benutzer alle Bedienungshilfen verwenden.
• Wenn Sie Nur System-Apps auswählen, können
Benutzer nur Bedienungshilfen von System-Apps verwenden.
• Wenn Sie eine App-Gruppe auswählen, können Benutzer nur Bedienungshilfen von den enthaltenen Apps und von
System-Apps verwenden.
15.14.3 Konfiguration „App Protection“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration App Protection definieren Sie Anforderungen an Kennwörter, um berufliche
Apps zu schützen.
Wenn App Protection aktiv ist, muss der Benutzer ein Kennwort definieren, wenn er eine geschützte
App zum ersten Mal starten. Nach einem fehlgeschlagenen Anmeldeversuch kann der nächste
Versuch erst nach einer Wartezeit erfolgen.
Wenn App Protection auf einem Gerät aktiv ist, steht im Menü Aktionen der Seite Gerät anzeigen das
Kommando App-Protection-Kennwort zurücksetzen zur Verfügung. Außerdem kann der Benutzer das Kennwort für App Protection im Self Service Portal zurücksetzen.
Einstellung/Feld
Komplexität des Kennworts
Gültigkeitsdauer in Minuten
App-Gruppe
Fingerabdruck-Authentisierung erlauben
Beschreibung
Die minimalen Anforderungen an das vom
Benutzer zu definierende Kennwort.
Nach Ablauf der Toleranzfrist können Apps nur noch durch Eingabe eines Kennworts entsperrt werden.
Wählen Sie die App-Gruppe aus, welche die
Apps enthält, die mit einem Kennwort geschützt werden.
Informationen zur Erstellung von App-Gruppen finden Sie in
Benutzer können eine geschützte App mit ihrem
Fingerabdruck entsperren.
132 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.14.4 Konfiguration „App Control“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration App Control legen Sie fest, welche Apps auf einem Gerät nicht gestartet werden dürfen. Hiermit können Sie zum Beispiel unerwünschte Apps blockieren, die vom Gerätehersteller vorinstalliert worden sind und nicht deinstalliert werden können.
Einstellung/Feld
App-Gruppe
Beschreibung
Wählen Sie die App-Gruppe aus, welche die blockierten Apps enthält.
Informationen zur Erstellung von App-Gruppen
(Seite 287).
15.14.5 Konfiguration „App-Berechtigungen“ (Android-
Enterprise-Geräterichtlinie)
Mit der Konfiguration App-Berechtigungen legen Sie fest, was passiert, wenn eine App während der
Ausführung eine Berechtigung anfordert.
Einstellung/Feld
Standardantwort auf
Berechtigungsanforderungen zur
Laufzeit
Beschreibung
Die Standard-Reaktion auf zukünftige
Berechtigungsanforderungen von beruflichen Apps während der Ausführung:
• Abfragen : Apps fordern den Benutzer auf, die
Berechtigung zu gewähren.
• Auto-Bestätigen : Alle Berechtigungsanforderungen während der App-Ausführung werden automatisch gewährt.
• Auto-Verweigern : Alle Berechtigungsanforderungen während der App-Ausführung werden automatisch verweigert.
Der Benutzer kann die Berechtigung nicht nachträglich
ändern.
Copyright © 2018 Sophos Limited 133
Sophos Mobile on Premise
Einstellung/Feld
App-spezifische
Berechtigungsanforderungen zur
Laufzeit
Beschreibung
Sie können bestimmte Berechtigungen für einzelne Apps gewähren oder verweigern. Klicken Sie auf Hinzufügen und konfigurieren Sie anschließend die Einstellungen für eine App:
Geben Sie im Feld Kennung die interne App-Kennung ein.
Wählen Sie für jede Berechtigung das gewünschte
Verhalten aus:
• Auswählbar : Der Benutzer kann die Berechtigung gewähren oder verweigern.
• Zugelassen : Die Berechtigung wird zugelassen und kann vom Benutzer nicht verweigert werden.
• Verweigert : Die Berechtigung wird verweigert und kann vom Benutzer nicht zugelassen werden.
15.14.6 Konfiguration „Exchange-Konto“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein.
Einstellung/Feld
Kontoname
Exchange-Server
Beschreibung
Der Kontoname.
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
Domäne
Benutzer
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Hinweis
Das Kennwort wird vom Benutzer eingegeben.
134 Copyright © 2018 Sophos Limited
Einstellung/Feld
E-Mail-Adresse
Absender
Synchronisierungszeitraum
SSL/TLS
Alle Zertifikate erlauben
Client-Zertifikat
Sophos Mobile on Premise
Beschreibung
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Ein Absendername für das Konto.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.
Das Client-Zertifikat für die Verbindung zum
Exchange-Server.
15.14.7 Konfiguration „WLAN“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Sicherheitstyp
Beschreibung
Die ID des WLAN-Netzwerks.
Der Sicherheitstyp der WLAN-Verbindung:
• Ohne
• WEP
• WPA/WPA2 PSK
• EAP/PEAP
• EAP/TLS
• EAP/TTLS
Copyright © 2018 Sophos Limited 135
Sophos Mobile on Premise
Einstellung/Feld
Phase-2-Authorisierung
Identität
Anonyme Identität
Kennwort
Identitätszertifikat
Vertrauenswürdiges Zertifikat
Beschreibung
Die Authentisierungsmethode für Phase 2 der
EAP-Aushandlung:
• Ohne
• PAP
• CHAP
• MSCHAP
• MSCHAPv2
Dieses Feld ist für die Verbindungstypen EAP/
PEAP und EAP/TTLS verfügbar.
Die Identität des Benutzers.
Dieses Feld ist für EAP-Verbindungen verfügbar.
Die Pseudo-Identität, die in Phase 1 der EAP-
Aushandlung unverschlüsselt gesendet wird.
Dieses Feld ist für EAP-Verbindungen verfügbar.
Das Kennwort für das WLAN-Netzwerk.
Das Identitätszertifikat für die Verbindung zum
WLAN-Netzwerk.
Die Liste enthält alle Zertifikate aus
Konfigurationen vom Typ Client-Zertifikat in der aktuellen Richtlinie.
Dieses Feld ist für EAP-Verbindungen verfügbar.
Die Root-CA für das Zertifikat des EAP-Servers.
Die Liste enthält alle Zertifikate aus
Konfigurationen vom Typ Root-Zertifikat in der aktuellen Richtlinie.
Dieses Feld ist für EAP-Verbindungen verfügbar.
15.14.8 Konfiguration „Root-Zertifikat“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
136 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.14.9 Konfiguration „Client-Zertifikat“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.14.10 Konfiguration „SCEP“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.
Hinweis
Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer
Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.
Einstellung/Feld
URL
Aliasname
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Der Name, unter dem das Zertifikat in
Auswahldialogen angezeigt wird.
Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum
Beispiel können Sie denselben Wert wie für das
Feld Betreff verwenden, nur ohne den Vorsatz
CN= .
Copyright © 2018 Sophos Limited 137
Sophos Mobile on Premise
Einstellung/Feld
Betreff
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Challenge
Root-Zertifikat
Schlüsselgröße
Beschreibung
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern finden Sie in
Platzhalter in Profilen und Richtlinien
(Seite 90).
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Das CA-Zertifikat.
Wählen Sie das Zertifikat aus der Liste aus. Die
Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
138 Copyright © 2018 Sophos Limited
Einstellung/Feld
Als digitale Signatur verwenden
Für Verschlüsselung verwenden
Sophos Mobile on Premise
Beschreibung
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale
Signatur verwendet werden.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur
Datenverschlüsselung verwendet werden.
15.14.11 Konfiguration „Kiosk-Modus“ (Android-Enterprise-
Geräterichtlinie)
Mit der Konfiguration Kiosk-Modus definieren Sie Einschränkungen für Geräte, um einen Kiosk-Modus zu realisieren.
Einstellung/Feld
Quelle auswählen
Kennung
App-Gruppe
Lautstärke-Änderung erlauben
Bildschirmsperre deaktivieren
Beim Laden aktiv bleiben
Beschreibung
• Ohne : Alle Apps erlauben. Die Kiosk-Modus-
Einschränkungen werden auf das Gerät übertragen, aber der Benutzer kann jede auf dem Gerät verfügbare App starten.
• Benutzerdefiniert , App-Liste : Nur eine bestimmte App erlauben.
• App-Gruppe : Mehrere Apps erlauben.
Die App, die im Kiosk-Modus verfügbar ist.
Abhängig von Ihrer Auswahl in Quelle auswählen geben Sie entweder die App-Kennung an oder wählen
Sie die App aus der Liste verfügbarer Apps aus.
Die Apps, die im Kiosk-Modus verfügbar sind.
Wählen Sie eine der verfügbaren App-Gruppen aus.
Wenn das Kontrollkästchen deaktiviert ist, sind alle
Gerätetasten zum Steuern der Lautstärke deaktiviert.
Der Gerätebildschirm wird niemals gesperrt.
Der Gerätebildschirm bleibt eingeschaltet, solange das
Gerät mit einer Stromquelle verbunden ist.
15.15 Konfigurationen für Sophos-Container-
Richtlinien für Android
Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps
Sophos Secure Email und Sophos Secure Workspace.
Copyright © 2018 Sophos Limited 139
Sophos Mobile on Premise
Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in
Profil oder Richtlinie erstellen
(Seite 85).
15.15.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für Android)
Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.
Einstellung/Feld
Sophos-Container-Kennwort aktivieren
Komplexität des Kennworts
Zeichen in Kennwort-Eingabefeldern immer verstecken
Gültigkeitsdauer des Kennworts in Tagen
Fehlgeschlagene Anmeldungen bis Sperre
Fingerabdruck erlauben
Beschreibung
Benutzer müssen ein zusätzliches Kennwort eingeben, um eine Sophos-Container-App zu starten. Sobald die erste Container-App gestartet wird nachdem die Konfiguration angewendet wurde, muss das Kennwort definiert werden.
Dieses Kennwort gilt für alle Container-Apps.
Die minimale Komplexität des Kennworts für den
Sophos-Container. Sicherere Kennwörter sind immer erlaubt. Kennwörter (eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs
(nur numerische Zeichen).
• Beliebig : Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.
• 4-Ziffern-PIN
• 6-Ziffern-PIN
• 4-Zeichen-Kennwort
• 6-Zeichen-Kennwort
• 8-Zeichen-Kennwort
• 10-Zeichen-Kennwort
In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.
Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.
Die erlaubte Anzahl fehlgeschlagener
Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden. Falls konfiguriert, können die Apps auch vom Benutzer im Self Service Portal entsperrt werden.
Benutzer können die App mit ihrem
Fingerabdruck entsperren.
140 Copyright © 2018 Sophos Limited
Einstellung/Feld
Gültigkeitsdauer in Minuten
Mit Gerät sperren
Letzte Verbindung zum Server
Sophos Mobile on Premise
Beschreibung
Die Zeitspanne, während der kein Sophos-
Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im Vordergrund angezeigt wird.
Die Toleranzfrist gilt für alle Container-Apps.
Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.
Wenn das Gerät gesperrt wird, wird auch der
Sophos-Container gesperrt.
Wenn das Kontrollkästchen deaktiviert ist, wird der Sophos-Container nur nach Ablauf der
Toleranzfrist gesperrt.
Die Zeitspanne, innerhalb derer Benutzer eine
Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile Server aufgebaut wurde.
Wenn eine Sophos-Container-App aktiviert wird und innerhalb der definierten Zeitspanne keinen Kontakt mit dem Server hatte, wird ein
Sperrbildschirm angezeigt. Der Benutzer kann die
App durch Tippen auf Wiederholen entsperren.
Hierdurch verbindet sich die App mit dem Server.
Kann die Verbindung aufgebaut werden, wird die App entsperrt. Falls nicht, wird der Zugriff verweigert.
• Bei jedem Zugriff : Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.
• 1 Stunde : Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.
• 3 Stunden
• 6 Stunden
• 12 Stunden
• 1 Tag
• 3 Tage
• 1 Woche
• Ohne : Keine regelmäßige Verbindung ist notwendig.
Copyright © 2018 Sophos Limited 141
Sophos Mobile on Premise
Einstellung/Feld
Offline-Starts ohne Serververbindung
Beschreibung
In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.
Hinweis
Diese Einstellung setzt voraus, dass ein
Sophos-Container-Kennwort eingerichtet ist.
Root-Zugriff erlaubt
Es wird mitgezählt, wie oft Benutzer das Sophos-
Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe
Sperrbildschirm wie für die Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum
Sophos Mobile Server hergestellt wird.
• Unbegrenzt : Es ist keine Serververbindung notwendig.
• 0 : Das Starten der App ohne Serververbindung ist nicht möglich.
• 1 : Nach einem Start der App ist eine erfolgreiche
Serververbindung notwendig.
• 3
• 5
• 10
• 20
Die Container-Apps dürfen auf gerooteten
Geräten ausgeführt werden.
App-Nutzungs-Beschränkungen
Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken Sie auf Hinzufügen , um Beschränkungen einzugeben.
Räumliche Beschränkungen
Zeitliche Beschränkungen
Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.
Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-
Container-Apps verwendet werden können.
Sie können auch spezifizieren, an welchen
Wochentagen die Apps verwendet werden können.
142 Copyright © 2018 Sophos Limited
Einstellung/Feld
WLAN-Beschränkungen
Sophos Mobile on Premise
Beschreibung
Wenn Sie WLAN-Verbindung erforderlich auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.
Wenn Sie WLAN-Netzwerke zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das
Gerät mit einem nicht aufgeführten WLAN verbunden ist.
Wichtig
Wir empfehlen, sich nicht auf WLAN-
Beschränkungen als einzigen
Sicherheitsmechanismus zu verlassen, da WLAN-
Namen sehr leicht gefälscht werden können (Wi-Fi
Spoofing).
15.15.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-
Container-Richtlinie für Android)
Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft
Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im
Sophos-Container installiert ist.
Einstellung/Feld
Exchange-Server
Beschreibung
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos
Mobile verwenden, geben Sie die URL des
EAS-Proxy-Servers ein.
Benutzer
E-Mail-Adresse
Domäne
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen
Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Die Domäne für dieses Konto.
Copyright © 2018 Sophos Limited 143
Sophos Mobile on Premise
Einstellung/Feld
Support-E-Mail-Kontakt
Kontakte auf das Gerät exportieren
Benachrichtigungsdetails
In Zwischenablage kopieren verbieten
Screenshots verbieten
Maximale E-Mail-Größe
Öffnen/Teilen erlauben
Beschreibung
Die Adresse für E-Mails, die über die Funktion
„Kontaktiere Support“ gesendet werden.
Benutzer können Exchange-Kontakte inklusive
Telefonnummer als lokale Kontakte auf das
Gerät übertragen, damit bei Anrufen von
Firmenkontakten der Name angezeigt wird.
Diese Kontakte werden von Sophos Secure Email synchronisiert.
Hinweis
Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:
• Wenn die Konfiguration Unternehmens-
E-Mail aus der Sophos-Container-
Richtlinie entfernt wird (nach dem nächsten Neustart der App Sophos
Secure Email).
• Wenn der Sophos-Container vom Gerät entfernt wird.
• Wenn das Gerät bei Sophos Mobile deregistriert wird.
Wählen Sie den Umfang der Informationen aus, der in E-Mail-Benachrichtigungen angezeigt wird.
Diese Einstellung wirkt sich auch auf
Terminerinnerungen aus. Wenn Sie Keine
Benachrichtigungen auswählen, sind
Terminerinnerungen deaktiviert. Wenn
Sie einen anderen Wert auswählen, sind
Terminerinnerungen aktiviert und enthalten
Datum/Uhrzeit, Ort und Titel.
Benutzer können Texte aus Sophos Secure Email weder kopieren noch ausschneiden.
Benutzer können keine Screenshots der App
Sophos Secure Email machen.
E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte Wert, werden nicht vom Exchange-Server heruntergeladen.
Benutzer können E-Mail-Anhänge betrachten und teilen.
144 Copyright © 2018 Sophos Limited
Einstellung/Feld
Anhänge öffnen
Anhänge teilen
Erweiterte Einstellungen
Sophos Mobile on Premise
Beschreibung
Wählen Sie aus, in welchen Apps Anhänge betrachtet werden können: In allen Apps oder nur in den Sophos-Container-Apps Secure
Workspace und Secure Email.
Wählen Sie aus, mit welchen Apps Anhänge geteilt werden können: Mit allen Apps oder nur mit den Sophos-Container-Apps Secure
Workspace und Secure Email.
Klicken Sie auf Erweiterte Einstellungen , um
Einstellungen für eine zukünftige Version von
Sophos Secure Email zu konfigurieren.
Wichtig
Konfigurieren Sie diese Einstellungen nur, wenn Sie vom Sophos-Support dazu aufgefordert werden.
15.15.3 Konfiguration „Unternehmensdokumente“ (Sophos-
Container-Richtlinie für Android)
Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion
Unternehmensdokumente der App Sophos Secure Workspace.
Online-Speicher konfigurieren
Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:
Einstellung/Feld
Aktivieren
Offline
Verschlüsselt teilen
Unverschlüsselt teilen
Beschreibung
Der Speicheranbieter ist in der App verfügbar.
Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.
Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.
Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.
Copyright © 2018 Sophos Limited 145
Sophos Mobile on Premise
Einstellung/Feld
Zwischenablage
Beschreibung
Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.
Einstellungen für Unternehmens-Anbieter
Für Speicheranbieter vom Typ WebDAV , auch als Unternehmens-Anbieter bezeichnet, können
Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den
Benutzern nicht geändert werden.
Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.
Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das Kennwort-
Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den
Speicheranbieter zu bekommen.
Einstellung/Feld
Name
Server
Benutzername
Kennwort
Zielordner
Beschreibung
Der Anbietername, wie er in der App Sophos
Secure Workspace angezeigt wird.
Geben Sie in diesem Feld Folgendes ein:
• Die URL des Root-Ordners auf dem WebDAV-Server für
Unternehmensdokumente .
• Die URL des Root-Ordners auf dem
WebDAV -Server.
Verwenden Sie folgendes Format: https:// server.company.com
Nur das Protokoll https wird unterstützt.
Der Anmeldename für den Server. Sie können auch die Variable %_USERNAME_% verwenden.
Das Anmeldekennwort.
Der Ordner, in den Dokumente hochgeladen werden.
Weitere Einstellungen
Einstellung/Feld
Dokumente aktivieren
Beschreibung
Aktiviert die Funktion Dokumente , um
Unternehmensdokumente auf sichere Weise auszutauschen.
146 Copyright © 2018 Sophos Limited
Einstellung/Feld
Komplexität des Kennworts
Screenshots verbieten
Sophos Mobile on Premise
Beschreibung
Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere
Passphrasen sind immer erlaubt.
Sie können folgende Einstellungen auswählen:
• 4-Zeichen-Kennwort
• 6-Zeichen-Kennwort
• 8-Zeichen-Kennwort
• 10-Zeichen-Kennwort
Benutzer können keine Screenshots der App
Sophos Secure Workspace machen.
15.15.4 Konfiguration „Unternehmens-Browser“ (Sophos-
Container-Richtlinie für Android)
Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion
Unternehmens-Browser der App Sophos Secure Workspace.
Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von
Domänen.
Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.
Allgemeine Einstellungen
Einstellung/Feld
Screenshots verbieten
Beschreibung
Benutzer können keine Screenshots der App
Sophos Secure Workspace machen.
Einstellungen für Domänen
Einstellung/Feld
URL
Kopieren/Einfügen erlauben
„Öffnen mit“ erlauben
Beschreibung
Die Domäne, die Sie erlauben wollen.
Benutzer können Text aus dem Unternehmens-
Browser kopieren und in anderen Apps einfügen.
Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.
Copyright © 2018 Sophos Limited 147
Sophos Mobile on Premise
Einstellung/Feld
Kennwort-Speichern erlauben
Beschreibung
Benutzer können ihre Kennwörter im
Unternehmens-Browser speichern.
Einstellungen für Lesezeichen
Einstellung/Feld
Name
URL
Beschreibung
Der Name für das Lesezeichen.
Die Webadresse für das Lesezeichen.
15.15.5 Konfiguration „Client-Zertifikat“ (Sophos-Container-
Richtlinie für Android)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.15.6 Konfiguration „Root-Zertifikat“ (Sophos-Container-
Richtlinie für Android)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
148 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.15.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für
Android)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen der App
Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.
Hinweis
Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer
Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.
Einstellung/Feld
URL
Aliasname
Betreff
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Der Name, unter dem das Zertifikat in
Auswahldialogen angezeigt wird.
Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum
Beispiel können Sie denselben Wert wie für das
Feld Betreff verwenden, nur ohne den Vorsatz
CN= .
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern finden Sie in
Platzhalter in Profilen und Richtlinien
(Seite 90).
Copyright © 2018 Sophos Limited 149
Sophos Mobile on Premise
Einstellung/Feld
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Challenge
Root-Zertifikat
Schlüsselgröße
Als digitale Signatur verwenden
Für Verschlüsselung verwenden
Beschreibung
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Das CA-Zertifikat.
Wählen Sie das Zertifikat aus der Liste aus. Die
Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale
Signatur verwendet werden.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur
Datenverschlüsselung verwendet werden.
150
15.16 Konfigurationen für Mobile-Security-
Richtlinien
Mit einer Mobile-Security-Richtlinie konfigurieren Sie Einstellungen für die App „Sophos Mobile
Security“.
Detaillierte Informationen zu Mobile-Security-Richtlinien finden Sie in folgenden Abschnitten:
Antivirus-Einstellungen für Sophos Mobile Security konfigurieren (Seite 325)
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Webfilter-Einstellungen für Sophos Mobile Security konfigurieren (Seite 327)
15.17 Konfigurationen für Knox-Container-Profile
Mit einem Knox-Container-Profil konfigurieren Sie Einstellungen für den Knox-Container auf Samsung-
Geräten.
(Seite 85).
15.17.1 Konfiguration „Kennwortrichtlinien“ (Knox-Container-
Profil)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Knox-Container-
Kennwort.
Hinweis
Einige Einstellungen werden nur für bestimmte Betriebssystemversionen oder Gerätemerkmale unterstützt. Solche Einschränkungen sind in Sophos Mobile durch blaue Label gekennzeichnet.
Kennworttyp
Wählen Sie in der Liste Kennworttyp die Art des Kennworts aus, dass Benutzer konfigurieren dürfen:
Einstellung/Feld
Muster, PIN oder Kennwort
Einfaches Kennwort
PIN oder Kennwort
Alphanumerisches Kennwort
Beschreibung
Benutzer müssen eine Displaysperre einrichten.
Für die Displaysperre sind die Typen Muster , PIN und Passwort erlaubt. Weitere Einschränkungen bestehen nicht.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Zahlen sind erlaubt, aber es muss mindestens auch ein Buchstabe enthalten sein. Sie können eine Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
PIN oder Passwort einrichten. Sie können eine
Mindestzeichenanzahl festlegen. Siehe die nachfolgende Tabelle.
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindestzeichenanzahl festlegen.
Siehe die nachfolgende Tabelle.
Copyright © 2018 Sophos Limited 151
Sophos Mobile on Premise
Einstellung/Feld
Komplexes Kennwort
Beschreibung
Benutzer müssen eine Displaysperre vom Typ
Passwort einrichten. Das Kennwort muss sowohl
Buchstaben als auch Ziffern enthalten. Sie können eine Mindest-Gesamtzeichenanzahl und eine Mindestanzahl an Ziffern, Klein- und
Großbuchstaben und Sonderzeichen festlegen.
Siehe die nachfolgenden beiden Tabellen.
Wenn Sie Einfaches Kennwort , PIN oder Kennwort , Alphanumerisches Kennwort oder
Komplexes Kennwort auswählen, werden die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Länge des Kennworts
Inaktivitätsdauer bis zur Abfrage des
Kennworts
Beschreibung
Die Mindestanzahl an Zeichen, die ein Kennwort enthalten muss.
Die Zeit, nach der der Knox-Container gesperrt wird, wenn er nicht benutzt wird. Der Container lässt sich durch Eingabe des Kennworts entsperren.
Hinweis
Das Gerät erzwingt möglicherweise eine kürzere
Zeitspanne als die von Ihnen konfigurierte.
Gültigkeitsdauer des Kennworts in Tagen
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
Die Anzahl falscher Kennworteingaben, nach der der Knox-Container zurückgesetzt wird.
Die Anzahl alter Kennwörter, die vom System gespeichert werden. Wenn ein Benutzer ein neues Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 5 oder kein
Wert.
Wenn Sie Komplexes Kennwort auswählen, werden zusätzlich die folgenden Felder angezeigt:
Einstellung/Feld
Minimale Anzahl von Buchstaben
Minimale Anzahl von Kleinbuchstaben
Beschreibung
Die Mindestanzahl an Buchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl Kleinbuchstaben, die ein
Kennwort enthalten muss.
152 Copyright © 2018 Sophos Limited
Einstellung/Feld
Minimale Anzahl von Großbuchstaben
Minimale Anzahl von Zeichen, die kein
Buchstabe sind
Minimale Anzahl von Ziffern
Minimale Anzahl von Sonderzeichen
Sophos Mobile on Premise
Beschreibung
Die Mindestanzahl Großbuchstaben, die ein
Kennwort enthalten muss.
Die Mindestanzahl nicht-alphabetischer Zeichen
(zum Beispiel & oder !), die ein Kennwort mindestens enthalten muss.
Die Mindestanzahl an Ziffern, die ein Kennwort enthalten muss.
Die Mindestanzahl an Sonderzeichen (zum
Beispiel !"§$%&/()=,.-;:_@<>) ein Kennwort mindestens enthalten muss.
Biometrische Authentisierung
Einstellung/Feld
Fingerabdruck-Authentisierung erlauben
Iris-Authentisierung erlauben
Gesichts-Authentisierung erlauben
Beschreibung
Falls vom Gerät unterstützt, kann der Benutzer den
Knox-Container mittels Fingerabdruck-Authentisierung entsperren.
Falls vom Gerät unterstützt, kann der Benutzer den
Knox-Container mittels Iris-Authentisierung entsperren.
Falls vom Gerät unterstützt, kann der Benutzer den
Knox-Container mittels Gesichts-Authentisierung entsperren.
15.17.2 Konfiguration „Einschränkungen“ (Knox-Container-
Profil)
Mit der Konfiguration Einschränkungen konfigurieren Sie Einschränkungen und zugehörige
Einstellungen für Android for Work.
Einstellung/Feld
Bildschirmaufnahme erlauben
Kamera erlauben
Zwischenablage erlauben
„Teilen über“ erlauben
Beschreibung
Benutzer können Screenshots von Apps im Samsung-
Knox-Container machen.
Apps im Samsung-Knox-Container können auf die
Kamera zugreifen.
Das Kopieren von Inhalten in die Zwischenablage ist nicht eingeschränkt.
Die von manchen Apps verwendete Funktion Teilen
über ist verfügbar.
Copyright © 2018 Sophos Limited 153
Sophos Mobile on Premise
Einstellung/Feld
Mikrofon erlauben
Beschreibung
Apps im Samsung-Knox-Container können auf das
Mikrofon zugreifen.
Benutzer müssen die sichere Tastatur verwenden.
Verwendung der sicheren Tastatur erzwingen
Hinzufügen neuer E-Mail-Konten erlauben
Daten-Export erlauben
Benutzer können zusätzlich zu den über ein Sophos
Mobile Profil konfigurierten Konten weitere E-Mail-
Konten hinzufügen.
Private Apps können auf Daten aus dem Samsung-
Knox-Container zugreifen.
Kopieren von Dateien in den Container erlauben
Private Dateien können in den Samsung-Knox-Container kopiert oder verschoben werden.
Bluetooth erlauben Apps im Samsung-Knox-Container können Bluetooth-
Verbindungen verwenden.
NFC erlauben
Multifaktor-Authentisierung erzwingen Zum Entsperren des Samsung-Knox-Containers sind mehrere Authentisierungsarten erforderlich, zum
Beispiel Kennwort und Fingerabdruck.
Erlaubte Apps / Unzulässige Apps
Apps im Samsung-Knox-Container können NFC-
Verbindungen (Near-Field Communication) verwenden.
Sie können entweder Erlaubte Apps oder Unzulässige
Apps konfigurieren. Wählen Sie zunächst aus der ersten Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.
Diese Einschränkungen betreffen nicht die App-
Installationen, die vom Sophos Mobile Server initiiert werden.
Informationen zur Erstellung von App-Gruppen finden
Sie in
15.17.3 Konfiguration „Exchange-Konto“ (Knox-Container-Profil)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein. Diese Einstellungen gelten für den Samsung-Knox-Container.
Einstellung/Feld
Kontoname
Beschreibung
Der Kontoname.
154 Copyright © 2018 Sophos Limited
Einstellung/Feld
Exchange-Server
Domäne
Benutzer
E-Mail-Adresse
Absender
Kennwort
Synchronisierungszeitraum
Synchronisierungsintervall
SSL/TLS
Standardkonto
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Beschreibung
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Ein Absendername für das Konto.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Das Kennwort für dieses Konto.
Wenn Sie dieses Feld leer lassen, müssen
Benutzer das Kennwort auf ihren Geräten eingeben.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Der zeitliche Abstand zwischen zwei
Synchronisierungsvorgängen.
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Das Konto wird als Standard-E-Mail-Konto verwendet.
155
Sophos Mobile on Premise
Einstellung/Feld
Alle Zertifikate erlauben
E-Mail-Weiterleitung erlauben
HTML-Format erlauben
Max. Größe von Anhängen in MB
Inhalte
Beschreibung
Für die Kommunikation mit dem E-Mail-Server sind alle Zertifikate zugelassen.
E-Mail-Weiterleitung erlauben.
E-Mails im HTML-Format sind zugelassen.
Die maximale Größe einer einzelnen E-Mail-
Nachricht ( 1 , 3 , 5 , 10 , Unbegrenzt ).
Die zu synchronisierenden Inhalte.
15.18 Konfigurationen für Android-Things-
Richtlinien
Mit einer Android-Things-Richtlinie konfigurieren Sie verschiedene Bereiche von Android-Things-
Geräten. Derzeit werden nur WLAN-Einstellungen unterstützt.
(Seite 85).
15.18.1 Konfiguration „WLAN“ (Android-Things-Richtlinie)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Sicherheitstyp
Beschreibung
Die ID des WLAN-Netzwerks.
Der Sicherheitstyp des WLAN-Netzwerks:
• Ohne
• WEP
• WPA/WPA2
Wenn Sie WEP oder WPA/WPA2 auswählen, wird ein Feld Kennwort angezeigt. Geben Sie das relevante Kennwort ein.
15.19 Konfigurationen für iOS-Geräteprofile
Mit einem iOS-Geräteprofil konfigurieren Sie verschiedene Bereiche von iOS-Geräten, wie zum
Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.
Informationen zum Erstellen eines Geräteprofils finden Sie in Profil oder Richtlinie erstellen
(Seite
85).
156 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.19.1 Konfiguration „Kennwortrichtlinien“ (iOS-Geräteprofil)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Geräte-Kennwort.
Hinweis
Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine
Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-
Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach
Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.
Einstellung/Feld
Einfache Werte erlauben
Alphanumerische Werte erforderlich
Minimale Länge des Kennworts
Mindestanzahl von komplexen Zeichen
Gültigkeitsdauer des Kennworts in Tagen
Automatische Sperre (Minuten)
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Beschreibung
Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .
Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.
Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.
Gibt an, wie viele nicht-alphanumerische Zeichen
(zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen Sperre wird festgelegt, wann (in Minuten) das Gerät nach Nichtbenutzung gesperrt werden soll.
In diesem Feld können Sie festlegen, wie viele alte Kennwörter gespeichert und mit neu definierten Kennwörtern verglichen werden. Wenn ein Benutzer ein neues
Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 50 oder 0
(keine Kennworthistorie).
Copyright © 2018 Sophos Limited 157
Sophos Mobile on Premise
Einstellung/Feld
Toleranzfrist für Gerätesperrung
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Beschreibung
In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der Toleranzfrist für die
Gerätesperrung legen Sie fest, wie lange nach einer Sperre das Gerät ohne Kennwort entsperrt werden kann. Wenn Sie Ohne auswählen, kann der Benutzer einen beliebigen verfügbaren
Zeitraum wählen. Wenn Sie Sofort auswählen, müssen Benutzer immer, wenn sie ihre Geräte entsperren, ein Kennwort eingeben.
In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen Versuchen wird eine Zeitverzögerung verhängt. Ein erneuter
Versuch kann erst nach Ablauf der Verzögerung unternommen werden. Diese Verzögerung wird mit jedem fehlgeschlagenen Versuch größer.
Nach dem letzten fehlgeschlagenen Versuch werden alle Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen
Wert also auf 6 oder niedriger setzen, wird keine
Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale
Anzahl an Fehlversuchen überschritten ist.
15.19.2 Konfiguration „Einschränkungen“ (iOS-Geräteprofil)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.
Hinweis
Einige Optionen sind nur für bestimmte iOS-Versionen oder für betreute Geräte verfügbar. In
Sophos Mobile Admin ist dies durch blaue Label gekennzeichnet.
Gerät
Einstellung/Feld
Installation von Apps erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist der App
Store nicht verfügbar und sein Symbol wird vom Home-
Bildschirm entfernt. Benutzer können keine Apps über den App Store, über iTunes oder Apple Configurator installieren oder aktualisieren.
158 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
App-Installation über die
Benutzeroberfläche erlauben
Verwendung der Kamera erlauben
FaceTime erlauben
Bildschirmaufnahme erlauben
Automatische Synchronisierung bei
Roaming erlauben
Siri erlauben
Siri erlauben, während das Gerät gesperrt ist
Websuche für Siri erlauben
Filtern von anstößiger Sprache für Siri erzwingen
Sprachwahl bei gesperrtem Gerät erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist der App
Store nicht verfügbar und sein Symbol wird vom Home-
Bildschirm entfernt. Benutzer können weiterhin Apps
über iTunes oder Apple Configurator installieren oder aktualisieren.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Kamera nicht verfügbar und das Symbol der Kamera-
App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.
Benutzer können Videotelefonie über FaceTime durchführen.
Benutzer können Screenshots machen.
Wenn das Kontrollkästchen deaktiviert ist, synchronisieren sich Geräte bei Mobilfunk-Roaming nur dann, wenn der Benutzer auf ein Konto zugreift.
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer Siri, Sprachbefehle oder die Diktierfunktion nicht verwenden.
Wenn das Kontrollkästchen deaktiviert ist, müssen
Benutzer ihre Geräte durch Eingabe ihres Kennworts entsperren, damit sie Siri benutzen können.
Wenn das Kontrollkästchen deaktiviert ist, führt Siri keine Websuche durch.
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer das Filtern von anstößiger Sprache für Siri deaktivieren.
Wenn das Kontrollkästchen deaktiviert ist, sind Anrufe mittels Sprachkommandos nicht möglich, wenn das
Gerät mit einem Kennwort gesperrt ist.
Hinweis
Falls kein Gerätekennwort konfiguriert ist, sind
Anrufe mittels Sprachkommandos immer möglich.
Passbook bei Gerätesperre erlauben
In-App-Käufe erlauben
Passbook-Benachrichtigungen werden auch bei gesperrtem Gerät angezeigt.
Benutzer können In-App-Käufe durchführen.
Copyright © 2018 Sophos Limited 159
Sophos Mobile on Premise
Einstellung/Feld
Benutzer muss für alle Einkäufe das
Store-Kennwort eingeben
Mehrspielermodus erlauben
Beschreibung
Benutzer müssen für Käufe ihr Apple-ID-Kennwort eingeben.
Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer innerhalb einer kurzen Toleranzfrist mehrere
Käufe durchführen, ohne ihr Kennwort jedes Mal neu einzugeben.
Benutzer können im Game Center Multiplayer-Spiele spielen.
Game Center erlauben Wenn das Kontrollkästchen deaktiviert ist, ist Game
Center nicht verfügbar.
Hinzufügen von Game-Center-Freunden erlauben
Benutzer können im Game Center Freunde hinzufügen.
Änderung der „Freunde suchen“-
Einstellungen erlauben
USB-Kopplung erlauben
Wenn das Kontrollkästchen deaktiviert ist, können die
Einstellungen der App „Meine Freunde suchen“ nicht geändert werden.
Wenn das Kontrollkästchen deaktiviert ist, ist ein
Datenaustausch per Kabel (Host Pairing) deaktiviert, außer mit dem „Supervision Host“. Wenn kein
Supervision-Host-Zertifikat konfiguriert ist, ist kein Host
Pairing möglich.
Kopplung mit Apple Watch erlauben Wenn das Kontrollkästchen deaktiviert ist, kann das
Geräte nicht mit einer Apple Watch gekoppelt werden.
Für bereits gekoppelte Apple-Watch-Geräte wird die
Kopplung aufgehoben.
Inhalte können mittels AirDrop geteilt werden.
AirDrop erlauben
Zugriff auf das Kontrollzentrum im
Sperrbildschirm erlauben
Zugriff auf die Mitteilungszentrale im
Sperrbildschirm erlauben
Zugriff auf die Heute-Ansicht im
Sperrbildschirm erlauben
News erlauben
Over-the-air PKI Updates erlauben
Einkauf von Büchern in iBooks erlauben
Wenn das Kontrollkästchen deaktiviert ist, ist das
Kontrollzentrum bei aktiver Displaysperre nicht verfügbar.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Mitteilungszentrale bei aktiver Displaysperre nicht verfügbar.
Wenn das Kontrollkästchen deaktiviert ist, ist die Heute-
Ansicht bei aktiver Displaysperre nicht verfügbar.
Die App „News“ ist verfügbar.
PKI-Aktualisierungen sind „Over-the-Air“ möglich.
Benutzer können in iBooks Bücher kaufen.
160 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld Beschreibung
Einkauf von Büchern mit anstößigen
Inhalten in iBooks erlauben
Wenn das Kontrollkästchen deaktiviert ist, sind iBooks mit anstößigem Inhalt gesperrt.
Installation von Konfigurationsprofilen durch den Benutzer erlauben
Benutzer können Konfigurationsprofile installieren.
iMessage erlauben
Handoff erlauben
Benutzer können mit iMessage SMS senden oder empfangen.
Benutzer können Apps vom Gerät entfernen.
Deinstallation von Apps erlauben
Löschen aller Inhalte und Einstellungen erlauben
Wenn das Kontrollkästchen deaktiviert ist, ist auf der Seite „Zurücksetzen“ die Option Inhalte und
Einstellungen löschen nicht verfügbar.
Internetsuchergebnis für Spotlight erlauben
Wenn das Kontrollkästchen deaktiviert ist, führt Spotlight keine Internetsuche durch.
Aktivierung der Beschränkungsoption erlauben
Wenn das Kontrollkästchen deaktiviert ist, ist auf der
Seite „Zurücksetzen“ die Option Einschränkungen aktivieren nicht verfügbar.
Die Apple-Integrations-Funktion „Handoff“ ist verfügbar.
Mit „Handoff“ können Benutzer die Bearbeitung von
Dokumenten, E-Mails oder Nachrichten, die sie auf einem Gerät begonnen haben, auf einem anderen Gerät fortsetzen.
Ändern des Gerätenamens erlauben
Hintergrundbild-Änderung erlauben
Tastenkürzel erlauben
Diktieren von Tastatureingaben erlauben
Benutzer können den Gerätenamen ändern.
Benutzer können das Hintergrundbild ändern.
Benutzer können Tastenkürzel verwenden.
Benutzer können in den Tastatureinstellungen die
Diktierfunktion aktivieren.
Automatisches Herunterladen von Apps erlauben
Wenn das Kontrollkästchen deaktiviert ist, werden
Apps, die auf anderen Geräten erworben wurden, nicht automatisch heruntergeladen. Dies betrifft nicht die
Aktualisierung bereits vorhandener Apps.
Apple Music erlauben Der Dienst „Apple Music“ ist verfügbar.
Apple Music Radio erlauben
Ändern der Bluetooth-Einstellungen erlauben
Der Dienst „Apple Music Radio“ ist verfügbar.
Benutzer können die Bluetooth-Einstellungen ändern.
Copyright © 2018 Sophos Limited 161
Sophos Mobile on Premise
Firmendaten
Einstellung/Feld Beschreibung
Öffnen von Dokumenten nur innerhalb von verwalteten Apps/Konten erlauben
Dies beschränkt das Öffnen von Dokumenten mit Apps oder Konten, die von Sophos Mobile verwaltet werden
(z.B. ein Firmen-E-Mail-Konto).
Wenn Benutzer über ein von Sophos Mobile verwaltetes
E-Mail-Konto und von Sophos Mobile verwaltete Apps auf Ihren Geräten verfügen, können die Anhänge aus dem verwalteten E-Mail-Konto nur mit verwalteten Apps geöffnet werden.
Auf diese Weise können Sie verhindern, dass
Unternehmensdokumente mit nicht verwalteten Apps geöffnet werden.
Öffnen von Dokumenten nur innerhalb von nicht verwalteten Apps/Konten erlauben
Dies beschränkt das Öffnen von Dokumenten mit Apps oder Konten, die nicht von Sophos Mobile verwaltet werden (z.B. ein privates E-Mail-Konto).
Wenn Benutzer auf ihren Geräten E-Mail-Konten und
Apps haben, die nicht von Sophos Mobile verwaltet werden, können die Anhänge aus dem nicht verwalteten
E-Mail-Konto nur mit nicht verwalteten Apps geöffnet werden.
Auf diese Weise können Sie verhindern, dass persönliche Dokumente mit verwalteten Apps geöffnet werden.
Verwendung von AirDrop-Dokumenten als nicht verwaltete Dokumente erzwingen
Mittels AirDrop geteilte Dokumente sind keine verwalteten Dokumente.
Verwalteten Apps die Synchronisierung mit iCloud erlauben
Verwaltete Apps können iCloud für die Synchronisierung verwenden.
Sicherung für Enterprise-Books erlauben
Enterprise-Books werden gesichert.
Enterprise Books Notes und Highlights-
Sync erlauben
Notizen und Hervorhebungen in Enterprise-Books werden synchronisiert.
162 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Anwendungen
Einstellung/Feld Beschreibung
Verwendung des iTunes Store erlauben Wenn das Kontrollkästchen deaktiviert ist, ist der iTunes
Store nicht verfügbar und sein Symbol wird vom Home-
Bildschirm entfernt. Benutzer können Inhalte weder in der Vorschau ansehen, noch kaufen oder herunterladen.
Verwendung von Safari erlauben
Automatisches Ausfüllen aktivieren
Wenn das Kontrollkästchen deaktiviert ist, ist der
Browser Safari nicht verfügbar und sein Symbol wird vom Home-Bildschirm entfernt. Dies verhindert auch, dass Benutzer Web Clips öffnen.
Wenn das Kontrollkästchen deaktiviert ist, werden in
Safari Webformulare nicht automatisch ausgefüllt.
Betrugswarnung erzwingen Die Safari-Sicherheitseinstellung zum Warnen des
Benutzers vor möglichen Phishing-Websites ist immer aktiviert.
Safari blockiert Popups.
Pop-Up-Fenster blockieren
JavaScript im Browser erlauben
Cookies akzeptieren
Webseiten können JavaScript-Code auf dem Gerät ausführen.
In diesem Feld legen Sie fest, ob Safari Cookies akzeptiert.
Wenn Sie Cookies erlauben, können Sie festlegen, ob nur Cookies der aktuellen Seite, der zuletzt besuchten
Seiten oder aller Seiten akzeptiert werden.
Änderung der Einstellungen für mobile
Datenverbindungen pro App erlauben
Erlaubte Apps / Unzulässige Apps
Benutzer können für einzelne Apps die Einstellungen für mobile Datenverbindungen ändern.
Sie können entweder Erlaubte Apps oder Unzulässige
Apps angeben. Wählen Sie zunächst aus der ersten
Liste die gewünschte Option aus, und wählen Sie anschließend aus der zweiten Liste die App-Gruppe aus, welche die erlaubten oder unzulässigen Apps enthält.
Informationen zur Erstellung von App-Gruppen finden
Sie in
iCloud
Einstellung/Feld
Sicherung erlauben
Beschreibung
Benutzer können ein Geräte-Backup in iCloud machen.
Copyright © 2018 Sophos Limited 163
Sophos Mobile on Premise
Einstellung/Feld Beschreibung
Dokumentensynchronisierung erlauben Benutzer können Dokumente und App-
Konfigurationsdaten in iCloud speichern.
Fotostream erlauben Benutzer können Fotos zu Mein Fotostream hochladen.
Hinweis
Wenn Sie das Kontrollkästchen deaktivieren, um
Mein Fotostream zu verbieten, werden existierende
Fotos von allen Geräten gelöscht, auf denen diese
über Mein Fotostream geteilt wurden. Wenn keine anderen Kopien dieser Fotos existieren, gehen diese verloren.
iCloud-Fotomediathek erlauben
Freigegebene Fotostreams erlauben
Benutzer können die iCloud-Fotomediathek verwenden.
Benutzer können ihre Fotostreams anderen Benutzern zur Betrachtung freigeben und freigegebene
Fotostreams anderer Benutzer betrachten.
iCloud-Schlüsselbundsynchronisierung erlauben
Benutzer können iCloud-Schlüsselbund verwenden, um
Kennwörter zwischen ihren iPhones, iPads und Macs zu synchronisieren.
Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.
Sicherheit und Privatsphäre
Einstellung/Feld
Senden von Diagnosedaten an Apple erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, werden keine iOS-Diagnosedaten an Apple gesendet.
Annehmen nicht vertrauenswürdiger
TLS-Zertifikate durch Benutzer erlauben
Wenn das Kontrollkästchen deaktiviert ist, werden
Benutzer nicht gefragt, ob sie einem Zertifikat vertrauen möchten, das nicht verifiziert werden kann.
Diese Einstellung gilt für Safari, Mail-Kontakte und
Kalender-Konten.
Enterprise-Apps vertrauen
Kennwort-Änderung erlauben
Enterprise-Apps wird vertraut.
Benutzer können ein Gerätekennwort definieren, ändern und löschen.
Kontoänderungen erlauben Wenn das Kontrollkästchen deaktiviert ist, können
Benutzer keine Konten bearbeiten. Das Menü Konten ist nicht verfügbar.
164 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Touch ID zum Entsperren des Gerätes erlauben
Beschränken von Ad-Tracking erzwingen
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, kann das
Gerät nicht per Touch ID entsperrt werden.
Apps für anonyme Benutzerdaten, die für die
Adressierung von Werbung verwendet werden, sind nicht mehr verfügbar.
Verschlüsselte Sicherungen erzwingen Benutzer müssen iTunes-Backups verschlüsseln.
Konfigurierte WLAN-Netzwerke erzwingen
Geräte können sich nur mit WLAN-Netzwerken verbinden, die über ein Sophos Mobile Profil konfiguriert wurden.
Inhaltsbewertung
Einstellung/Feld
Anstößige Musik und Podcasts erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, werden im iTunes Store keine anstößigen Musik- oder Video-
Inhalte angezeigt. Anstößige Inhalte werden von den jeweiligen Anbietern, zum Beispiel Plattenfirmen, bei der Auflistung im iTunes Store entsprechend gekennzeichnet.
15.19.3 Konfiguration „Roaming/Hotspot“ (iOS-Geräteprofil)
Mit der Konfiguration Roaming/Hotspot definieren Sie Einstellungen für Roaming-Verbindungen und für persönliche Hotspots.
Hinweis
Benutzer können diese Einstellungen auf ihren Geräten jederzeit ändern.
Einstellung/Feld
Sprach-Roaming aktivieren
Daten-Roaming aktivieren
Persönlichen Hotspot aktivieren
Beschreibung
Sprach-Roaming ist verfügbar.
Daten-Roaming ist verfügbar.
Der Benutzer kann das Gerät als persönlichen
Hotspot konfigurieren.
15.19.4 Konfiguration „Exchange-Konto“ (iOS-Geräteprofil)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein.
Copyright © 2018 Sophos Limited 165
Sophos Mobile on Premise
Einstellung/Feld
Kontoname
Exchange-Server
Beschreibung
Der Kontoname.
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
Domäne
Benutzer
E-Mail-Adresse
Kennwort
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Das Kennwort für dieses Konto.
Wenn Sie dieses Feld leer lassen, müssen
Benutzer das Kennwort auf ihren Geräten eingeben.
Synchronisierungszeitraum
SSL/TLS
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Verschieben erlauben Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes Konto für das Antworten auf oder das Weiterleiten von Nachrichten aus diesem Konto zu verwenden.
Synchronisierung letzter Adressen erlauben Das Konto wird in die iCloud-Synchronisierung kürzlich verwendeter Adressen mit anderen
Geräten einbezogen.
166 Copyright © 2018 Sophos Limited
Einstellung/Feld
Nur mit Mail verwenden
Identitätszertifikat
S/MIME aktivieren
Signaturzertifikat
Verschlüsselungszertifikat
Benutzer darf unverschlüsselte E-Mails senden
Sophos Mobile on Premise
Beschreibung
Für das Senden von Nachrichten mit diesem
Konto kann nur die App „Mail“ verwendet werden.
Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten Nachrichten (zum Beispiel
Fotos oder Safari) verwendet werden.
Das Identitätszertifikat für die Verbindung zum
Exchange-Server.
Die Liste enthält alle Zertifikate aus Konfigurationen vom Typ Client-Zertifikat im aktuellen Profil.
Unterstützung des Verschlüsselungsstandards S/
MIME.
Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.
Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-Zertifikat des aktuellen Profils hochladen.
Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.
15.19.5 Konfiguration „WLAN“ (iOS-Geräteprofil)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Automatisch verbinden
Unsichtbares Netzwerk
Beschreibung
Die ID des WLAN-Netzwerks.
Automatisch mit dem Zielnetzwerk verbinden.
Das Zielnetzwerk ist nicht offen oder ist unsichtbar.
Copyright © 2018 Sophos Limited 167
Sophos Mobile on Premise
Einstellung/Feld
Sicherheitstyp
168
Beschreibung
Der Sicherheitstyp des WLAN-Netzwerks:
• Keine
• WEP (privat)
• WPA/WPA2 (privat)
• Beliebig (privat)
• WEP (betrieblich)
• WPA/WPA2 (betrieblich)
• Beliebig (betrieblich)
Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben Sie das relevante Kennwort ein.
Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,
Authentifizierung and Vertrauen angezeigt.
Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:
• Geben Sie unter Akzeptierte EAP-Typen die EAP-
Verfahren an, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld
Innere Identität (TTLS) auswählen.
• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.
Konfigurieren Sie auf der Registerkarte
Authentifizierung Einstellungen für die Client-
Authentifizierung:
• Geben Sie im Feld Benutzer den Benutzernamen für die Verbindung zu dem WLAN-Netzwerk ein.
• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.
• Geben Sie im Feld Kennwort das relevante Kennwort ein.
• Wählen Sie in der Liste Identitätszertifikat das
Zertifikat für die Verbindung zu dem WLAN-Netzwerk aus.
Hinweis
Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.
• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.
Konfigurieren Sie auf der Registerkarte Vertrauen
Einstellungen für die Server-Authentifizierung:
Wählen Sie die vertrauenswürdigen Zertifikate aus der
Liste aus.
Copyright © 2018 Sophos Limited
Hinweis
Sie müssen die Zertifikate in einer Konfiguration
Root-Zertifikat angeben.
Einstellung/Feld
Proxy
Sophos Mobile on Premise
Beschreibung
Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:
• Keine
• Manuell
• Automatisch
Wenn Sie Manuell auswählen, werden die Felder
Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie die erforderlichen Proxy-
Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld Proxy-Server-URL angezeigt. Geben Sie die URL des Proxy-Servers ein.
15.19.6 Konfiguration „VPN“ (iOS-Geräteprofil)
Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.
Einstellung/Feld
Verbindungsname
Verbindungstyp
Identifier (Reverse-DNS-Format)
Server
Konto
Beschreibung
Der Name der Verbindung, der auf dem Gerät angezeigt wird.
Der Typ der VPN-Verbindung:
• Cisco AnyConnect
• Cisco Legacy AnyConnect
• IPsec (Cisco)
• F5
• Check Point
• SSL/TLS (benutzerdefiniert)
Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche Eingabefelder angezeigt.
Die benutzerdefinierte Kennung im Reverse-DNS-
Format.
Der Host-Name oder die IP-Adresse des Servers.
Das Benutzer-Konto für die Authentisierung der
Verbindung.
Copyright © 2018 Sophos Limited 169
Sophos Mobile on Premise
Einstellung/Feld
Drittanbieter-Einstellungen
Alle Daten über VPN übertragen
Gruppe
Benutzer-Authentifizierung
Beschreibung
Falls Ihr Anbieter benutzerdefinierte
Verbindungseinstellungen spezifiziert hat, geben
Sie diese hier ein.
Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der
Eigenschaft ein.
Die VPN-Verbindung wird für den gesamten
Datenverkehr verwendet.
Geben Sie die Gruppe ein, die für die
Authentisierung der Verbindung erforderlich sein kann.
Die Art der Benutzer-Authentisierung für die
Verbindung:
• Kennwort
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Kennwort angezeigt. Geben Sie das
Kennwort für die Authentisierung ein.
• Zertifikat
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Zertifikat angezeigt. Wählen Sie ein
Zertifikat aus.
170 Copyright © 2018 Sophos Limited
Einstellung/Feld
Geräte-Authentifizierung
Proxy
Provider-Typ
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Beschreibung
Die Art der Geräte-Authentifizierung:
• Schlüssel (Shared Secret)/Gruppenname
Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel
(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen
Authentisierungsinformationen in den Feldern
Gruppenname und Schlüssel (Shared
Secret) ein. Wählen Sie je nach Anforderung
Hybrid-Authentifizierung verwenden und
Kennwort verlangen .
• Zertifikat
Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive Benutzer-
PIN unter dem Feld Geräte-Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche Zertifikat aus. Wählen
Sie Inklusive Benutzer-PIN aus, um die
Benutzer-PIN in die Geräteauthentisierung einzubeziehen.
Die Proxy-Einstellungen für die Verbindung:
• Keine
• Manuell
Wenn Sie diese Option wählen, werden die
Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im Feld
Server und Port die gültige Adresse und den
Port des Proxy-Servers ein. Geben Sie im
Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein.
Geben Sie im Feld Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.
• Automatisch
Wenn Sie diese Option wählen, wird das Feld
Proxyserver-URL angezeigt. Geben Sie die
URL des Servers mit der Proxy-Einstellung in diesem Feld ein.
Der VPN-Verbindungstyp.
• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der Applikationsschicht gesendet.
• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der
Netzwerkschicht gesendet.
171
Sophos Mobile on Premise
15.19.7 Konfiguration „VPN pro App“ (iOS-Geräteprofil)
Mit der Konfiguration VPN pro App definieren Sie VPN-Einstellungen für einzelne Apps.
Sie können konfigurieren, dass bestimmte Apps beim Starten automatisch eine VPN-Verbindung verwenden. Somit können Sie zum Beispiel sicherstellen, das von verwalteten Apps übermittelte Daten
über VPN übertragen werden.
Wenn Sie App-spezifische VPN-Konfigurationen eingerichtet haben, können Sie auf der Seite Paket bearbeiten einer App eine Konfiguration auswählen. Siehe
VPN pro App und Einstellungen für iOS-
Apps konfigurieren (Seite 285).
Einstellung/Feld
Verbindungsname
Verbindungstyp
Identifier (Reverse-DNS-Format)
Server
Konto
Drittanbieter-Einstellungen
Alle Daten über VPN übertragen
Gruppe
Beschreibung
Der Name der Verbindung, der auf dem Gerät angezeigt wird.
Der Typ der VPN-Verbindung:
• Cisco AnyConnect
• Cisco Legacy AnyConnect
• F5
• Check Point
• SSL/TLS (benutzerdefiniert)
Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche Eingabefelder angezeigt.
Die benutzerdefinierte Kennung im Reverse-
DNS-Format.
Der Host-Name oder die IP-Adresse des Servers.
Das Benutzer-Konto für die Authentisierung der
Verbindung.
Falls Ihr Anbieter benutzerdefinierte
Verbindungseinstellungen spezifiziert hat, geben
Sie diese hier ein.
Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der
Eigenschaft ein.
Die VPN-Verbindung wird für den gesamten
Datenverkehr verwendet.
Geben Sie die Gruppe ein, die für die
Authentisierung der Verbindung erforderlich sein kann.
172 Copyright © 2018 Sophos Limited
Einstellung/Feld
Benutzer-Authentifizierung
Proxy
Provider-Typ
Sophos Mobile on Premise
Beschreibung
Die Art der Benutzer-Authentisierung für die
Verbindung:
• Kennwort
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Kennwort angezeigt. Geben Sie das
Kennwort für die Authentisierung ein.
• Zertifikat
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Zertifikat angezeigt. Wählen Sie ein
Zertifikat aus.
Die Proxy-Einstellungen für die Verbindung:
• Keine
• Manuell
Wenn Sie diese Option wählen, werden die
Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im Feld
Server und Port die gültige Adresse und den
Port des Proxy-Servers ein. Geben Sie im
Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein.
Geben Sie im Feld Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.
• Automatisch
Wenn Sie diese Option wählen, wird das Feld
Proxyserver-URL angezeigt. Geben Sie die
URL des Servers mit der Proxy-Einstellung in diesem Feld ein.
Der VPN-Verbindungstyp.
• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der
Applikationsschicht gesendet.
• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der
Netzwerkschicht gesendet.
Copyright © 2018 Sophos Limited 173
Sophos Mobile on Premise
Einstellung/Feld
Safari-Domänen
Beschreibung
In diesem Feld können Sie eine Liste von
Zeichenfolgen eingeben, um Domänen zu spezifizieren. Verwenden Sie eine neue Zeile für jede Domänen-Zeichenfolge.
Wenn eine Domäne, auf die eine der
Zeichenfolgen passt, in Safari oder in einer anderen Browser-App geöffnet wird, wird die
VPN-Verbindung verwendet.
Domänen werden gemäß der folgenden Regeln mit den Zeichenfolgen verglichen:
• Punkte am Anfang und Ende werden ignoriert. Beispiel: Die Zeichenfolge
.beispiel.com
passt auf dieselben
Domänen wie die Zeichenfolge beispiel.com
.
• Jeder Namensteil einer Zeichenfolge muss auf einen vollständigen Namensteil einer
Domäne passen. Beispiel: Die Zeichenfolge beispiel.com
passt auf die Domäne www.beispiel.com
, aber nicht auf www.mein-beispiel.com
.
• Zeichenfolgen, die aus einem einzelnen
Namensteil bestehen, passen nur auf genau diese Domäne. Beispiel: Die Zeichenfolge beispiel passt auf die Domäne beispiel , aber nicht auf www.beispiel.com
.
15.19.8 Konfiguration „Single-Sign-On“ (iOS-Geräteprofil)
Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für
Drittanbieter-Apps.
Einstellung/Feld
Name
Kerberos-Principal-Name
Realm
Beschreibung
Eine Bezeichnung für das Konto.
Der „Kerberos Principal“-Name.
Wenn Sie keinen Wert eingeben, muss der
Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.
Der „Kerberos Realm“-Name.
Sie müssen den Namen in Großbuchstaben eingeben.
174 Copyright © 2018 Sophos Limited
Einstellung/Feld
URLs
App-Kennungen
Sophos Mobile on Premise
Beschreibung
Eine Liste von URL-Präfixwerten. Das Konto muss zu einem dieser Werte passen, um für
Kerberos-Authentisierung über HTTP verwendet werden zu können.
Die Werte müssen mit http:// oder https:// beginnen.
Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.
Für Geräte mit iOS 9.0 oder später können
Sie einen einzelnen Stern (*) verwenden, um beliebige Werte zu spezifizieren. Beispiel:
Der URL-Präfix https://*.beispiel.de/ passt auf https://www.beispiel.de/ oder https://
m.beispiel.de/.
Eine Liste von Bundle-IDs von Apps.
Werte müssen entweder vollständige IDs sein
(z.B. com.sophos.smsec
), oder Präfixwerte mit den Zeichen .* am Ende (z.B. com.sophos.* ).
15.19.9 Konfiguration „Kioskmodus“ (iOS-Geräteprofil)
Mit der Konfiguration Kioskmodus definieren Sie Einstellungen für den Kioskmodus. In diesem Modus kann nur eine einzige App verwendet werden.
Einstellung/Feld
Quelle auswählen
Kennung
Touchscreen deaktivieren
Bildschirmrotation deaktivieren
Lautstärketasten deaktivieren
Lautlos-Schalter deaktivieren
Beschreibung
Wählen Sie aus, wie Sie die App für den Kioskmodus festlegen wollen:
• App-Liste : Wählen Sie die App aus der Liste der verfügbaren iOS-Apps aus.
• Benutzerdefiniert : Geben Sie manuell die Bundle-ID der App ein.
Die App für den Kioskmodus.
Wählen Sie entweder eine App aus der Liste aus oder geben Sie eine Bundle-ID ein.
Touch-Gesten sind nicht verfügbar.
Die Bildschirmorientierung kann nicht geändert werden.
Die Gerätetasten zur Lautstärkesteuerung sind nicht verfügbar.
Der Lautlos-Modus kann nicht aktiviert werden.
Copyright © 2018 Sophos Limited 175
Sophos Mobile on Premise
Einstellung/Feld
Standby-Taste deaktivieren
Automatische Bildschirmsperre deaktivieren
VoiceOver aktivieren
Zoom aktivieren
„Farben umkehren“ aktivieren
AssistiveTouch aktivieren
„Auswahl sprechen“ aktivieren
Mono-Audio aktivieren
VoiceOver
Zoom
Farben umkehren
AssistiveTouch
Beschreibung
Die Standby-Taste ist nicht verfügbar.
Die automatische Bildschirmsperre, mit der das
Gerät nach einer bestimmten Inaktivitätsdauer in den
Standbymodus wechselt, ist deaktiviert.
Die Funktion „VoiceOver“ ist verfügbar.
Die Funktion „Zoom“ ist verfügbar.
Die Funktion „Farben umkehren“ ist verfügbar.
Die Funktion „AssistiveTouch“ ist verfügbar.
Die Funktion „Auswahl sprechen“ ist verfügbar.
Die Funktion „Mono-Audio“ ist verfügbar.
Der Benutzer kann die Funktion „VoiceOver“ anpassen.
Der Benutzer kann die Funktion „Zoom“ anpassen.
Der Benutzer kann die Funktion „Farben umkehren“ anpassen.
Der Benutzer kann die Funktion „AssistiveTouch“ anpassen.
15.19.10 Konfiguration „Web Clip“ (iOS-Geräteprofil)
Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum Home-Bildschirm hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den
Helpdesk kontaktieren können.
Einstellung/Feld
Beschreibung
URL
Darf entfernt werden
Bildschirmfüllend
Beschreibung
Eine Beschreibung des Web Clips.
Die Webadresse des Web Clips.
Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der
Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.
Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender
Web Clip öffnet die URL als Web-App.
176 Copyright © 2018 Sophos Limited
Einstellung/Feld
Symbol
Sophos Mobile on Premise
Beschreibung
Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine
Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.
Das Bild wird quadratisch beschnitten und je nach
Bildschirmauflösung skaliert. Beste Resultate erhalten Sie bei einer Bildgröße von 180 Pixel mal 180 Pixel.
Hinweis
Wenn im HTML-Code der Webseite ein favicon definiert ist, verwendet das Gerät möglicherweise dieses favicon als Web-Clip-Icon. Dies betrifft nicht alle Webseiten und hängt davon ab, auf welche Weise das favicon im Code der Webseite konfiguriert ist.
15.19.11 Konfiguration „Hintergrundbild“ (iOS-Geräteprofil)
Mit der Konfiguration Hintergrundbild definieren Sie Hintergrundbilder für den Sperrbildschirm und/ oder den Home-Bildschirm von iOS-Geräten.
Einstellung/Feld
Anwenden auf
Bild
Beschreibung
Wählen Sie aus, ob das Bild für den Sperrbildschirm, für den
Home-Bildschirm, oder für beides verwendet wird.
Wählen Sie ein PNG- oder JPEG-Bild (max. 5 MB) aus, das als
Hintergrundbild verwendet wird.
Das Bild wird von iOS nach Bedarf beschnitten und skaliert. Beste
Ergebnisse erhalten Sie bei folgenden Bildgrößen (in Pixeln):
• 640 × 1136 (iPhone 5)
• 750 × 1334 (iPhone 6/7)
• 1242 × 2208 (iPhone 6/7 Plus)
• 1536 × 2048 (iPad, iPad mini, iPad Air)
• 2048 × 2732 (iPad Pro)
Hinweis
Benutzer können das Hintergrundbild jederzeit ändern.
Copyright © 2018 Sophos Limited 177
Sophos Mobile on Premise
15.19.12 Konfiguration „Zugangspunkt (APN)“ (iOS-Geräteprofil)
Mit der Konfiguration Zugangspunkt (APN) konfigurieren Sie einen Access Point Name (APN) für iOS-
Geräte. Eine APN-Konfiguration legt fest, wie sich Geräte mit einem Mobilfunknetz verbinden.
Hinweis
Die Konfiguration Zugangspunkt (APN) ist veraltet. Verwenden Sie stattdessen die Konfiguration
Mobilfunk . Siehe
Konfiguration „Mobilfunk“ (iOS-Geräteprofil) (Seite 182).
Wichtig
Wenn diese Einstellungen nicht korrekt sind, kann das Gerät nicht auf Daten über ein
Mobilnetzwerk zugreifen. Wenn Sie die Einstellungsänderungen rückgängig machen wollen, müssen Sie das Profil vom Gerät entfernen.
Einstellung/Feld
APN
Benutzername für Zugangspunkt
Beschreibung
Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.
Dies muss ein vom Netzbetreiber akzeptierter
Zugangspunkt sein. Andernfalls kann die
Verbindung nicht aufgebaut werden.
Der Nutzername für den Zugangspunkt.
Hinweis iOS unterstützt für Zugangspunkte
Benutzernamen mit bis zu 64 Zeichen.
Kennwort für Zugangspunkt
Proxy-Server und -Port
Das Kennwort für den Zugangspunkt.
Hinweis iOS unterstützt für Zugangspunkte
Kennwörter mit bis zu 64 Zeichen.
Die Adresse und die Portnummer des Proxy-
Servers.
15.19.13 Konfiguration „Webfilter“ (iOS-Geräteprofil)
Mit der Konfiguration Webfilter definieren Sie blockierte URLs und erlaubte URLs mit Lesezeichen.
178 Copyright © 2018 Sophos Limited
Einstellung/Feld
Blockierte URLs
Erlaubte URLs mit Lesezeichen
Nicht-jugendfreie Inhalte blockieren
Sophos Mobile on Premise
Beschreibung
Wenn Sie das Kontrollkästchen aktivieren, können Sie eine Liste mit blockierten URLs definieren, auf die nicht zugegriffen werden kann.
Klicken Sie auf Weiter , um die Seite Webfilter anzuzeigen. Auf dieser Seite können Sie einzelne URLs hinzufügen.
Verwenden Sie eine neue Zeile für jede URL.
Wenn Sie das Kontrollkästchen aktivieren, können Sie erlaubte URLs mit Lesezeichen definieren, die im Browser Safari verfügbar sind.
Alle anderen Webseiten werden blockiert.
Klicken Sie auf Weiter , um die Seite Webfilter anzuzeigen. Klicken Sie auf Hinzufügen , um individuelle URLs als Lesezeichen zu definieren.
Mit dieser Option auf der Seite Webfilter aktivieren Sie einen Apple-Filter, der nicht-jugendfreie Inhalte blockiert. Zum
Beispiel Webseiten, die Kraftausdrücke oder pornografische Formulierungen verwenden.
15.19.14 Konfiguration „Globaler HTTP-Proxy“ (iOS-
Geräteprofil)
Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.
Einstellung/Feld
Globaler HTTP-Proxy
Beschreibung
Wählen Sie die Proxy-Einstellungen für die
Verbindung aus:
• Manuell
Wenn Sie diese Option wählen, werden die
Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im Feld
Server und Port die gültige Adresse und den
Port des Proxy-Servers ein. Geben Sie im
Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein.
Geben Sie im Feld Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.
• Automatisch
Wenn Sie diese Option wählen, wird das Feld
Proxyserver-URL angezeigt. Geben Sie die
URL des Servers mit der Proxy-Einstellung in diesem Feld ein.
Copyright © 2018 Sophos Limited 179
Sophos Mobile on Premise
15.19.15 Konfiguration „Root-Zertifikat“ (iOS-Geräteprofil)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen
Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.19.16 Konfiguration „Client-Zertifikat“ (iOS-Geräteprofil)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen
Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.19.17 Konfiguration „SCEP“ (iOS-Geräteprofil)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.
Einstellung/Feld
URL
CA-Name
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur
Unterscheidung zwischen Instanzen verwendet werden.
180 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Betreff
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Challenge
Wiederholungen
Wiederholungsverzögerung
Schlüsselgröße
Beschreibung
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß
X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern
finden Sie in Platzhalter in Profilen und Richtlinien
(Seite 90).
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige
(Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Die Anzahl an Wiederholungsversuchen, falls der
Server mit dem Status Pending antwortet.
Die Zeit in Sekunden zwischen zwei
Wiederholungsversuchen.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
Copyright © 2018 Sophos Limited 181
Sophos Mobile on Premise
Einstellung/Feld
Als digitale Signatur verwenden
Für Verschlüsselung verwenden
Beschreibung
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale Signatur verwendet werden.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur Datenverschlüsselung verwendet werden.
15.19.18 Duo-Gerätezertifikat (iOS-Geräteprofil)
Mit der Konfiguration Duo-Gerätezertifikat ermöglichen Sie Geräten, ein Zertifikat vom SCEP-Server von Duo Security anzufordern. Wenn dieses Zertifikat auf einem Gerät installiert ist, klassifiziert die
App Duo Mobile das Gerät als vertrauenswürdig.
Die erforderlichen Einstellungen sind für alle Duo-Security-Konten gleich. Ändern Sie nicht die vorausgefüllten Werte.
15.19.19 Konfiguration „Verwaltete Domänen“ (iOS-Geräteprofil)
Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für iOS-Geräte.
E-Mail-Domänen
Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe E-
Mails gekennzeichnet.
Web-Domänen
Wenn Web-Domänen verwaltet werden, können Dateien, die in Safari von bestimmten Webseiten heruntergeladen werden, nur mit verwalteten Apps geöffnet werden. Informationen zu verwalteten
Apps finden Sie in
Verwaltete iOS-Apps (Seite 279).
Hinweis
Wenn ein Eintrag für eine verwaltete Web-Domäne eine Portnummer enthält, werden nur
Adressen mit dieser Portnummer als verwaltet berücksichtigt. Andernfalls werden nur die
Standardports als verwaltet berücksichtigt (Port 80 für http und 443 für https).
15.19.20 Konfiguration „Mobilfunk“ (iOS-Geräteprofil)
Mit der Konfiguration Mobilfunk definieren Sie Einstellungen auf iOS-Geräten für Mobilfunknetze.
182 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Eine Konfiguration vom Typ Mobilfunk kann nicht auf Geräten installiert werden, auf denen bereits eine Konfiguration Zugangspunkt (APN) vorhanden ist.
Einstellung/Feld
Authentifizierung
APN
Benutzername für Zugangspunkt
Beschreibung
PAP
CHAP
Der Zugangspunkt, den das Gerät angibt, wenn es sich mit dem Mobilfunknetz mittels GPRS verbindet.
Dies muss ein vom Netzbetreiber akzeptierter
Zugangspunkt sein. Andernfalls kann die
Verbindung nicht aufgebaut werden.
Der Nutzername für den Zugangspunkt.
Hinweis iOS unterstützt für Zugangspunkte
Benutzernamen mit bis zu 64 Zeichen.
Kennwort für Zugangspunkt
Proxy-Server und -Port
Das Kennwort für den Zugangspunkt.
Hinweis iOS unterstützt für Zugangspunkte
Kennwörter mit bis zu 64 Zeichen.
Die Adresse und die Portnummer des Proxy-
Servers.
15.19.21 Konfiguration „CalDAV“ (iOS-Geräteprofil)
Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem
CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem iOS-Gerät synchronisieren.
Einstellung/Feld
Kontoname
Konto-Host-Name und -Port
Beschreibung
Der auf dem Gerät angezeigte Name des CalDAV-Kontos.
Hostname oder IP-Adresse und (optional) der Port des
CalDAV-Servers.
Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443
Copyright © 2018 Sophos Limited 183
Sophos Mobile on Premise
Einstellung/Feld
Principal URL
Benutzername , Kennwort
SSL/TLS
Beschreibung
Falls vom CalDAV-Server benötigt, geben Sie die Principal
URL der Kalender-Ressource ein.
Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/
v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in
Ihrem Webbrowser öffnen, wird die Kalender-ID in den
Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.
Die Anmeldeinformationen des CalDAV-Kontos.
Geben Sie zum Beispiel für Google Kalender die
Anmeldeinformationen des Google-Kontos ein.
Die Verbindung zum CalDAV-Server wird mit SSL oder TLS gesichert (je nachdem, was der Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
15.19.22 Konfiguration „CardDAV“ (iOS-Geräteprofil)
Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem
CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem iOS-Gerät synchronisieren.
Einstellung/Feld
Kontoname
Konto-Host-Name und -Port
Principal URL
Beschreibung
Der auf dem Gerät angezeigte Name des CardDAV-Kontos.
Hostname oder IP-Adresse und (optional) der Port des
CardDAV-Servers.
Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com
Falls vom CardDAV-Server benötigt, geben Sie die Principal
URL der Kontakte-Ressource ein.
Zum Beispiel unterstützt die Google-CardDAV-API folgende
Principal URL: https://www.googleapis.com/carddav/
v1/ principals/account_name@gmail.com
wobei account_name der Name des Google-Kontos ist.
184 Copyright © 2018 Sophos Limited
Einstellung/Feld
Benutzername , Kennwort
SSL/TLS
Sophos Mobile on Premise
Beschreibung
Die Anmeldeinformationen des CardDAV-Kontos.
Geben Sie zum Beispiel für Google Kontakte die
Anmeldeinformationen des Google-Kontos ein.
Die Verbindung zum CardDAV-Server wird mit SSL oder
TLS gesichert (je nachdem, was der Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
15.19.23 Konfiguration „IMAP/POP“ (iOS-Geräteprofil)
Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem iOS-Gerät hinzu.
Einstellung/Feld
Kontoname
Typ des Accounts
Angezeigter Benutzername
E-Mail-Adresse
Verschieben erlauben
Synchronisierung letzter Adressen erlauben
Nur mit Mail verwenden
Mail Drop erlauben
S/MIME aktivieren
Beschreibung
Der auf dem Gerät angezeigte Name des E-Mail-Kontos.
Der Typ des E-Mail-Servers für eingehende E-Mails
(entweder IMAP oder POP ).
Der für ausgehende E-Mails verwendete Benutzername.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem
Gerät zugewiesen ist.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.
Benutzer können E-Mails von diesem Konto in ein anderes verschieben. Dies erlaubt Benutzern außerdem, ein anderes
Konto für das Antworten auf oder das Weiterleiten von
Nachrichten aus diesem Konto zu verwenden.
Das Konto wird in die Synchronisierung der Liste zuletzt verwendeter Adressen einbezogen.
Für das Senden von Nachrichten mit diesem Konto kann nur die App „Mail“ verwendet werden. Das Konto kann nicht als Absender-Konto für mit anderen Apps erstellten
Nachrichten (zum Beispiel Fotos oder Safari) verwendet werden.
Apple Mail Drop für dieses Konto erlauben.
Unterstützung des Verschlüsselungsstandards S/MIME.
Copyright © 2018 Sophos Limited 185
Sophos Mobile on Premise
Einstellung/Feld
Signaturzertifikat
Verschlüsselungszertifikat
Benutzer darf unverschlüsselte E-
Mails senden
Eingehende E-Mail
E-Mail-Server und -Port
Beschreibung
Die für E-Mail-Signierung und -Verschlüsselung verwendeten Zertifikate.
Um ein Zertifikat auszuwählen, müssen Sie dieses zunächst in einer Konfiguration Client-Zertifikat des aktuellen Profils hochladen.
Der Benutzer bei jeder ausgehenden E-Mail entscheiden, ob sie verschlüsselt gesendet werden soll oder nicht.
Benutzername
Authentifizierung-Typ
Kennwort
SSL/TLS
Hostname oder IP-Adresse und Port des
Posteingangsservers.
Der Benutzername für die Verbindung mit dem
Posteingangsserver.
Die Authentisierungsmethode für die Verbindung mit dem
Posteingangsserver.
Das Kennwort für die Verbindung mit dem
Posteingangsserver (falls erforderlich).
Die Verbindung zum Posteingangs-Server wird mit
SSL oder TLS gesichert (je nachdem, was der Server unterstützt).
Ausgehende E-Mail
E-Mail-Server und -Port
Benutzername
Authentifizierung-Typ
Kennwort
Das selbe Kennwort wie für eingehende E-Mail verwenden
SSL/TLS
Hostname oder IP-Adresse und Port des
Postausgangsservers.
Der Benutzername für die Verbindung mit dem
Postausgangsserver.
Die Authentisierungsmethode für die Verbindung mit dem
Postausgangsserver.
Das Kennwort für die Verbindung mit dem
Postausgangsserver (falls erforderlich).
Das selbe Kennwort wie für den Posteingangsserver verwenden.
Die Verbindung zum Postausgangs-Server wird mit
SSL oder TLS gesichert (je nachdem, was der Server unterstützt).
186 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.19.24 Konfiguration „Netzwerk-Nutzungsregeln“ (iOS-
Geräteprofil)
Mit der Konfiguration Netzwerk-Nutzungsregeln legen Sie für verwaltete Apps fest, wie
Datenverbindungen in Mobilfunknetzen verwendet werden dürfen.
Allgemeine Regeln
Unter Regeln für alle verwalteten Apps legen Sie Einstellungen für verwaltete Apps im Allgemeinen fest.
Einstellung/Feld
Mobilfunkdaten erlauben
Daten-Roaming erlauben
Beschreibung
Verwaltete Apps dürfen Datenverbindungen in
Mobilfunknetzen verwenden.
Verwaltete Apps dürfen Datenverbindungen bei Roaming in fremden Mobilfunknetzen verwenden.
Ausnahmen
Ausnahmen überschreiben die allgemeinen Regeln. Verwenden Sie Ausnahme hinzufügen , um
Regeln zu definieren, die für eine bestimmte App-Gruppe gelten.
Einstellung/Feld
App-Gruppe
Mobilfunkdaten erlauben
Daten-Roaming erlauben
Beschreibung
Wählen Sie eine App-Gruppe aus. Die abweichenden
Einstellungen gelten für alle in der Gruppe enthaltenen
Apps.
Verwaltete Apps in der ausgewählten App-Gruppe dürfen
Datenverbindungen in Mobilfunknetzen verwenden.
Verwaltete Apps in der ausgewählten App-Gruppe dürfen Datenverbindungen bei Roaming in fremden
Mobilfunknetzen verwenden.
Hinweis
Für jede App-Gruppe können Sie nur eine Ausnahmeregel anlegen.
15.20 Konfigurationen für Sophos-Container-
Richtlinien für iOS
Mit einer Sophos-Container-Richtlinie konfigurieren Sie Einstellungen für die Sophos-Container-Apps
Sophos Secure Email und Sophos Secure Workspace.
Copyright © 2018 Sophos Limited 187
Sophos Mobile on Premise
Informationen zum Erstellen einer Sophos-Container-Richtlinie finden Sie in
Profil oder Richtlinie erstellen
(Seite 85).
15.20.1 Konfiguration „Allgemein“ (Sophos-Container-Richtlinie für iOS)
Mit der Konfiguration Allgemein definieren Sie Einstellungen für alle Sophos-Container-Apps, sofern anwendbar.
Einstellung/Feld
Sophos-Container-Kennwort aktivieren
Komplexität des Kennworts
Zeichen in Kennwort-Eingabefeldern immer verstecken
Gültigkeitsdauer des Kennworts in Tagen
Fehlgeschlagene Anmeldungen bis Sperre
Fingerabdruck erlauben
Beschreibung
Benutzer müssen ein zusätzliches Kennwort eingeben, um eine Sophos-Container-App zu starten. Sobald die erste Container-App gestartet wird nachdem die Konfiguration angewendet wurde, muss das Kennwort definiert werden.
Dieses Kennwort gilt für alle Container-Apps.
Die minimale Komplexität des Kennworts für den
Sophos-Container. Sicherere Kennwörter sind immer erlaubt. Kennwörter (eine Kombination numerischer und alphanumerischer Zeichen) werden generell als sicherer angesehen als PINs
(nur numerische Zeichen).
• Beliebig : Sophos-Container-Kennwörter unterliegen keinen Einschränkungen.
• 4-Ziffern-PIN
• 6-Ziffern-PIN
• 4-Zeichen-Kennwort
• 6-Zeichen-Kennwort
• 8-Zeichen-Kennwort
• 10-Zeichen-Kennwort
In Kennwort-Eingabefeldern werden die eingegebenen Zeichen nicht kurz angezeigt, bevor sie maskiert werden.
Die Anzahl an Tagen, die ein Kennwort verwendet werden kann, bevor der Benutzer aufgefordert wird, es zu ändern.
Die erlaubte Anzahl fehlgeschlagener
Anmeldeversuche, bevor die Container-Apps gesperrt werden. Gesperrte Apps müssen von einem Administrator entsperrt werden. Falls konfiguriert, können die Apps auch vom Benutzer im Self Service Portal entsperrt werden.
Benutzer können die App mit ihrem
Fingerabdruck entsperren.
188 Copyright © 2018 Sophos Limited
Einstellung/Feld
Gültigkeitsdauer in Minuten
Mit Gerät sperren
Letzte Verbindung zum Server
Sophos Mobile on Premise
Beschreibung
Die Zeitspanne, während der kein Sophos-
Container-Kennwort eingegeben werden muss, wenn eine Container-App wieder im Vordergrund angezeigt wird.
Die Toleranzfrist gilt für alle Container-Apps.
Während der Toleranzfrist können Sie zwischen den Apps wechseln, ohne das Kennwort erneut eingeben zu müssen.
Wenn das Gerät gesperrt wird, wird auch der
Sophos-Container gesperrt.
Wenn das Kontrollkästchen deaktiviert ist, wird der Sophos-Container nur nach Ablauf der
Toleranzfrist gesperrt.
Die Zeitspanne, innerhalb derer Benutzer eine
Sophos-Container-App verwenden können, ohne dass eine Verbindung zum Sophos Mobile Server aufgebaut wurde.
Wenn eine Sophos-Container-App aktiviert wird und innerhalb der definierten Zeitspanne keinen Kontakt mit dem Server hatte, wird ein
Sperrbildschirm angezeigt. Der Benutzer kann die
App durch Tippen auf Wiederholen entsperren.
Hierdurch verbindet sich die App mit dem Server.
Kann die Verbindung aufgebaut werden, wird die App entsperrt. Falls nicht, wird der Zugriff verweigert.
• Bei jedem Zugriff : Eine Serververbindung ist immer notwendig und die App wird gesperrt, wenn der Server nicht erreichbar ist.
• 1 Stunde : Eine Serververbindung ist notwendig, wenn die App eine Stunde oder später nach der letzten erfolgreichen Serververbindung aktiviert wird.
• 3 Stunden
• 6 Stunden
• 12 Stunden
• 1 Tag
• 3 Tage
• 1 Woche
• Ohne : Keine regelmäßige Verbindung ist notwendig.
Copyright © 2018 Sophos Limited 189
Sophos Mobile on Premise
Einstellung/Feld
Offline-Starts ohne Serververbindung
Beschreibung
In diesem Feld definieren Sie, wie oft Benutzer eine der Sophos-Container-Apps starten können, ohne dass eine Serververbindung aufgebaut wurde.
Hinweis
Diese Einstellung setzt voraus, dass ein
Sophos-Container-Kennwort eingerichtet ist.
Jailbreak erlaubt
Es wird mitgezählt, wie oft Benutzer das Sophos-
Container-Kennwort eingeben. Wenn der Zähler die definierte Anzahl überschreitet, wird derselbe
Sperrbildschirm wie für die Letzte Verbindung zum Server Einstellung angezeigt. Der Zähler wird zurückgesetzt, wenn eine Verbindung zum
Sophos Mobile Server hergestellt wird.
• Unbegrenzt : Es ist keine Serververbindung notwendig.
• 0 : Das Starten der App ohne Serververbindung ist nicht möglich.
• 1 : Nach einem Start der App ist eine erfolgreiche
Serververbindung notwendig.
• 3
• 5
• 10
• 20
Die Container-Apps können auf Geräten mit
Jailbreak laufen.
App-Nutzungs-Beschränkungen
Hier können Sie Beschränkungen für die Nutzung der Sophos-Container-Apps festlegen. Klicken Sie auf Hinzufügen , um Beschränkungen einzugeben.
Räumliche Beschränkungen
Zeitliche Beschränkungen
Spezifizieren Sie über Längen- und Breitengrad einen Ausgangspunkt sowie einen Abstand, innerhalb dessen die Sophos-Container-Apps verwendet werden können.
Geben Sie über eine Anfangs- und eine Endzeit eine Zeitspanne an, innerhalb derer die Sophos-
Container-Apps verwendet werden können.
Sie können auch spezifizieren, an welchen
Wochentagen die Apps verwendet werden können.
190 Copyright © 2018 Sophos Limited
Einstellung/Feld
WLAN-Beschränkungen
Sophos Mobile on Premise
Beschreibung
Wenn Sie WLAN-Verbindung erforderlich auswählen, wird der Sophos-Container gesperrt, falls keine WLAN-Verbindung aktiv ist.
Wenn Sie WLAN-Netzwerke zur Liste hinzufügen, wird der Sophos-Container gesperrt, falls das
Gerät mit einem nicht aufgeführten WLAN verbunden ist.
Wichtig
Wir empfehlen, sich nicht auf WLAN-
Beschränkungen als einzigen
Sicherheitsmechanismus zu verlassen, da WLAN-
Namen sehr leicht gefälscht werden können (Wi-Fi
Spoofing).
15.20.2 Konfiguration „Unternehmens-E-Mail“ (Sophos-
Container-Richtlinie für iOS)
Mit der Konfiguration Unternehmens-E-Mail definieren Sie Benutzereinstellungen für Ihren Microsoft
Exchange Server. Diese Einstellungen gelten für die App Sophos Secure Email, wenn diese im
Sophos-Container installiert ist.
Einstellung/Feld
Exchange-Server
Beschreibung
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos
Mobile verwenden, geben Sie die URL des
EAS-Proxy-Servers ein.
Benutzer
E-Mail-Adresse
Domäne
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen
Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Die Domäne für dieses Konto.
Copyright © 2018 Sophos Limited 191
Sophos Mobile on Premise
Einstellung/Feld
Support-E-Mail-Kontakt
Sichere Textfelder verwenden
Kontakte auf das Gerät exportieren
Anrufer-Erkennung
Beschreibung
Die Adresse für E-Mails, die über die Funktion
„Kontaktiere Support“ gesendet werden.
Der Inhalt von Eingabefeldern wird geschützt.
Auto-Vervollständigung und Auto-Korrektur werden in der App „Sophos Secure Email“ deaktiviert, um zu verhindern, dass sensible
Daten im Gerätespeicher abgelegt werden.
Benutzer können Exchange-Kontakte inklusive
Telefonnummer als lokale Kontakte auf das
Gerät übertragen, damit bei Anrufen von
Firmenkontakten der Name angezeigt wird.
Diese Kontakte werden von Sophos Secure Email synchronisiert.
Hinweis
Die lokalen Kontaktdaten werden in folgenden Situationen automatisch gelöscht:
• Wenn die Konfiguration Unternehmens-
E-Mail aus der Sophos-Container-
Richtlinie entfernt wird (nach dem nächsten Neustart der App Sophos
Secure Email).
• Wenn der Sophos-Container vom Gerät entfernt wird.
• Wenn das Gerät bei Sophos Mobile deregistriert wird.
Eingehende Anrufe von Firmenkontakten können anhand der Kontaktdaten aus Sophos Secure
Email identifiziert werden, ohne dass Kontakte aus Sophos Secure Email in die Gerätekontakte exportiert werden müssen.
Für die Verwendung müssen Benutzer folgende
Einstellungen vornehmen:
• In der App „Einstellungen“: Telefon > Anrufe blockieren u. identifizieren > Email
• In der App Sophos Secure Email: Einstellungen >
Kontakte > Identifizieren von Anrufen
192 Copyright © 2018 Sophos Limited
Einstellung/Feld
Benachrichtigungen
In Zwischenablage kopieren verbieten
Anhänge öffnen
Maximale E-Mail-Größe
Erweiterte Einstellungen
Sophos Mobile on Premise
Beschreibung
Der Benachrichtigungstyp für neue E-Mails:
• System : Benachrichtigungen werden von iOS verwaltet. Benachrichtigungen enthalten keine
Details wie Absender oder Betreff.
• App : Benachrichtigungen werden von der
App Sophos Secure Email verwaltet. Sie können bestimmen, welche Details angezeigt werden. Wenn die App nicht läuft, werden keine Benachrichtigungen angezeigt.
• Ohne : Es werden keine Benachrichtigungen angezeigt.
Diese Einstellung wirkt sich auch auf
Terminerinnerungen aus:
• System , Ohne : Terminerinnerungen enthalten nur Datum und Uhrzeit.
• App : Terminerinnerungen enthalten Datum/
Uhrzeit, Ort und Titel.
Benutzer können Texte aus Sophos Secure Email weder kopieren noch ausschneiden.
Wählen Sie aus, in welchen Apps Anhänge geöffnet werden können: In allen Apps oder nur in den Sophos-Container-Apps Secure Workspace und Secure Email.
E-Mail-Nachrichten, die inkl. Anhänge größer sind als der von Ihnen ausgewählte Wert, werden nicht vom Exchange-Server heruntergeladen.
Klicken Sie auf Erweiterte Einstellungen , um
Einstellungen für eine zukünftige Version von
Sophos Secure Email zu konfigurieren.
Wichtig
Konfigurieren Sie diese Einstellungen nur, wenn Sie vom Sophos-Support dazu aufgefordert werden.
15.20.3 Konfiguration „Unternehmensdokumente“ (Sophos-
Container-Richtlinie für iOS)
Mit der Konfiguration Unternehmensdokumente konfigurieren Sie Einstellung für die Funktion
Unternehmensdokumente der App Sophos Secure Workspace.
Copyright © 2018 Sophos Limited 193
Sophos Mobile on Premise
Online-Speicher konfigurieren
Für jeden Speicheranbieter können Sie die folgenden Einstellungen separat definieren:
Einstellung/Feld
Aktivieren
Offline
Verschlüsselt teilen
Unverschlüsselt teilen
Zwischenablage
Beschreibung
Der Speicheranbieter ist in der App verfügbar.
Benutzer können Dateien vom Speicheranbieter zur Liste Favoriten der App hinzufügen, um sie offline zu verwenden.
Benutzer können die Funktion Teilen für verschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.
Benutzer können die Funktion Teilen für unverschlüsselte Dateien verwenden, um sie mit anderen Apps zu teilen.
Benutzer können Teile aus Dokumenten kopieren und in anderen Apps einfügen.
Einstellungen für Unternehmens-Anbieter
Für Speicheranbieter vom Typ Egnyte und WebDAV , auch als Unternehmens-Anbieter bezeichnet, können Sie zentral die Server-Einstellungen und Anmeldeinformationen definieren. Diese können von den Benutzern nicht geändert werden.
Einstellungen, die Sie nicht zentral definieren, können vom Benutzer im entsprechenden App-Dialog eingegeben werden.
Beispielsweise können Sie den Server und das Benutzerkonto zentral einstellen, aber das Kennwort-
Feld undefiniert lassen. Benutzer müssen dann das Kennwort eingeben, um Zugriff auf den
Speicheranbieter zu bekommen.
Einstellung/Feld
Name
Beschreibung
Der Anbietername, wie er in der App Sophos
Secure Workspace angezeigt wird.
194 Copyright © 2018 Sophos Limited
Einstellung/Feld
Server
Benutzername
Kennwort
Zielordner
Sophos Mobile on Premise
Beschreibung
Geben Sie in diesem Feld Folgendes ein:
• Die URL des Root-Ordners auf dem WebDAV-Server für
Unternehmensdokumente .
• Die URL des Root-Ordners auf dem Egnyte -
Server.
• Die URL des Root-Ordners auf dem
WebDAV -Server.
Verwenden Sie folgendes Format: https:// server.company.com
Geben Sie in diesem Feld den Benutzernamen für den entsprechenden Server ein.
Geben Sie in diesem Feld das Kennwort für das entsprechende Konto ein.
Geben Sie in diesem Feld den Zielordner für das entsprechende Konto ein.
Weitere Einstellungen
Einstellung/Feld
Dokumente aktivieren
Komplexität des Kennworts
Beschreibung
Aktiviert die Funktion Dokumente , um
Unternehmensdokumente auf sichere Weise auszutauschen.
Die minimale Komplexität von Passphrasen für Verschlüsselungsschlüssel. Sicherere
Passphrasen sind immer erlaubt.
Sie können folgende Einstellungen auswählen:
• 4-Zeichen-Kennwort
• 6-Zeichen-Kennwort
• 8-Zeichen-Kennwort
• 10-Zeichen-Kennwort
15.20.4 Konfiguration „Unternehmens-Browser“ (Sophos-
Container-Richtlinie für iOS)
Mit der Konfiguration Unternehmens-Browser konfigurieren Sie Einstellung für die Funktion
Unternehmens-Browser der App Sophos Secure Workspace.
Mit dem Unternehmens-Browser können Sie auf sichere Weise auf Intranetseiten Ihres Unternehmens und andere erlaubte Seiten zugreifen. Sie definieren Domänen sowie Lesezeichen innerhalb von
Domänen.
Copyright © 2018 Sophos Limited 195
Sophos Mobile on Premise
Jedes Lesezeichen gehört zu einer bestimmten Domäne. Wenn Sie ein Lesezeichen hinzufügen, wird automatisch ein Domäneneintrag erstellt, falls dieser nicht existiert.
Einstellungen für Domänen
Einstellung/Feld
URL
Kopieren/Einfügen erlauben
„Öffnen mit“ erlauben
Kennwort-Speichern erlauben
Beschreibung
Die Domäne, die Sie erlauben wollen.
Benutzer können Text aus dem Unternehmens-
Browser kopieren und in anderen Apps einfügen.
Benutzer können Anhänge herunterladen oder an andere Apps weiterleiten.
Benutzer können ihre Kennwörter im
Unternehmens-Browser speichern.
Einstellungen für Lesezeichen
Einstellung/Feld
Name
URL
Beschreibung
Der Name für das Lesezeichen.
Die Webadresse für das Lesezeichen.
15.20.5 Konfiguration „Client-Zertifikat“ (Sophos-Container-
Richtlinie für iOS)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
196 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.20.6 Konfiguration „Root-Zertifikat“ (Sophos-Container-
Richtlinie für iOS)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten. Das Zertifikat steht den Apps „Sophos Secure Email“ und „Sophos Secure Workspace“ zur Verfügung, wenn diese im Sophos-Container installiert sind.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.20.7 Konfiguration „SCEP“ (Sophos-Container-Richtlinie für iOS)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern. Diese Zertifikate stehen der App
Sophos Secure Workspace zur Verfügung, wenn diese im Sophos-Container installiert ist.
Hinweis
Bevor Sie eine Konfiguration vom Typ SCEP hinzufügen können, müssen Sie zunächst mit einer
Konfiguration vom Typ Root-Zertifikat das CA-Zertifikat des SCEP-Servers hochladen.
Einstellung/Feld
URL
Aliasname
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Der Name, unter dem das Zertifikat in
Auswahldialogen angezeigt wird.
Dies sollte ein einprägsamer Name sein, über den das Zertifikat identifiziert werden kann. Zum
Beispiel können Sie denselben Wert wie für das
Feld Betreff verwenden, nur ohne den Vorsatz
CN= .
Copyright © 2018 Sophos Limited 197
Sophos Mobile on Premise
Einstellung/Feld
Betreff
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Challenge
Root-Zertifikat
Schlüsselgröße
Beschreibung
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern finden Sie in
Platzhalter in Profilen und Richtlinien
(Seite 90).
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige (Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Das CA-Zertifikat.
Wählen Sie das Zertifikat aus der Liste aus. Die
Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
198 Copyright © 2018 Sophos Limited
Einstellung/Feld
Als digitale Signatur verwenden
Für Verschlüsselung verwenden
Sophos Mobile on Premise
Beschreibung
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale
Signatur verwendet werden.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur
Datenverschlüsselung verwendet werden.
15.21 Konfigurationen für macOS-Geräterichtlinien
Mit einer macOS-Geräterichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum Beispiel
Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Geräterichtlinie gilt für alle
Benutzer, die sich an einem Mac anmelden, dem Sie die Richtlinie zuweisen - unabhängig davon, ob diese Benutzer von Sophos Mobile verwaltet werden oder nicht.
Zugehörige Konzepte
(Seite 88)
Konfigurationen für macOS-Benutzerrichtlinien (Seite 215)
Zugehörige Aufgaben
Profil oder Richtlinie erstellen (Seite 85)
15.21.1 Konfiguration „Kennwortrichtlinien“ (macOS-
Geräterichtlinie)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von Mac-
Benutzerkonten.
Hinweis
Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine
Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-
Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach
Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.
Einstellung/Feld
Einfache Werte erlauben
Alphanumerische Werte erforderlich
Minimale Länge des Kennworts
Beschreibung
Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .
Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.
Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.
Copyright © 2018 Sophos Limited 199
Sophos Mobile on Premise
Einstellung/Feld
Mindestanzahl von komplexen Zeichen
Gültigkeitsdauer des Kennworts in Tagen
Automatische Sperre (Minuten)
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Toleranzfrist für Gerätesperrung
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Beschreibung
Gibt an, wie viele nicht-alphanumerische Zeichen
(zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen Sperre wird festgelegt, wann (in Minuten) das Gerät nach Nichtbenutzung gesperrt werden soll.
In diesem Feld können Sie festlegen, wie viele alte Kennwörter gespeichert und mit neu definierten Kennwörtern verglichen werden. Wenn ein Benutzer ein neues
Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 50 oder 0
(keine Kennworthistorie).
In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der Toleranzfrist für die
Gerätesperrung legen Sie fest, wie lange nach einer Sperre das Gerät ohne Kennwort entsperrt werden kann. Wenn Sie Ohne auswählen, kann der Benutzer einen beliebigen verfügbaren
Zeitraum wählen. Wenn Sie Sofort auswählen, müssen Benutzer immer, wenn sie ihre Geräte entsperren, ein Kennwort eingeben.
In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen Versuchen wird eine Zeitverzögerung verhängt. Ein erneuter
Versuch kann erst nach Ablauf der Verzögerung unternommen werden. Diese Verzögerung wird mit jedem fehlgeschlagenen Versuch größer.
Nach dem letzten fehlgeschlagenen Versuch werden alle Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen
Wert also auf 6 oder niedriger setzen, wird keine
Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale
Anzahl an Fehlversuchen überschritten ist.
200 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.21.2 Konfiguration „Einschränkungen“ (macOS-
Geräterichtlinie)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.
Hinweis
Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label neben einer Option gekennzeichnet.
Gerät
Einstellung/Feld
Verwendung der Kamera erlauben
Internetsuchergebnis für Spotlight erlauben
Apple Music erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist die
Kamera nicht verfügbar und das Symbol der Kamera-
App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.
Wenn das Kontrollkästchen deaktiviert ist, führt Spotlight keine Internetsuche durch.
Der Dienst „Apple Music“ ist verfügbar.
iCloud
Einstellung/Feld
Sicherung erlauben
Beschreibung
Benutzer können ein Geräte-Backup in iCloud machen.
iCloud-Fotomediathek erlauben Benutzer können die iCloud-Fotomediathek verwenden.
iCloud-Schlüsselbundsynchronisierung erlauben
Benutzer können iCloud-Schlüsselbund verwenden, um
Kennwörter zwischen ihren iPhones, iPads und Macs zu synchronisieren.
Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.
Dokumentensynchronisierung erlauben Benutzer können Dokumente und App-
Konfigurationsdaten in iCloud speichern.
„Zugang zu meinem Mac“ erlauben Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und
Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.
Copyright © 2018 Sophos Limited 201
Sophos Mobile on Premise
Einstellung/Feld
„Meinen Mac suchen“ erlauben iCloud-Lesezeichen erlauben iCloud Mail erlauben iCloud-Kalender erlauben iCloud-Erinnerungen erlauben iCloud-Adressbuch erlauben iCloud-Notizen erlauben iCloud Drive für Desktop und
Dokumente erlauben
Beschreibung
Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.
Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.
Benutzer können auf ihrem Mac ein Konto für iCloud
Mail einrichten.
Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.
Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.
Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.
Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren
Geräten und mit anderen Benutzern zu teilen.
Benutzer können ihren Mac-Desktop und ihren Ordner
Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.
Sicherheit und Privatsphäre
Einstellung/Feld
Touch ID zum Entsperren des Gerätes erlauben
Definitionsfunktionen erlauben
Auto-Entsperren erlauben iTunes-Dateifreigabe erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, kann das
Gerät nicht per Touch ID entsperrt werden.
Benutzer können Definitionen für markierte Wörter nachschlagen.
Benutzer können Auto-Entsperren verwenden, um ihren
Mac automatisch von ihrer Apple Watch entsperren zu lassen.
Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.
202 Copyright © 2018 Sophos Limited
Einstellung/Feld
AirPrint erlauben iBeacon-Erkennung von AirPrint-
Druckern erlauben
Sophos Mobile on Premise
Beschreibung
Benutzer können Dateien an AirPrint-Drucker senden.
macOS verwendet iBeacon, um AirPrint-Geräte zu erkennen.
Wichtig
Wenn Sie dies erlauben, können bösartige iBeacon-
Geräte Phishing-Angriffe auf den Datenverkehr im
Netzwerk ausführen.
AirPrint über TLS wird abgewiesen, falls das AirPrint-
Gerät kein vertrauenswürdiges Zertifikat verwendet.
Vertrauenswürdige Zertifikate für
AirPrint über TLS erzwingen
15.21.3 Konfiguration „WLAN“ (macOS-Geräterichtlinie)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Automatisch verbinden
Unsichtbares Netzwerk
Beschreibung
Die ID des WLAN-Netzwerks.
Automatisch mit dem Zielnetzwerk verbinden.
Das Zielnetzwerk ist nicht offen oder ist unsichtbar.
Copyright © 2018 Sophos Limited 203
Sophos Mobile on Premise
Einstellung/Feld
Sicherheitstyp
204
Beschreibung
Der Sicherheitstyp des WLAN-Netzwerks:
• Keine
• WEP (privat)
• WPA/WPA2 (privat)
• Beliebig (privat)
• WEP (betrieblich)
• WPA/WPA2 (betrieblich)
• Beliebig (betrieblich)
Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben Sie das relevante Kennwort ein.
Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,
Authentifizierung and Vertrauen angezeigt.
Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:
• Geben Sie unter Akzeptierte EAP-Typen die EAP-
Verfahren an, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld
Innere Identität (TTLS) auswählen.
• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.
Konfigurieren Sie auf der Registerkarte
Authentifizierung Einstellungen für die Client-
Authentifizierung:
• Geben Sie im Feld Benutzer den Benutzernamen für die Verbindung zu dem WLAN-Netzwerk ein.
• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.
• Geben Sie im Feld Kennwort das relevante Kennwort ein.
• Wählen Sie in der Liste Identitätszertifikat das
Zertifikat für die Verbindung zu dem WLAN-Netzwerk aus.
Hinweis
Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.
• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.
Konfigurieren Sie auf der Registerkarte Vertrauen
Einstellungen für die Server-Authentifizierung:
Wählen Sie die vertrauenswürdigen Zertifikate aus der
Liste aus.
Copyright © 2018 Sophos Limited
Hinweis
Sie müssen die Zertifikate in einer Konfiguration
Root-Zertifikat angeben.
Einstellung/Feld
Proxy
Sophos Mobile on Premise
Beschreibung
Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:
• Keine
• Manuell
• Automatisch
Wenn Sie Manuell auswählen, werden die Felder
Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie die erforderlichen Proxy-
Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld Proxy-Server-URL angezeigt. Geben Sie die URL des Proxy-Servers ein.
15.21.4 Konfiguration „VPN“ (macOS-Geräterichtlinie)
Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.
Einstellung/Feld
Verbindungsname
Verbindungstyp
Identifier (Reverse-DNS-Format)
Server
Konto
Beschreibung
Der Name der Verbindung, der auf dem Gerät angezeigt wird.
Der Typ der VPN-Verbindung:
• Cisco AnyConnect
• Cisco Legacy AnyConnect
• IPsec (Cisco)
• F5
• Check Point
• SSL/TLS (benutzerdefiniert)
Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche Eingabefelder angezeigt.
Die benutzerdefinierte Kennung im Reverse-DNS-
Format.
Der Host-Name oder die IP-Adresse des Servers.
Das Benutzer-Konto für die Authentisierung der
Verbindung.
Copyright © 2018 Sophos Limited 205
Sophos Mobile on Premise
Einstellung/Feld
Drittanbieter-Einstellungen
Alle Daten über VPN übertragen
Gruppe
Benutzer-Authentifizierung
Beschreibung
Falls Ihr Anbieter benutzerdefinierte
Verbindungseinstellungen spezifiziert hat, geben
Sie diese hier ein.
Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der
Eigenschaft ein.
Die VPN-Verbindung wird für den gesamten
Datenverkehr verwendet.
Geben Sie die Gruppe ein, die für die
Authentisierung der Verbindung erforderlich sein kann.
Die Art der Benutzer-Authentisierung für die
Verbindung:
• Kennwort
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Kennwort angezeigt. Geben Sie das
Kennwort für die Authentisierung ein.
• Zertifikat
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Zertifikat angezeigt. Wählen Sie ein
Zertifikat aus.
206 Copyright © 2018 Sophos Limited
Einstellung/Feld
Geräte-Authentifizierung
Proxy
Provider-Typ
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Beschreibung
Die Art der Geräte-Authentifizierung:
• Schlüssel (Shared Secret)/Gruppenname
Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel
(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen
Authentisierungsinformationen in den Feldern
Gruppenname und Schlüssel (Shared
Secret) ein. Wählen Sie je nach Anforderung
Hybrid-Authentifizierung verwenden und
Kennwort verlangen .
• Zertifikat
Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive Benutzer-
PIN unter dem Feld Geräte-Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche Zertifikat aus. Wählen
Sie Inklusive Benutzer-PIN aus, um die
Benutzer-PIN in die Geräteauthentisierung einzubeziehen.
Die Proxy-Einstellungen für die Verbindung:
• Keine
• Manuell
Wenn Sie diese Option wählen, werden die
Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im Feld
Server und Port die gültige Adresse und den
Port des Proxy-Servers ein. Geben Sie im
Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein.
Geben Sie im Feld Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.
• Automatisch
Wenn Sie diese Option wählen, wird das Feld
Proxyserver-URL angezeigt. Geben Sie die
URL des Servers mit der Proxy-Einstellung in diesem Feld ein.
Der VPN-Verbindungstyp.
• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der Applikationsschicht gesendet.
• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der
Netzwerkschicht gesendet.
207
Sophos Mobile on Premise
15.21.5 Konfiguration „Webfilter“ (macOS-Geräterichtlinie)
Mit der Konfiguration Webfilter definieren Sie Einstellungen für eine Drittanbieter-App zum Filtern von
Web-Inhalten.
Einstellung/Feld
Filtername
Filter-ID
Server
Organisation
Beschreibung
Ein freier Name für die Filterkonfiguration.
Die Bundle-ID der Drittanbieter-App.
Der Server, auf dem der Filterdienst läuft (Host-Name, IP-Adresse oder URL).
Der Name Ihres Unternehmens. Der Wert wird an den Filterdienst weitergeleitet.
Benutzername
Kennwort
Zertifikat
Filterumfang
Die Anmeldeinformationen für den Filterdienst.
Drittanbieter-Einstellungen
Ein Zertifikat für die Authentisierung beim Filterdienst.
Der von der Drittanbieter-App zu filternde Datenverkehr:
• Browser-Datenverkehr filtern : WebKit-Browserdaten werden gefiltert.
• Socket-Datenverkehr filtern : Socket-Daten werden gefiltert.
• Browser- und Socket-Datenverkehr filtern : WebKit- und
Socket-Daten werden gefiltert.
Weitere Konfigurationseinstellungen (falls von der Drittanbieter-
App benötigt).
15.21.6 Konfiguration „Globaler HTTP-Proxy“ (macOS-
Geräterichtlinie)
Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.
208 Copyright © 2018 Sophos Limited
Einstellung/Feld
Globaler HTTP-Proxy
Sophos Mobile on Premise
Beschreibung
Wählen Sie die Proxy-Einstellungen für die
Verbindung aus:
• Manuell
Wenn Sie diese Option wählen, werden die
Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im Feld
Server und Port die gültige Adresse und den
Port des Proxy-Servers ein. Geben Sie im
Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein.
Geben Sie im Feld Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.
• Automatisch
Wenn Sie diese Option wählen, wird das Feld
Proxyserver-URL angezeigt. Geben Sie die
URL des Servers mit der Proxy-Einstellung in diesem Feld ein.
15.21.7 Konfiguration „Root-Zertifikat“ (macOS-Geräterichtlinie)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.21.8 Konfiguration „Client-Zertifikat“ (macOS-Geräterichtlinie)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
Copyright © 2018 Sophos Limited 209
Sophos Mobile on Premise
15.21.9 Konfiguration „SCEP“ (macOS-Geräterichtlinie)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.
Einstellung/Feld
URL
CA-Name
Betreff
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur
Unterscheidung zwischen Instanzen verwendet werden.
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß
X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern
finden Sie in Platzhalter in Profilen und Richtlinien
(Seite 90).
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige
(Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
210 Copyright © 2018 Sophos Limited
Einstellung/Feld
Challenge
Wiederholungen
Wiederholungsverzögerung
Schlüsselgröße
Sophos Mobile on Premise
Beschreibung
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Die Anzahl an Wiederholungsversuchen, falls der
Server mit dem Status Pending antwortet.
Die Zeit in Sekunden zwischen zwei
Wiederholungsversuchen.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
15.21.10 Konfiguration „Verzeichnisdienst“ (macOS-
Geräterichtlinie)
Mit der Konfiguration Verzeichnisdienst geben Sie eine Active-Directory-Domäne an, der ein Mac beitritt, wenn ihm die Richtlinie zugewiesen wird.
Hinweis
Wenn Sie hier dieselbe Domäne konfigurieren, die Sie für das Self Service Portal verwenden, wird die dem Mac zugewiesene macOS-Benutzerrichtlinie auf alle Active-Directory-Benutzer angewendet, die sich an dem Mac anmelden.
Allgemeine Einstellungen
Einstellung/Feld
Domain-Hostname
AD-Administratorname
Kennwort
Organisationseinheit (OU)
Copyright © 2018 Sophos Limited
Beschreibung
Der DNS-Host-Name der Active-Directory-Domäne.
Die Anmeldedaten des Kontos, das für die
Verbindung mit dem Active-Directory-Server verwendet wird.
Dieser Benutzer muss berechtigt sein, Geräte zur
Active-Directory-Datenbank hinzuzufügen.
Die Organizational Unit (OU) in der Active-
Directory-Datenbank, welcher der beitretende
Computer hinzugefügt wird.
211
Sophos Mobile on Premise
Benutzereinstellungen
Einstellung/Feld
Mobilen Account erstellen
Beschreibung macOS erstellt einen mobilen Account, wenn sich ein Netzwerk-Benutzer zum ersten Mal anmeldet.
Bei einem mobilen Account können sich
Benutzer auch dann mit ihren Active-Directory-
Anmeldedaten anmelden, wenn der Mac nicht mit dem Active-Directory-Server verbunden ist.
Bestätigung vor Erstellung mobiler
Accounts einholen
Lokalen Benutzerordner erzwingen
Der Benutzer entscheidet, ob ein mobiler Account erstellt wird.
Wenn Sie dieses Kontrollkästchen aktivieren, werden Benutzerprofile immer auf dem Startvolume angelegt. Dies ist für mobile Accounts erforderlich.
Wenn Sie das Kontrollkästchen deaktivieren, werden reine Netzwerk-Benutzerordner verwendet.
UNC-Pfad von Active Directory verwenden macOS verwendet den im Active-Directory-
Benutzerkonto angegebenen Benutzerordner.
Das Mount-Protokoll für den Benutzerordner.
Netzwerkprotokoll
Standardmäßige Benutzer-Shell Die Kommando-Shell des Benutzers.
Wenn Sie keinen Wert angeben, wird /bin/bash verwendet.
Pfade
Einstellung/Feld
UID-Attribut
GID-Attribut Benutzer
GID-Attribut Gruppe
Beschreibung
Das Active-Directory-Attribut, das für die eindeutige
Benutzerkennung (UID) in macOS verwendet wird.
Das Active-Directory-Attribut, das für die Kennung der primären Gruppe (Primary Group ID) von macOS-Benutzerkonten verwendet wird.
Das Active-Directory-Attribut, das für die Kennung von macOS-Gruppenkonten (Group ID) verwendet wird.
212 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Wichtig
Wenn Sie diese Zuordnungen später ändern, können Benutzer möglicherweise nicht mehr auf ihre
Dateien zugreifen.
Administration
Einstellung/Feld
Bevorzugter DC-Server
Kennwort-Vertrauensintervall (Tage)
Namespace
Paket-Signierung
Paket-Verschlüsselung
Beschreibung
Der vorrangig anzufragende Active-Directory-
Domänen-Controller (DC).
Wenn Sie keinen Wert angeben, wählt macOS den Domänen-Controller anhand von Site-
Informationen und Reaktionszeiten aus.
Geben Sie an, wie häufig macOS das Kennwort seines Active-Directory-Computer-Accounts ändert.
Wenn Sie keinen Wert angeben, ändert macOS sein Kennwort alle 14 Tage.
Wenn Sie den Wert 0 angeben, ändert macOS das
Kennwort nicht automatisch.
• Forest
Namespace-Unterstützung wird aktiviert.
Es können sich Benutzer mit dem gleichen
Anmeldenamen aus verschiedenen Domänen des Active Directory Forest anmelden.
Benutzer müssen ihren Anmeldenamen in der
Form DOMAIN\name eingeben.
• Domäne
Namespace-Unterstützung wird deaktiviert.
Benutzer müssen einen eindeutigen
Anmeldenamen haben.
macOS kann die für die Active-Directory-
Kommunikation verwendeten LDAP-Verbindungen signieren und verschlüsseln.
• Erlauben : macOS entscheidet, of die LDAP-
Verbindungen signiert und/oder verschlüsselt werden.
• Deaktivieren : macOS signiert oder verschlüsselt die
LDAP-Verbindungen nicht.
• Benötigen : macOS signiert und verschlüsselt die
LDAP-Verbindungen immer.
• SSL/TLS : macOS verwendet immer LDAP über
SSL/TLS.
Copyright © 2018 Sophos Limited 213
Sophos Mobile on Premise
Einstellung/Feld
Multi-Domänen-Autorisierung
Domänenadministrator-Gruppen
DDNS beschränken
Beschreibung
Benutzer aus allen Domänen des Active Directory
Forest können sich anmelden.
Eine Liste von Active-Directory-Gruppen.
Mitglieder dieser Gruppen erhalten Admin-Rechte auf dem Mac.
Um mehr als eine Gruppe einzugeben, drücken Sie nach jedem Wert die Taste Eingabe .
Eine Liste von Netzwerk-Schnittstellen.
Standardmäßig verwendet macOS für alle
Netzwerk-Schnittstellen Dynamic DNS (DDNS).
Um DDNS auf bestimmte Schnittstellen zu beschränken, geben Sie deren BSD-Namen ein.
Um zum Beispiel DDNS auf den internen Ethernet-
Port zu beschränken, geben Sie en0 ein.
Um mehr als eine Schnittstelle einzugeben, drücken Sie nach jedem Wert die Taste Eingabe .
15.21.11 Konfiguration „Verwaltete Domänen“ (macOS-
Geräterichtlinie)
Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.
E-Mail-Domänen
Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe E-
Mails gekennzeichnet.
15.21.12 Konfiguration „Gatekeeper“ (macOS-Geräterichtlinie)
Mit der Konfiguration Gatekeeper konfigurieren Sie die macOS-Funktion Gatekeeper, mit der Apps blockiert werden, die aus verbotenen Quellen installiert wurden.
214 Copyright © 2018 Sophos Limited
Einstellung/Feld
Apps aus Download-Quellen erlauben
Sophos Mobile on Premise
Beschreibung
Wählen Sie die gewünschte Einstellung aus:
• Alle Quellen : Benutzer können alle Apps
öffnen, unabhängig davon, aus welcher Quelle sie installiert wurden.
• Mac App Store : Benutzer können nur Apps
öffnen, die aus dem Mac App Store installiert wurden.
• Mac App Store und verifizierte Entwickler :
Benutzer können nur Apps öffnen, die aus dem
Mac App Store installiert wurden oder die von verifizierten Entwicklern stammen, d.h. von
Entwicklern, die von Apple zugelassen wurden.
15.22 Konfigurationen für macOS-
Benutzerrichtlinien
Mit einer macOS-Benutzerrichtlinie konfigurieren Sie verschiedene Bereiche von Macs, wie zum
Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen. Die Benutzerrichtlinie gilt für alle verwalteten Benutzer des Macs, dem Sie die Richtlinie zuweisen.
Zugehörige Konzepte
(Seite 88)
Konfigurationen für macOS-Geräterichtlinien (Seite 199)
Zugehörige Aufgaben
Profil oder Richtlinie erstellen (Seite 85)
15.22.1 Konfiguration „Kennwortrichtlinien“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von Mac-
Benutzerkonten.
Hinweis
Wenn die Konfiguration Kennwortrichtlinien einem Gerät zugewiesen wird, startet eine
Toleranzfrist von 60 Minuten. Wenn der Benutzer innerhalb dieser Toleranzfrist den Home-
Bildschirm öffnet, wird er aufgefordert, sein Kennwort an die neuen Richtlinien anzupassen. Nach
Ablauf der Toleranzfrist kann der Benutzer keine Apps mehr starten, auch keine System-Apps.
Copyright © 2018 Sophos Limited 215
Sophos Mobile on Premise
Einstellung/Feld
Einfache Werte erlauben
Alphanumerische Werte erforderlich
Minimale Länge des Kennworts
Mindestanzahl von komplexen Zeichen
Gültigkeitsdauer des Kennworts in Tagen
Automatische Sperre (Minuten)
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Toleranzfrist für Gerätesperrung
Beschreibung
Benutzer dürfen aufeinanderfolgende oder wiederholte Zeichen in ihrem Kennwort verwenden, zum Beispiel 1111 oder abcde .
Kennwort muss mindestens einen Buchstaben oder eine Ziffer enthalten.
Gibt an, wie viele Zeichen ein Kennwort mindestens enthalten muss.
Gibt an, wie viele nicht-alphanumerische Zeichen
(zum Beispiel & oder !) ein Kennwort mindestens enthalten muss.
Fordert eine Änderung des Kennworts im angegebenen Intervall. Wertebereich: 0 (keine
Kennwortänderung erforderlich) bis 730 Tage.
In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der automatischen Sperre wird festgelegt, wann (in Minuten) das Gerät nach Nichtbenutzung gesperrt werden soll.
In diesem Feld können Sie festlegen, wie viele alte Kennwörter gespeichert und mit neu definierten Kennwörtern verglichen werden. Wenn ein Benutzer ein neues
Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt. Wertebereich: 1 bis 50 oder 0
(keine Kennworthistorie).
In diesem Feld können Sie den Höchstwert festlegen, den der Benutzer auf dem Gerät konfigurieren darf. Mit der Toleranzfrist für die
Gerätesperrung legen Sie fest, wie lange nach einer Sperre das Gerät ohne Kennwort entsperrt werden kann. Wenn Sie Ohne auswählen, kann der Benutzer einen beliebigen verfügbaren
Zeitraum wählen. Wenn Sie Sofort auswählen, müssen Benutzer immer, wenn sie ihre Geräte entsperren, ein Kennwort eingeben.
216 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Anzahl fehlerhafter Login-Versuche, bis das
Gerät zurückgesetzt wird
Beschreibung
In diesem Feld können Sie die Anzahl fehlgeschlagener Kennwort-Eingabeversuchen eingeben, nach der das Gerät zurückgesetzt wird. Nach sechs fehlgeschlagenen Versuchen wird eine Zeitverzögerung verhängt. Ein erneuter
Versuch kann erst nach Ablauf der Verzögerung unternommen werden. Diese Verzögerung wird mit jedem fehlgeschlagenen Versuch größer.
Nach dem letzten fehlgeschlagenen Versuch werden alle Daten und Einstellungen sicher vom Gerät entfernt. Die Zeitverzögerung startet nach dem sechsten Versuch. Wenn Sie diesen
Wert also auf 6 oder niedriger setzen, wird keine
Verzögerung ausgelöst. In diesem Fall wird das Gerät zurückgesetzt, sobald die maximale
Anzahl an Fehlversuchen überschritten ist.
15.22.2 Konfiguration „Einschränkungen“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Macs.
Hinweis
Einige Optionen sind nur für bestimmte macOS-Versionen verfügbar. In Sophos Mobile Admin ist dies durch blaue Label neben einer Option gekennzeichnet.
Gerät
Einstellung/Feld
Verwendung der Kamera erlauben
Internetsuchergebnis für Spotlight erlauben
Apple Music erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, ist die
Kamera nicht verfügbar und das Symbol der Kamera-
App wird vom Home-Bildschirm entfernt. Benutzer können weder Fotos machen noch Videos aufzeichnen oder FaceTime benutzen.
Wenn das Kontrollkästchen deaktiviert ist, führt Spotlight keine Internetsuche durch.
Der Dienst „Apple Music“ ist verfügbar.
Copyright © 2018 Sophos Limited 217
Sophos Mobile on Premise
iCloud
Einstellung/Feld
Sicherung erlauben
Beschreibung
Benutzer können ein Geräte-Backup in iCloud machen.
iCloud-Fotomediathek erlauben Benutzer können die iCloud-Fotomediathek verwenden.
iCloud-Schlüsselbundsynchronisierung erlauben
Benutzer können iCloud-Schlüsselbund verwenden, um
Kennwörter zwischen ihren iPhones, iPads und Macs zu synchronisieren.
Wenn das Kontrollkästchen deaktiviert ist, speichert iCloud-Schlüsselbund Daten nur lokal auf dem Gerät.
Dokumentensynchronisierung erlauben Benutzer können Dokumente und App-
Konfigurationsdaten in iCloud speichern.
„Zugang zu meinem Mac“ erlauben Benutzer können die iCloud-Funktion Zugang zu meinem Mac verwenden, d.h. Datei- und
Bildschirminhalte zwischen einem lokalen und einem entfernten Mac teilen.
„Meinen Mac suchen“ erlauben iCloud-Lesezeichen erlauben
Benutzer können die iCloud-Funktion Meinen Mac suchen verwenden, um ihren Mac ferngesteuert zu orten, zu sperren, oder auf Werkseinstellungen zurückzusetzen.
Benutzer können die iCloud-Funktion Lesezeichen verwenden, um Web-Lesezeichen zwischen Browsern und Plattformen zu synchronisieren.
iCloud Mail erlauben iCloud-Kalender erlauben iCloud-Erinnerungen erlauben iCloud-Adressbuch erlauben iCloud-Notizen erlauben
Benutzer können auf ihrem Mac ein Konto für iCloud
Mail einrichten.
Benutzer können die iCloud-Funktion Kalender verwenden, um ihre Kalender auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.
Benutzer können die iCloud-Funktion Erinnerungen verwenden, um Erinnerungslisten auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.
Benutzer können die iCloud-Funktion Adressbuch verwenden, um Kontakte auf ihren Geräten und mit anderen iCloud-Benutzern zu teilen.
Benutzer können die iCloud-Funktion Notizen verwenden, um Notizen zu erstellen und diese auf ihren
Geräten und mit anderen Benutzern zu teilen.
218 Copyright © 2018 Sophos Limited
Einstellung/Feld iCloud Drive für Desktop und
Dokumente erlauben
Sophos Mobile on Premise
Beschreibung
Benutzer können ihren Mac-Desktop und ihren Ordner
Dokumente in iCloud Drive speichern und darauf von anderen Geräten aus zugreifen.
Sicherheit und Privatsphäre
Einstellung/Feld
Touch ID zum Entsperren des Gerätes erlauben
Definitionsfunktionen erlauben
Auto-Entsperren erlauben iTunes-Dateifreigabe erlauben
AirPrint erlauben iBeacon-Erkennung von AirPrint-
Druckern erlauben
Beschreibung
Wenn das Kontrollkästchen deaktiviert ist, kann das
Gerät nicht per Touch ID entsperrt werden.
Benutzer können Definitionen für markierte Wörter nachschlagen.
Benutzer können Auto-Entsperren verwenden, um ihren
Mac automatisch von ihrer Apple Watch entsperren zu lassen.
Benutzer können die iCloud-Funktion Datenfreigabe verwenden, um Dateien zwischen ihrem Mac und einem iPhone oder iPad zu kopieren.
Benutzer können Dateien an AirPrint-Drucker senden.
macOS verwendet iBeacon, um AirPrint-Geräte zu erkennen.
Wichtig
Wenn Sie dies erlauben, können bösartige iBeacon-
Geräte Phishing-Angriffe auf den Datenverkehr im
Netzwerk ausführen.
Vertrauenswürdige Zertifikate für
AirPrint über TLS erzwingen
AirPrint über TLS wird abgewiesen, falls das AirPrint-
Gerät kein vertrauenswürdiges Zertifikat verwendet.
15.22.3 Konfiguration „Exchange-Konto“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein.
Einstellung/Feld
Kontoname
Beschreibung
Der Kontoname.
Copyright © 2018 Sophos Limited 219
Sophos Mobile on Premise
Einstellung/Feld
Exchange-Server
Domäne
Benutzer
E-Mail-Adresse
Kennwort
SSL/TLS
Beschreibung
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Das Kennwort für dieses Konto.
Wenn Sie dieses Feld leer lassen, müssen
Benutzer das Kennwort auf ihren Geräten eingeben.
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
15.22.4 Konfiguration „WLAN“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Automatisch verbinden
Unsichtbares Netzwerk
Beschreibung
Die ID des WLAN-Netzwerks.
Automatisch mit dem Zielnetzwerk verbinden.
Das Zielnetzwerk ist nicht offen oder ist unsichtbar.
220 Copyright © 2018 Sophos Limited
Einstellung/Feld
Sicherheitstyp
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Beschreibung
Der Sicherheitstyp des WLAN-Netzwerks:
• Keine
• WEP (privat)
• WPA/WPA2 (privat)
• Beliebig (privat)
• WEP (betrieblich)
• WPA/WPA2 (betrieblich)
• Beliebig (betrieblich)
Wenn Sie einen Typ auswählen, der auf Privat endet, wird ein Feld Kennwort angezeigt. Geben Sie das relevante Kennwort ein.
Wenn Sie einen Typ auswählen, der auf Betrieblich endet, werden die Registerkarten Protokolle ,
Authentifizierung and Vertrauen angezeigt.
Konfigurieren Sie auf der Registerkarte Protokolle folgende Einstellungen:
• Geben Sie unter Akzeptierte EAP-Typen die EAP-
Verfahren an, die für die Authentisierung verwendet werden sollen. Je nach den auf dieser Registerkarte ausgewählten Typen lassen sich die Werte im Feld
Innere Identität (TTLS) auswählen.
• Konfigurieren Sie unter EAP-FAST die Einstellungen für die EAP-FAST-Protected-Access-Anmeldedaten.
Konfigurieren Sie auf der Registerkarte
Authentifizierung Einstellungen für die Client-
Authentifizierung:
• Geben Sie im Feld Benutzer den Benutzernamen für die Verbindung zu dem WLAN-Netzwerk ein.
• Wählen Sie Kennwort bei jedem Verbinden abfragen aus, wenn das Kennwort für jede Verbindung abgefragt und mit der Authentifizierung übertragen werden soll.
• Geben Sie im Feld Kennwort das relevante Kennwort ein.
• Wählen Sie in der Liste Identitätszertifikat das
Zertifikat für die Verbindung zu dem WLAN-Netzwerk aus.
Hinweis
Das Zertifikat, das verwendet werden soll, muss in einer Client-Zertifikat -Konfiguration angegeben werden.
• Geben Sie im Feld Externe Identität die extern sichtbare ID (für TTLS, PEAP und EAP-FAST) ein.
Konfigurieren Sie auf der Registerkarte Vertrauen
Einstellungen für die Server-Authentifizierung:
Wählen Sie die vertrauenswürdigen Zertifikate aus der
Liste aus.
Hinweis
Sie müssen die Zertifikate in einer Konfiguration
Root-Zertifikat angeben.
221
Sophos Mobile on Premise
Einstellung/Feld
Proxy
Beschreibung
Wählen Sie in dieser Liste die Proxy-Einstellungen für die WLAN-Verbindung aus:
• Keine
• Manuell
• Automatisch
Wenn Sie Manuell auswählen, werden die Felder
Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie die erforderlichen Proxy-
Informationen ein. Wenn Sie Automatisch auswählen, wird das Feld Proxy-Server-URL angezeigt. Geben Sie die URL des Proxy-Servers ein.
15.22.5 Konfiguration „VPN“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration VPN definieren Sie VPN-Einstellungen für Netzwerkverbindungen.
Einstellung/Feld
Verbindungsname
Verbindungstyp
Identifier (Reverse-DNS-Format)
Server
Konto
Beschreibung
Der Name der Verbindung, der auf dem Gerät angezeigt wird.
Der Typ der VPN-Verbindung:
• Cisco AnyConnect
• Cisco Legacy AnyConnect
• IPsec (Cisco)
• F5
• Check Point
• SSL/TLS (benutzerdefiniert)
Je nach hier gewähltem Verbindungstyp werden auf der Seite VPN unterschiedliche Eingabefelder angezeigt.
Die benutzerdefinierte Kennung im Reverse-DNS-
Format.
Der Host-Name oder die IP-Adresse des Servers.
Das Benutzer-Konto für die Authentisierung der
Verbindung.
222 Copyright © 2018 Sophos Limited
Einstellung/Feld
Drittanbieter-Einstellungen
Alle Daten über VPN übertragen
Gruppe
Benutzer-Authentifizierung
Sophos Mobile on Premise
Beschreibung
Falls Ihr Anbieter benutzerdefinierte
Verbindungseinstellungen spezifiziert hat, geben
Sie diese hier ein.
Um eine Eigenschaft einzugeben, klicken Sie auf Hinzufügen und geben Sie anschließend im Dialogfeld den Schlüssel und den Wert der
Eigenschaft ein.
Die VPN-Verbindung wird für den gesamten
Datenverkehr verwendet.
Geben Sie die Gruppe ein, die für die
Authentisierung der Verbindung erforderlich sein kann.
Die Art der Benutzer-Authentisierung für die
Verbindung:
• Kennwort
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Kennwort angezeigt. Geben Sie das
Kennwort für die Authentisierung ein.
• Zertifikat
Wenn Sie diese Option auswählen, wird unter dem Feld Benutzer-Authentifizierung ein
Feld Zertifikat angezeigt. Wählen Sie ein
Zertifikat aus.
Copyright © 2018 Sophos Limited 223
Sophos Mobile on Premise
Einstellung/Feld
Geräte-Authentifizierung
224
Proxy
Provider-Typ
Beschreibung
Die Art der Geräte-Authentifizierung:
• Schlüssel (Shared Secret)/Gruppenname
Wenn Sie diese Option auswählen, werden die Felder Gruppenname , Schlüssel
(Shared Secret) , Hybrid-Authentifizierung verwenden und Kennwort verlangen unter dem Feld Geräte-Authentifizierung angezeigt. Geben Sie die erforderlichen
Authentisierungsinformationen in den Feldern
Gruppenname und Schlüssel (Shared
Secret) ein. Wählen Sie je nach Anforderung
Hybrid-Authentifizierung verwenden und
Kennwort verlangen .
• Zertifikat
Wenn Sie diese Option auswählen, werden die Felder Zertifikat und Inklusive Benutzer-
PIN unter dem Feld Geräte-Authentifizierung angezeigt. Wählen Sie in der Liste Zertifikat das erforderliche Zertifikat aus. Wählen
Sie Inklusive Benutzer-PIN aus, um die
Benutzer-PIN in die Geräteauthentisierung einzubeziehen.
Die Proxy-Einstellungen für die Verbindung:
• Keine
• Manuell
Wenn Sie diese Option wählen, werden die
Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im Feld
Server und Port die gültige Adresse und den
Port des Proxy-Servers ein. Geben Sie im
Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein.
Geben Sie im Feld Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.
• Automatisch
Wenn Sie diese Option wählen, wird das Feld
Proxyserver-URL angezeigt. Geben Sie die
URL des Servers mit der Proxy-Einstellung in diesem Feld ein.
Der VPN-Verbindungstyp.
• App-Proxy : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der Applikationsschicht gesendet.
• Paket-Tunnel : Netzwerkdatenverkehr wird durch einen VPN-Tunnel in der
Netzwerkschicht gesendet.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.22.6 Konfiguration „Single-Sign-On“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Single-Sign-On definieren Sie Einstellungen für das Single-Sign-On für
Drittanbieter-Apps.
Einstellung/Feld
Name
Kerberos-Principal-Name
Realm
Beschreibung
Eine Bezeichnung für das Konto.
Der „Kerberos Principal“-Name.
Wenn Sie keinen Wert eingeben, muss der
Benutzer den Namen eingeben, wenn das Profil auf dem Gerät installiert wird.
Der „Kerberos Realm“-Name.
Sie müssen den Namen in Großbuchstaben eingeben.
URLs
App-Kennungen
Die Werte müssen mit http:// oder https:// beginnen.
Wenn ein Wert nicht mit dem Zeichen / endet, wird / von Sophos Mobile hinzugefügt.
Eine Liste von Bundle-IDs von Apps.
Werte müssen entweder vollständige IDs sein
(z.B. com.sophos.smsec
), oder Präfixwerte mit den Zeichen .* am Ende (z.B. com.sophos.* ).
15.22.7 Konfiguration „Web Clip“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration Web Clip definieren Sie Web Clips, die zum macOS-Desktop hinzugefügt werden. Web Clips bieten schnellen Zugriff auf favorisierte Webseiten. Sie können jedoch zum Beispiel auch einen Web Clip mit einer Support-Telefonnummer hinzufügen, damit die Benutzer schnell den
Helpdesk kontaktieren können.
Einstellung/Feld
Beschreibung
URL
Darf entfernt werden
Beschreibung
Eine Beschreibung des Web Clips.
Die Webadresse des Web Clips.
Wenn das Kontrollkästchen deaktiviert ist, kann der Benutzer den Web Clip nicht entfernen. Der
Webclip kann nur durch Entfernen des Profils, das den Webclip installiert hat, entfernt werden.
Copyright © 2018 Sophos Limited 225
Sophos Mobile on Premise
Einstellung/Feld
Bildschirmfüllend
Symbol
Beschreibung
Der Web Clip wird auf dem Gerät bildschirmfüllend geöffnet. Ein bildschirmfüllender
Web Clip öffnet die URL als Web-App.
Wählen Sie ein Bild für das Web-Clip-Icon auf dem Home-Bildschirm aus. Dies muss eine
Bilddatei im Format PNG, GIF oder JPEG mit einer maximalen Größe von 1 MB sein.
Das Bild wird quadratisch beschnitten und je nach
Bildschirmauflösung skaliert. Beste Resultate erhalten Sie bei einer Bildgröße von 180 Pixel mal 180 Pixel.
Hinweis
Wenn im HTML-Code der Webseite ein favicon definiert ist, verwendet das Gerät möglicherweise dieses favicon als Web-Clip-Icon. Dies betrifft nicht alle Webseiten und hängt davon ab, auf welche Weise das favicon im Code der Webseite konfiguriert ist.
15.22.8 Konfiguration „Webfilter“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration Webfilter definieren Sie Einstellungen für eine Drittanbieter-App zum Filtern von
Web-Inhalten.
Einstellung/Feld
Filtername
Filter-ID
Server
Organisation
Beschreibung
Ein freier Name für die Filterkonfiguration.
Die Bundle-ID der Drittanbieter-App.
Der Server, auf dem der Filterdienst läuft (Host-Name, IP-Adresse oder URL).
Der Name Ihres Unternehmens. Der Wert wird an den Filterdienst weitergeleitet.
Benutzername
Kennwort
Zertifikat
Die Anmeldeinformationen für den Filterdienst.
Ein Zertifikat für die Authentisierung beim Filterdienst.
226 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Filterumfang
Drittanbieter-Einstellungen
Beschreibung
Der von der Drittanbieter-App zu filternde Datenverkehr:
• Browser-Datenverkehr filtern : WebKit-Browserdaten werden gefiltert.
• Socket-Datenverkehr filtern : Socket-Daten werden gefiltert.
• Browser- und Socket-Datenverkehr filtern : WebKit- und
Socket-Daten werden gefiltert.
Weitere Konfigurationseinstellungen (falls von der Drittanbieter-
App benötigt).
15.22.9 Konfiguration „Globaler HTTP-Proxy“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Globaler HTTP-Proxy definieren Sie einen Unternehmens-Proxy-Server.
Einstellung/Feld
Globaler HTTP-Proxy
Beschreibung
Wählen Sie die Proxy-Einstellungen für die
Verbindung aus:
• Manuell
Wenn Sie diese Option wählen, werden die
Felder Server und Port , Authentifizierung und Kennwort angezeigt. Geben Sie im Feld
Server und Port die gültige Adresse und den
Port des Proxy-Servers ein. Geben Sie im
Feld Authentifizierung den Benutzernamen für die Verbindung zum Proxy-Server ein.
Geben Sie im Feld Kennwort das Kennwort für die Verbindung zum Proxy-Server ein.
• Automatisch
Wenn Sie diese Option wählen, wird das Feld
Proxyserver-URL angezeigt. Geben Sie die
URL des Servers mit der Proxy-Einstellung in diesem Feld ein.
15.22.10 Konfiguration „Root-Zertifikat“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Macs.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Copyright © 2018 Sophos Limited 227
Sophos Mobile on Premise
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.22.11 Konfiguration „Client-Zertifikat“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Client-Zertifikat installieren Sie ein Client-Zertifikat auf Macs.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.22.12 Konfiguration „SCEP“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.
Einstellung/Feld
URL
CA-Name
Beschreibung
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Ein Name, der von der Zertifizierungsstelle verstanden wird. Der Name kann zum Beispiel zur
Unterscheidung zwischen Instanzen verwendet werden.
228 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Betreff
Typ des Subject Alternative Name (SAN)
Wert des Subject Alternative Name (SAN)
AD-Benutzeranmeldename
Challenge
Wiederholungen
Wiederholungsverzögerung
Schlüsselgröße
Beschreibung
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß
X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern
finden Sie in Platzhalter in Profilen und Richtlinien
(Seite 90).
Um einen Wert für den Subject Alternative Name
(SAN) zur SCEP-Konfiguration hinzuzufügen, wählen Sie den SAN-Typ aus und geben Sie anschließend den SAN-Wert ein. Folgende SAN-
Typen sind möglich:
• RFC 822-Name : Eine gültige E-Mail-Adresse.
• DNS-Name : Der DNS-Name des CA-Servers.
• Uniform Resource Identifier (URI) : Die vollständige
(Fully Qualified) URL des CA-Servers.
Der in Active Directory definierte
Benutzeranmeldename (User logon name), d.h.
der User Principal Name (UPN) eines Benutzers.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Die Anzahl an Wiederholungsversuchen, falls der
Server mit dem Status Pending antwortet.
Die Zeit in Sekunden zwischen zwei
Wiederholungsversuchen.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
Copyright © 2018 Sophos Limited 229
Sophos Mobile on Premise
230
15.22.13 Konfiguration „Verwaltete Domänen“ (macOS-
Benutzerrichtlinie)
Mit der Konfiguration Verwaltete Domänen definieren Sie verwaltete Domänen für Macs.
E-Mail-Domänen
Geben Sie E-Mail-Domänen ein, die von Ihrem Unternehmen verwaltet werden. In der Mail-App werden E-Mails von Adressen, die nicht zu einer der konfigurierten Domänen gehören, als externe E-
Mails gekennzeichnet.
15.22.14 Konfiguration „CalDAV“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration CalDAV konfigurieren Sie die Synchronisierung von Kalenderdaten mit einem
CalDAV-Server. Sie können so zum Beispiel Google Kalender mit einem Mac synchronisieren.
Einstellung/Feld
Kontoname
Konto-Host-Name und -Port
Principal URL
Benutzername , Kennwort
SSL/TLS
Beschreibung
Der auf dem Gerät angezeigte Name des CalDAV-Kontos.
Hostname oder IP-Adresse und (optional) der Port des
CalDAV-Servers.
Geben Sie zum Beispiel für Google Kalender folgendes ein: calendar.google.com:443
Falls vom CalDAV-Server benötigt, geben Sie die Principal
URL der Kalender-Ressource ein.
Geben Sie zum Beispiel folgendes ein, um einen anderen als den Haupt-Kalender eines Google-Kontos zu synchronisieren: https://apidata.googleusercontent.com/ caldav/
v2/calendar_id/user wobei calendar_id die ID des Kalenders ist, den Sie synchronisieren wollen. Wenn Sie Google Kalender in
Ihrem Webbrowser öffnen, wird die Kalender-ID in den
Kalendereinstellungen angezeigt. Einzelheiten finden Sie in der Hilfe zu Google Kalender.
Die Anmeldeinformationen des CalDAV-Kontos.
Geben Sie zum Beispiel für Google Kalender die
Anmeldeinformationen des Google-Kontos ein.
Die Verbindung zum CalDAV-Server wird mit SSL oder TLS gesichert (je nachdem, was der Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.22.15 Konfiguration „CardDAV“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration CardDAV konfigurieren Sie die Synchronisierung von Kontaktdaten mit einem
CardDAV-Server. Sie können so zum Beispiel Google Kontakte mit einem Mac synchronisieren.
Einstellung/Feld
Kontoname
Konto-Host-Name und -Port
Principal URL
Benutzername , Kennwort
SSL/TLS
Beschreibung
Der auf dem Gerät angezeigte Name des CardDAV-Kontos.
Hostname oder IP-Adresse und (optional) der Port des
CardDAV-Servers.
Geben Sie zum Beispiel für Google Kontakte folgendes ein: google.com
Falls vom CardDAV-Server benötigt, geben Sie die Principal
URL der Kontakte-Ressource ein.
Zum Beispiel unterstützt die Google-CardDAV-API folgende
Principal URL: https://www.googleapis.com/carddav/
v1/ principals/account_name@gmail.com
wobei account_name der Name des Google-Kontos ist.
Die Anmeldeinformationen des CardDAV-Kontos.
Geben Sie zum Beispiel für Google Kontakte die
Anmeldeinformationen des Google-Kontos ein.
Die Verbindung zum CardDAV-Server wird mit SSL oder
TLS gesichert (je nachdem, was der Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
15.22.16 Konfiguration „IMAP/POP“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Mac hinzu.
Einstellung/Feld
Kontoname
Typ des Accounts
Angezeigter Benutzername
Beschreibung
Der auf dem Gerät angezeigte Name des E-Mail-Kontos.
Der Typ des E-Mail-Servers für eingehende E-Mails
(entweder IMAP oder POP ).
Der für ausgehende E-Mails verwendete Benutzername.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem
Gerät zugewiesen ist.
Copyright © 2018 Sophos Limited 231
Sophos Mobile on Premise
Einstellung/Feld
E-Mail-Adresse
Beschreibung
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.
Eingehende E-Mail
E-Mail-Server und -Port
Benutzername
Authentifizierung-Typ
Kennwort
SSL/TLS
Hostname oder IP-Adresse und Port des
Posteingangsservers.
Der Benutzername für die Verbindung mit dem
Posteingangsserver.
Die Authentisierungsmethode für die Verbindung mit dem
Posteingangsserver.
Das Kennwort für die Verbindung mit dem
Posteingangsserver (falls erforderlich).
Die Verbindung zum Posteingangs-Server wird mit
SSL oder TLS gesichert (je nachdem, was der Server unterstützt).
Ausgehende E-Mail
E-Mail-Server und -Port
Benutzername
Authentifizierung-Typ
Kennwort
Das selbe Kennwort wie für eingehende E-Mail verwenden
SSL/TLS
Hostname oder IP-Adresse und Port des
Postausgangsservers.
Der Benutzername für die Verbindung mit dem
Postausgangsserver.
Die Authentisierungsmethode für die Verbindung mit dem
Postausgangsserver.
Das Kennwort für die Verbindung mit dem
Postausgangsserver (falls erforderlich).
Das selbe Kennwort wie für den Posteingangsserver verwenden.
Die Verbindung zum Postausgangs-Server wird mit
SSL oder TLS gesichert (je nachdem, was der Server unterstützt).
15.22.17 Konfiguration „LDAP“ (macOS-Benutzerrichtlinie)
Mit der Konfiguration LDAP stellen Sie Benutzerinformationen aus einem LDAP-Verzeichnis in der macOS-App Adressbuch zur Verfügung.
232 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Für den Beitritt eines Macs zu einer Active-Directory-Domäne verwenden Sie die Konfiguration
Verzeichnisdienst
. Siehe Konfiguration „Verzeichnisdienst“ (macOS-Geräterichtlinie) (Seite
211).
Einstellung/Feld
Kontobeschreibung
Servername
Benutzername
Kennwort
SSL/TLS verwenden
Sucheinstellungen
Base
Bereich
Beschreibung
Beschreibung
Eine Beschreibung der LDAP-Verbindung.
Der Host-Name oder die IP-Adresse des LDAP-
Servers.
Die Anmeldedaten des Benutzers, den Sophos
Mobile verwendet, um sich mit dem LDAP-Server zu verbinden.
Die Verbindung zum LDAP-Server wird mit SSL oder TLS gesichert (je nachdem, was der Server unterstützt).
Die Knoten im LDAP-Verzeichnisbaum, von denen eine Suche startet, und welche Knoten durchsucht werden.
Der Pfad zu dem Knoten, von dem die Suche startet. Zum Beispiel: ou=users,o=my company
Eine Angabe, welche Unterknoten in die Suche eingeschlossen werden:
• Nur Basisknoten : Nur der Basisknoten.
• Basisknoten und direkte Kindknoten : Der
Basisknoten und seine Kindknoten, d.h. die
Unterknoten erster Ordnung.
• Basisknoten und alle Unterknoten : Der
Basisknoten und alle Unterknoten ohne
Beschränkung der Rekursionstiefe.
Eine Beschreibung der Sucheinstellungen.
15.23 Konfigurationen für Windows-Mobile-
Richtlinien
Mit einer Windows-Mobile-Richtlinien konfigurieren Sie verschiedene Bereiche von Windows-Mobile-
Geräten, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.
Informationen zum Erstellen einer Windows-Mobile-Richtlinie finden Sie in
Profil oder Richtlinie erstellen
(Seite 85).
Copyright © 2018 Sophos Limited 233
Sophos Mobile on Premise
15.23.1 Konfiguration „Kennwortrichtlinien“ (Windows-Mobile-
Richtlinie)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an das Geräte-Kennwort.
Einstellung/Feld
Kennworttyp
Mindestkomplexität alphanumerischer
Kennwörter
Einfache Werte erlauben
Minimale Länge des Kennworts
Beschreibung
Die Art des Kennworts, dass Benutzer definieren müssen:
• Alphanumerisch : Kennwort muss Ziffern und
Buchstaben enthalten
• Numerisch : Kennwort darf nur Ziffern enthalten
Für Windows Phone 8.1 erlaubt Alphanumerisch auch Kennwörter, die Ziffern oder Buchstaben enthalten.
Dies legt fest, welche Zeichenklassen in alphanumerischen Kennwörtern verwendet werden müssen.
Für Windows 10 Mobile:
• 1 : Nicht anwendbar (falls ausgewählt, wird 2 angewendet)
• 2 : Ziffern und Kleinbuchstaben erforderlich
• 3 : Ziffern, Klein- und Großbuchstaben erforderlich
• 4 : Ziffern, Klein- und Großbuchstaben sowie
Sonderzeichen erforderlich
Für Windows Phone 8.1 legt der der Wert fest, wie viele verschiedene Zeichenklassen im
Kennwort vorkommen müssen. Zeichenklassen sind:
• Stellen
• Kleinbuchstaben
• Großbuchstaben
• Sonderzeichen
Kennwörter dürfen aufeinanderfolgende oder wiederholte Zeichnen enthalten, zum Beispiel abcde oder 1111 .
Die Mindestanzahl an Zeichen, die ein Kennwort enthalten muss.
234 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld Beschreibung
Maximale Anzahl an Fehlversuchen Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.
Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
Inaktivitätszeit in Minuten bis zur Abfrage des
Kennworts
Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der Benutzer kann das Gerät entsperren.
Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Gültigkeitsdauer des Kennworts in Tagen
Festlegen der Toleranzfrist bis zur erneuten
Kennworteingabe erlauben
Die Anzahl alter Kennwörter, die vom System gespeichert werden. Wenn ein Benutzer ein neues Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt.
Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
Die Anzahl an Tagen, nach denen Benutzer ihr
Kennwort ändern müssen.
Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
Benutzer dürfen die Toleranzfrist festlegen, innerhalb derer keine erneute Kennworteingabe erfolgen muss.
15.23.2 Konfiguration „Einschränkungen“ (Windows-Mobile-
Richtlinie)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.
Gerät
Einstellung/Feld
SD-Karte verbieten
Beschreibung
Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch
Apps.
Copyright © 2018 Sophos Limited 235
Sophos Mobile on Premise
Einstellung/Feld
Unverschlüsseltes Gerät verbieten
Beschreibung
Die Verschlüsselung des internen Speichers ist aktiviert.
Wichtig
Wenn auf einem Gerät die Verschlüsselung des internen Speichers aktiviert ist, können
Sie dies nicht mehr über eine Richtlinie deaktivieren.
Hinweis
Auf dem Gerät muss zuvor BitLocker aktiviert worden sein, damit die Richtlinie angewendet werden kann.
Action-Center-Benachrichtigungen auf dem
Sperrbildschirm verbieten
Auf dem Sperrbildschirm des Gerätes werden keine Action-Center-Benachrichtigungen angezeigt.
Manuelles Hinzufügen von Nicht-Microsoft-E-
Mail-Konten verbieten
Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-
Konten nicht erlauben.
Microsoft-Konto-Verbindung verbieten Das Microsoft-Konto ist das Systemkonto, das für Synchronisierung, Backup und den Store verwendet wird.
Entwicklerfunktionen verbieten
Microsoft Store verbieten
Nativen Browser verbieten
Kamera verbieten
Der Windows-Entwicklermodus ist deaktiviert.
Der Windows-App-Store ist nicht verfügbar.
Der Browser Microsoft Edge ist nicht verfügbar.
Die Datenschutz-Einstellung Apps die
Verwendung meiner Kamera erlauben ist deaktiviert.
236 Copyright © 2018 Sophos Limited
Einstellung/Feld
Telemetriestufe
Sophos Mobile on Premise
Beschreibung
Der Umfang an Diagnose- und Nutzungsdaten, den
Geräte senden dürfen.
Windows 10:
• Vollständig : Alle Daten, die zum Identifizieren und
Beheben von Problemen erforderlich sind.
• Verbessert : Daten zur Nutzung und Leistung von
Windows und Apps.
• Einfach : Daten in begrenztem Umfang, um das
Gerät und seine Konfiguration zu verstehen.
• Deaktiviert (nur Windows Phone 8.1) : Von
Windows 10 nicht unterstützt. Wenn Sie diese
Option wählen, wird Stufe Einfach verwendet.
Hinweis
Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der
Stufe Einfach .
Tipp
Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen
(externer Link) .
Windows Phone 8.1 unterstützt keine unterschiedlichen Telemetriestufen:
• Vollständig , Verbessert , Einfach : Benutzer können Telemetrie aktivieren oder deaktivieren.
• Deaktiviert (nur Windows Phone 8.1) : Es werden keine Telemetriedaten übertragen.
Verschiedenes
Einstellung/Feld
Kopieren und Einfügen verbieten
Cortana verbieten
Als Office-Dateien speichern verbieten
Screenshot verbieten
Teilen von Office-Dateien verbieten
Beschreibung
Die Zwischenablage ist nicht verfügbar.
Cortana ist deaktiviert.
Benutzer können Dateien auf dem Gerät nicht als
Office-Dateien speichern.
Screenshots sind nicht möglich.
Office-Dateien können nicht geteilt werden.
Copyright © 2018 Sophos Limited 237
Sophos Mobile on Premise
Einstellung/Feld
„Einstellungen synchronisieren“ verbieten
Audioaufzeichnungen verbieten
Beschreibung
Geräteeinstellungen können nicht mit anderen
Windows-Geräten synchronisiert werden.
Audioaufzeichnungen sind deaktiviert.
WLAN
Einstellung/Feld
WLAN verbieten
Beschreibung
WLAN-Verbindungen sind deaktiviert.
Tethering verbieten ICS (Internet Connection Sharing) ist deaktiviert.
WLAN-Optimierung (Hotspot-Autoverbindung) verbieten
Das Gerät verbindet sich nicht automatisch mit
WLAN-Hotspots.
Hotspot-Reporting verbieten
Manuelle Konfiguration verbieten
Das Gerät sendet keine Informationen bezüglich
WLAN-Verbindungen.
Benutzer können keine WLAN-Verbindungen konfigurieren. Dies betrifft nicht die von Sophos
Mobile konfigurierten Verbindungen.
Konnektivität
Einstellung/Feld
NFC verbieten
Bluetooth verbieten
USB-Verbindung verbieten
Beschreibung
NFC (Near-Field Communication) ist deaktiviert.
Bluetooth ist deaktiviert.
USB-Verbindungen zwischen dem Gerät und einem Computer zur Synchronisierung von
Dateien oder zur Verwendung von Entwicklertools für die Installation oder das Debugging von Apps sind nicht verfügbar. Dies betrifft nicht das Laden des Geräteakkus über USB.
Roaming und Kosten
Einstellung/Feld
Daten-Roaming verbieten
Beschreibung
Datenverbindungen über fremde Mobilfunknetze sind deaktiviert.
238 Copyright © 2018 Sophos Limited
Einstellung/Feld
VPN über Mobilfunk verbieten
VPN-Roaming über Mobilfunk verbieten
Sophos Mobile on Premise
Beschreibung
VPN-Verbindungen über Mobilfunknetze sind deaktiviert.
VPN-Verbindungen über fremde Mobilfunknetze sind deaktiviert.
Sicherheit und Privatsphäre
Einstellung/Feld
Bing Vision das Speichern von Bildern aus der Suche verbieten
Ortung bei der Suche verbieten
Manuelle Installation von Root-Zertifikaten verbieten
Ortung verbieten
SafeSearch-Einstellung
Beschreibung
Bing Vision speichert nicht die Bilder, die es bei
Suchvorgängen anfertigt.
Für die Suche werden keine
Standortinformationen verwendet.
Benutzer können nicht manuell Root-Zertifikate oder vorläufige CA-Zertifikate installieren.
Alle Datenschutzeinstellungen in der Kategorie
„Standort“ sind deaktiviert. Apps können nicht den
Standortdienst verwenden. Wenn diese Option aktiviert ist, kann auch Sophos Mobile das Gerät nicht orten.
Wählen Sie den Grad der Suchergebnis-Filterung auf den Geräten aus:
• Moderat : Moderates Filtern von erotischen
Inhalten. Gültige Suchergebnisse werden nicht gefiltert.
• Streng : Maximales Filtern von erotischen
Inhalten.
Deregistrierung
Einstellung/Feld
Auf Werkseinstellungen zurücksetzen verbieten
Manuelle MDM-Deregistrierung verbieten
Beschreibung
Benutzer können das Gerät nicht
über die Systemsteuerung oder
über Tastenkombinationen auf den
Auslieferungszustand zurücksetzen.
Benutzer können das Arbeitsplatzkonto nicht löschen.
Copyright © 2018 Sophos Limited 239
Sophos Mobile on Premise
15.23.3 Konfiguration „Exchange-Konto“ (Windows-Mobile-
Richtlinie)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein.
Einstellung/Feld
Kontoname
Exchange-Server
Beschreibung
Der Kontoname.
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
Domäne
Benutzer
E-Mail-Adresse
Kennwort
Synchronisierungszeitraum
Synchronisierungsintervall
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
Das Kennwort für dieses Konto.
Wenn Sie dieses Feld leer lassen, müssen
Benutzer das Kennwort auf ihren Geräten eingeben.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Der zeitliche Abstand zwischen zwei
Synchronisierungsvorgängen.
240 Copyright © 2018 Sophos Limited
Einstellung/Feld
SSL/TLS
Sophos Mobile on Premise
Beschreibung
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Die zu synchronisierenden Inhalte.
Inhalte
15.23.4 Konfiguration „WLAN“ (Windows-Mobile-Richtlinie)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Automatisch verbinden
Unsichtbares Netzwerk
Sicherheitstyp
Proxy
Beschreibung
Geben Sie in diesem Feld die ID des WLAN-
Netzwerks ein.
Die Verbindung wird automatisch hergestellt.
Das Zielnetzwerk ist nicht offen oder ist unsichtbar.
Wählen Sie den Sicherheitstyp aus der Liste aus.
Wenn Sie WPA (privat) oder WPA2 (privat) auswählen, müssen Sie das Kennwort angeben.
Wenn Sie Manuell aus der Liste auswählen, müssen Sie einen Server und einen Port angeben.
15.23.5 Konfiguration „App-Einschränkungen“ (Windows-
Mobile-Richtlinie)
Mit der Konfiguration App-Einschränkungen legen Sie Apps fest, die auf den Geräten erlaubt sind oder blockiert werden.
Einstellung/Feld
Erlaubte Apps
Beschreibung
Enthält eine Liste bestimmter Apps, die vom
Benutzer auf dem Gerät installiert und verwendet werden dürfen. Benutzer können keine Apps installieren oder verwenden, die nicht explizit aufgeführt sind.
Verwenden Sie Erlaubte Apps , wenn die Apps bekannt sind, die erlaubt werden sollen, und alle anderen Apps blockiert werden sollen.
Copyright © 2018 Sophos Limited 241
Sophos Mobile on Premise
Einstellung/Feld
Unzulässige Apps
App-Gruppe
Beschreibung
Enthält eine Liste bestimmter Apps, die vom
Benutzer auf dem Gerät nicht installiert werden dürfen. Benutzer können alle Apps installieren, die nicht explizit aufgeführt sind.
Verwenden Sie Unzulässige Apps , wenn die
Apps bekannt sind, die blockiert werden sollen, und alle anderen Apps erlaubt werden sollen.
Wählen Sie die App-Gruppe aus, welche die
Apps enthält, die erlaubt oder blockiert werden sollen.
Hinweis
Die App-Gruppe muss zuvor erstellt worden sein. Siehe
(Seite 287).
15.23.6 Konfiguration „Root-Zertifikat“ (Windows-Mobile-
Richtlinie)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.23.7 Konfiguration „SCEP“ (Windows-Mobile-Richtlinie)
Mit der Konfiguration SCEP ermöglichen Sie es Geräten, mittels SCEP (Simple Certificate Enrollment
Protocol) Zertifikate von einer CA (Certificate Authority) anzufordern.
Einstellung/Feld
Beschreibung
URL
Beschreibung
Eine Beschreibung der Konfiguration.
Die Webadresse des CA-Servers.
Verwenden Sie die Variable %_SCEPPROXYURL_
% , um auf die Server-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
242 Copyright © 2018 Sophos Limited
Einstellung/Feld
Betreff
Subject Alternative Name
Challenge
Root-Zertifikat
Wiederholungen
Wiederholungsverzögerung
Schlüsselgröße
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Beschreibung
Der Name des Zertifikatempfängers (Entity), zum
Beispiel eine Person oder ein Gerät.
Sie können Platzhalter für Benutzerdaten und
Geräteeigenschaften verwenden.
Der eingegebene Wert - nach Ersetzung der
Platzhalter -, muss ein gültiger Namenswert gemäß
X.500-Standard sein.
Zum Beispiel:
• Geben Sie CN=%_USERNAME_% ein, um einen
Benutzer zu spezifizieren.
• Geben Sie CN=%_DEVPROP(serial_number)_% ein, um ein Gerät zu spezifizieren.
Informationen zu den verfügbaren Platzhaltern
finden Sie in Platzhalter in Profilen und Richtlinien
(Seite 90).
Konfigurieren Sie bei Bedarf einen oder mehrere
Werte für den Subject Alternative Name (SAN).
Klicken Sie auf Hinzufügen und geben Sie anschließend einen SAN-Typ und einen SAN-Wert ein.
Die Webadresse, unter der das Challenge-
Kennwort vom SCEP-Server angefordert wird.
Verwenden Sie die Variable %_CACHALLENGE_
% , um auf die Challenge-URL zu verweisen, die auf der Registerkarte SCEP der Seite
Systemeinstellungen konfiguriert ist.
Das CA-Zertifikat.
Wählen Sie das Zertifikat aus der Liste aus. Die
Liste enthält alle Zertifikate aus Konfigurationen vom Typ Root-Zertifikat im aktuellen Profil.
Die Anzahl an Wiederholungsversuchen, falls der
Server mit dem Status Pending antwortet.
Die Zeit in Sekunden zwischen zwei
Wiederholungsversuchen.
Die Größe des öffentlichen Schlüssels im ausgestellten Zertifikat.
Stellen Sie sicher, dass der Wert mit dem Wert
übereinstimmt, der auf dem SCEP-Server konfiguriert ist.
243
Sophos Mobile on Premise
Einstellung/Feld
Als digitale Signatur verwenden
Für Verschlüsselung verwenden
Hash-Algorithmus
Beschreibung
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel als digitale Signatur verwendet werden.
Wenn Sie dieses Kontrollkästchen aktivieren, kann der öffentliche Schlüssel zur Datenverschlüsselung verwendet werden.
Wählen Sie einen oder mehrere Hash-Algorithmen aus, die vom SCEP-Server unterstützt werden.
Warnhinweis
Wir empfehlen Ihnen, den Algorithmus SHA-1 nicht zu verwenden, da dieser als unsicher gilt.
15.23.8 Konfiguration „IMAP/POP“ (Windows-Mobile-Richtlinie)
Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Gerät hinzu.
Einstellung/Feld
Typ des Accounts
Kontoname
E-Mail-Adresse
Angezeigter Benutzername
Benutzername
Domäne
Kennwort
Beschreibung
Der Typ des E-Mail-Servers für eingehende E-Mails
(entweder IMAP oder POP ).
Der auf dem Gerät angezeigte Name des E-Mail-Kontos.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.
Der für ausgehende E-Mails verwendete Benutzername.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem
Gerät zugewiesen ist.
Der Benutzername für die Verbindung mit dem
Posteingangsserver.
Die Domänenangabe in den Anmeldedaten für den
Posteingangsserver (falls erforderlich).
Das Kennwort für die Verbindung mit dem
Posteingangsserver (falls erforderlich).
244 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Posteingangsserver
Beschreibung
Hostname oder IP-Adresse und Port des
Postausgangsservers.
Format: server name:port number
Den Port müssen Sie nur angeben, wenn es nicht der
Standardport ist:
• 143 (IMAP)
• 993 (IMAP mit SSL)
• 110 (POP3)
• 995 (POP3 mit SSL)
Secure Sockets Layer für eingehende E-Mails verwenden.
SSL/TLS für Posteingangsserver verwenden
Postausgangsserver
SSL/TLS für Postausgangsserver verwenden
Authentisierung für ausgehende
Verbindung erforderlich
Hostname (oder IP-Adresse) und Port des
Postausgangsservers.
Format: server name:port number
Secure Sockets Layer für ausgehende E-Mails verwenden.
Synchronisierungszeitraum
Automatische Synchronisierung
Der Postausgangsserver verlangt eine Benutzer-
Authentisierung.
Es werden dieselben Anmeldedaten wie für den
Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername , Domäne und Kennwort angegeben haben.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Das Intervall für die automatische E-Mail-Synchronisierung.
15.24 Konfigurationen für Windows-Richtlinien
Mit einer Windows-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-Computern, wie zum Beispiel Kennwortrichtlinien, Einschränkungen oder WLAN-Einstellungen.
Informationen zum Erstellen einer Windows-Richtlinie finden Sie in
Profil oder Richtlinie erstellen (Seite
85).
15.24.1 Konfiguration „Kennwortrichtlinien“ (Windows-Richtlinie)
Mit der Konfiguration Kennwortrichtlinien definieren Sie Anforderungen an die Kennwörter von
Windows-Benutzerkonten.
Copyright © 2018 Sophos Limited 245
Sophos Mobile on Premise
Hinweis
Bei Windows-Computern gelten feste Regeln für die Kennwortkomplexität (z.B. Länge, Anzahl von
Groß- oder Kleinbuchstaben), die nicht über eine Richtlinie in Sophos Mobile festgelegt werden
können. Detailinformationen finden Sie unter Komplexitätsregeln für Windows-Kennwörter
(Seite
88).
Hinweis
Kennwortrichtlinien können Windows-Computern nicht zugewiesen werden, wenn beide der folgenden Bedingungen erfüllt sind:
• Neben dem Benutzer, der bei Sophos Mobile registriert ist, sind auf dem Gerät weitere lokale
Benutzer konfiguriert.
• Mindestens einer dieser weiteren Benutzer darf sein Kennwort nicht ändern.
Einstellung/Feld Beschreibung
Maximale Anzahl an Fehlversuchen Die Anzahl fehlgeschlagener Anmeldeversuche mit falschem Kennwort, nach der das Gerät zurückgesetzt wird.
Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
Inaktivitätszeit in Minuten bis zur Abfrage des
Kennworts
Die Zeit (in Minuten), nach der das Gerät gesperrt wird, wenn es nicht benutzt wird. Der Benutzer kann das Gerät entsperren.
Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
Anzahl der letzten Kennwörter, die nicht benutzt werden dürfen
Gültigkeitsdauer des Kennworts in Tagen
Die Anzahl alter Kennwörter, die vom System gespeichert werden. Wenn ein Benutzer ein neues Kennwort festlegt, wird es nicht akzeptiert, falls es mit einem bereits benutzten Kennwort
übereinstimmt.
Geben Sie einen Wert zwischen 1 und 999 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
Die Anzahl an Tagen, nach denen Benutzer ihr
Kennwort ändern müssen.
Geben Sie einen Wert zwischen 1 und 730 ein, oder geben Sie 0 ein, um diese Einschränkung zu deaktivieren.
246 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
15.24.2 Konfiguration „Einschränkungen“ (Windows-Richtlinie)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.
Gerät
Einstellung/Feld Beschreibung
SD-Karte verbieten Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch
Apps.
Manuelles Hinzufügen von Nicht-Microsoft-E-
Mail-Konten verbieten
Hinzufügen aller Arten von E-Mail-Konten sowie von Exchange-, Office 365- und Outlook.com-
Konten nicht erlauben.
Entwicklerfunktionen verbieten
Kamera verbieten
Auto-Ausfüllen in Edge deaktivieren
Edge-F12-Entwicklertools deaktivieren
Edge-Popupblocker deaktivieren
Der Windows-Entwicklermodus ist deaktiviert.
Die Datenschutz-Einstellung Apps die
Verwendung meiner Kamera erlauben ist deaktiviert.
Die Einstellung Formulareinträge speichern im
Webbrowser Edge ist deaktiviert und kann vom
Benutzer nicht aktiviert werden.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.
Die F12-Entwicklertools im Webbrowser Edge sind nicht verfügbar.
Die Einstellung Popups blockieren im
Webbrowser Edge ist deaktiviert und kann vom
Benutzer nicht aktiviert werden.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.
Copyright © 2018 Sophos Limited 247
Sophos Mobile on Premise
Einstellung/Feld
Einstellungen „AutoPlay“ deaktivieren
Einstellungen „Datum und Uhrzeit“ deaktivieren
Einstellungen „Sprachen“ deaktivieren
Einstellungen „Netzbetrieb und
Energiesparen“ deaktivieren
Einstellungen „Region“ deaktivieren
Einstellungen „Anmeldeoptionen“ deaktivieren
Einstellungen „VPN“ deaktivieren
Einstellungen „Arbeitsplatzzugriff“ deaktivieren
Einstellungen „Konten“ deaktivieren
Telemetriestufe
Beschreibung
Die relevanten Bereiche in der Windows-
Systemsteuerung sind nicht verfügbar. Der
Benutzer kann diese Einstellungen nicht ändern, nachdem die Richtlinie dem Gerät zugewiesen wurde.
Hinweis
Einstellungen „AutoPlay“ deaktivieren wirkt sich nicht auf angeschlossene Geräte wie zum Beispiel Mobiltelefone aus.
Der Umfang an Diagnose- und Nutzungsdaten, den
Geräte senden dürfen.
• Vollständig : Alle Daten, die zum Identifizieren und
Beheben von Problemen erforderlich sind.
• Verbessert : Daten zur Nutzung und Leistung von
Windows und Apps.
• Einfach : Daten in begrenztem Umfang, um das
Gerät und seine Konfiguration zu verstehen.
• Sicherheit : Daten, die benötigt werden, um das Gerät mit den neuesten
Sicherheitsaktualisierungen zu schützen.
Hinweis
Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der
Stufen Einfach und Sicherheit .
Tipp
Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen
(externer Link) .
248 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Verschiedenes
Einstellung/Feld
Cortana verbieten
„Einstellungen synchronisieren“ verbieten
Windows-Tipps deaktivieren
Beschreibung
Cortana ist deaktiviert.
Geräteeinstellungen können nicht mit anderen
Windows-Geräten synchronisiert werden.
Die Windows-Einstellung Tipps zu Windows anzeigen ist deaktiviert und nicht verfügbar.
WLAN
Einstellung/Feld
Tethering verbieten
Beschreibung
ICS (Internet Connection Sharing) ist deaktiviert.
WLAN-Optimierung (Hotspot-Autoverbindung) verbieten
Das Gerät verbindet sich nicht automatisch mit
WLAN-Hotspots.
Konnektivität
Einstellung/Feld
Bluetooth verbieten
Beschreibung
Bluetooth ist deaktiviert.
Sicherheit und Privatsphäre
Einstellung/Feld
Ortung bei der Suche verbieten
Beschreibung
Für die Suche werden keine
Standortinformationen verwendet.
Deregistrierung
Einstellung/Feld
Manuelle MDM-Deregistrierung verbieten
Beschreibung
Benutzer können das Arbeitsplatzkonto nicht löschen.
Copyright © 2018 Sophos Limited 249
Sophos Mobile on Premise
15.24.3 Konfiguration „Exchange ActiveSync“ (Windows-
Richtlinie)
Mit der Konfiguration Exchange-Konto richten Sie eine Verbindung zu einem Microsoft Exchange
Server E-Mail-Server ein.
Wichtig
Wenn Sie mehrere Exchange-E-Mail-Konten einrichten, können die Geräte möglicherweise nur E-Mails von einem dieser Konten abrufen. Dies passiert typischerweise, wenn die Konten auf unterschiedlichen Exchange-Servern liegen und auf diesen Servern unterschiedliche
Postfachrichtlinien definiert sind. Da Windows-Computer nur eine einzelne Postfachrichtlinie erzwingen können, schlägt die Verbindung zu Konten fehl, die eine abweichende Richtlinie verwenden.
Hinweis
Wenn Sie Änderungen an der Konfiguration „Exchange-Konto“ machen, fragt Windows die
Benutzer, ob sie die Änderungen annehmen oder ablehnen wollen.
Einstellung/Feld
Kontoname
Exchange-Server
Beschreibung
Der Kontoname.
Die Adresse des Exchange-Servers.
Hinweis
Wenn Sie den EAS-Proxy von Sophos Mobile verwenden, geben Sie die URL des EAS-
Proxy-Servers ein.
Domäne
Benutzer
E-Mail-Adresse
Die Domäne für dieses Konto.
Der Benutzername für dieses Konto.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den jeweiligen Benutzernamen ersetzt.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die jeweilige E-Mail-
Adresse ersetzt.
250 Copyright © 2018 Sophos Limited
Einstellung/Feld
Kennwort
Synchronisierungszeitraum
Synchronisierungsintervall
SSL/TLS
Sophos Mobile on Premise
Beschreibung
Das Kennwort für dieses Konto.
Wenn Sie dieses Feld leer lassen, müssen
Benutzer das Kennwort auf ihren Geräten eingeben.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Der zeitliche Abstand zwischen zwei
Synchronisierungsvorgängen.
Die Verbindung zum Exchange-Server wird mit
SSL oder TLS gesichert (je nachdem, was der
Server unterstützt).
Wir empfehlen, dieses Kontrollkästchen zu aktivieren.
Die zu synchronisierenden Inhalte.
Inhalte
15.24.4 Konfiguration „WLAN“ (Windows-Richtlinie)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Automatisch verbinden
Unsichtbares Netzwerk
Sicherheitstyp
Beschreibung
Geben Sie in diesem Feld die ID des WLAN-
Netzwerks ein.
Die Verbindung wird automatisch hergestellt.
Das Zielnetzwerk ist nicht offen oder ist unsichtbar.
Wählen Sie den Sicherheitstyp aus der Liste aus.
Wenn Sie WPA (privat) oder WPA2 (privat) auswählen, müssen Sie das Kennwort angeben.
15.24.5 Konfiguration „Root-Zertifikat“ (Windows-Richtlinie)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Copyright © 2018 Sophos Limited 251
Sophos Mobile on Premise
Hinweis
Das hier hochgeladene Zertifikat ist nur für diese Richtlinie verfügbar. Wenn Sie Zertifikate in anderen Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
15.24.6 Konfiguration „IMAP/POP“ (Windows-Richtlinie)
Mit der Konfiguration IMAP/POP fügen Sie ein E-Mail-Konto für IMAP oder POP auf dem Windows-
Computer hinzu.
Einstellung/Feld
Typ des Accounts
Kontoname
E-Mail-Adresse
Angezeigter Benutzername
Benutzername
Domäne
Kennwort
Posteingangsserver
SSL/TLS für Posteingangsserver verwenden
Beschreibung
Der Typ des E-Mail-Servers für eingehende E-Mails
(entweder IMAP oder POP ).
Der auf dem Gerät angezeigte Name des E-Mail-Kontos.
Die E-Mail-Adresse des Kontos.
Wenn Sie die Variable %_EMAILADDRESS_% verwenden, wird diese durch die E-Mail-Adresse des Benutzers ersetzt, der dem Gerät zugewiesen ist.
Der für ausgehende E-Mails verwendete Benutzername.
Wenn Sie die Variable %_USERNAME_% verwenden, wird diese durch den Namen des Benutzers ersetzt, der dem
Gerät zugewiesen ist.
Der Benutzername für die Verbindung mit dem
Posteingangsserver.
Die Domänenangabe in den Anmeldedaten für den
Posteingangsserver (falls erforderlich).
Das Kennwort für die Verbindung mit dem
Posteingangsserver (falls erforderlich).
Hostname oder IP-Adresse und Port des
Postausgangsservers.
Format: server name:port number
Den Port müssen Sie nur angeben, wenn es nicht der
Standardport ist:
• 143 (IMAP)
• 993 (IMAP mit SSL)
• 110 (POP3)
• 995 (POP3 mit SSL)
Secure Sockets Layer für eingehende E-Mails verwenden.
252 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Postausgangsserver
Beschreibung
Hostname (oder IP-Adresse) und Port des
Postausgangsservers.
Format: server name:port number
Secure Sockets Layer für ausgehende E-Mails verwenden.
SSL/TLS für Postausgangsserver verwenden
Authentisierung für ausgehende
Verbindung erforderlich
Synchronisierungszeitraum
Automatische Synchronisierung
Der Postausgangsserver verlangt eine Benutzer-
Authentisierung.
Es werden dieselben Anmeldedaten wie für den
Posteingangsserver verwendet, d.h. die Werte, die Sie in den Feldern Benutzername , Domäne und Kennwort angegeben haben.
Der Zeitraum, für den E-Mails synchronisiert werden.
Es werden nur E-Mail-Nachrichten innerhalb dieses
Zeitraums mit dem Posteingang auf den Geräten synchronisiert.
Das Intervall für die automatische E-Mail-Synchronisierung.
15.25 Konfigurationen für Windows-IoT-Richtlinien
Mit einer Windows-IoT-Richtlinie konfigurieren Sie verschiedene Bereiche von Windows-IoT-Geräten, wie zum Beispiel Einschränkungen oder WLAN-Einstellungen.
(Seite 85).
15.25.1 Konfiguration „Einschränkungen“ (Windows-IoT-
Richtlinie)
Mit der Konfiguration Einschränkungen definieren Sie Einschränkungen für Geräte.
Gerät
Einstellung/Feld
SD-Karte verbieten
Entwicklerfunktionen verbieten
Beschreibung
Benutzer können nicht auf die SD-Karte zugreifen. Dies betrifft nicht den Zugriff durch
Apps.
Der Windows-Entwicklermodus ist deaktiviert.
Copyright © 2018 Sophos Limited 253
Sophos Mobile on Premise
Einstellung/Feld
Kamera verbieten
Auto-Ausfüllen in Edge deaktivieren
Edge-Popupblocker deaktivieren
Telemetriestufe
Beschreibung
Die Datenschutz-Einstellung Apps die
Verwendung meiner Kamera erlauben ist deaktiviert.
Die Einstellung Formulareinträge speichern im
Webbrowser Edge ist deaktiviert und kann vom
Benutzer nicht aktiviert werden.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.
Die Einstellung Popups blockieren im
Webbrowser Edge ist deaktiviert und kann vom
Benutzer nicht aktiviert werden.
Wenn das Kontrollkästchen deaktiviert ist, ist die
Einstellung aktiviert und kann vom Benutzer nicht deaktiviert werden.
Der Umfang an Diagnose- und Nutzungsdaten, den
Geräte senden dürfen.
• Vollständig : Alle Daten, die zum Identifizieren und
Beheben von Problemen erforderlich sind.
• Verbessert : Daten zur Nutzung und Leistung von
Windows und Apps.
• Einfach : Daten in begrenztem Umfang, um das
Gerät und seine Konfiguration zu verstehen.
• Sicherheit : Daten, die benötigt werden, um das Gerät mit den neuesten
Sicherheitsaktualisierungen zu schützen.
Hinweis
Die Stufen sind von unten nach oben kumulativ, z.B. beinhaltet Verbessert auch alle Daten der
Stufen Einfach und Sicherheit .
Tipp
Detaillierte Informationen zu den Telemetriestufen finden Sie im Microsoft-Artikel Konfigurieren der Windows-Telemetrie in Ihrem Unternehmen
(externer Link) .
254
WLAN
Einstellung/Feld
Tethering verbieten
Beschreibung
ICS (Internet Connection Sharing) ist deaktiviert.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld Beschreibung
WLAN-Optimierung (Hotspot-Autoverbindung) verbieten
Das Gerät verbindet sich nicht automatisch mit
WLAN-Hotspots.
Konnektivität
Einstellung/Feld
Bluetooth verbieten
Beschreibung
Bluetooth ist deaktiviert.
15.25.2 Konfiguration „WLAN“ (Windows-IoT-Richtlinie)
Mit der Konfiguration WLAN legen Sie Einstellungen für die Verbindung mit WLAN-Netzwerken fest.
Einstellung/Feld
SSID
Automatisch verbinden
Unsichtbares Netzwerk
Sicherheitstyp
Beschreibung
Geben Sie in diesem Feld die ID des WLAN-
Netzwerks ein.
Die Verbindung wird automatisch hergestellt.
Das Zielnetzwerk ist nicht offen oder ist unsichtbar.
Wählen Sie den Sicherheitstyp aus der Liste aus.
Wenn Sie WPA (privat) oder WPA2 (privat) auswählen, müssen Sie das Kennwort angeben.
15.25.3 Konfiguration „Root-Zertifikat“ (Windows-IoT-Richtlinie)
Mit der Konfiguration Root-Zertifikat installieren Sie ein Root-Zertifikat auf Geräten.
Navigieren Sie im Feld Datei zu dem relevanten Zertifikat und klicken Sie auf Datei hochladen .
Der Name des Zertifikats wird im Feld Zertifikatsname angezeigt. Geben Sie das Kennwort für das ausgewählte Zertifikat ein.
Hinweis
Das hier hochgeladene Zertifikat ist nur für dieses Profil verfügbar. Wenn Sie Zertifikate in anderen
Profilen oder Richtlinien benötigen, müssen Sie diese erneut hochladen.
Copyright © 2018 Sophos Limited 255
Sophos Mobile on Premise
16 Auftragspakete
Mit Auftragspaketen können Sie mehrere Aufträge in einer Transaktion bündeln. Somit können Sie alle
Aufträge bündeln, die für die Registrierung und Konfiguration eines Gerätes notwendig sind:
• Gerät registrieren.
• Erforderliche Richtlinien anwenden.
• Erforderliche Apps installieren (zum Beispiel verwaltete Apps bei iOS-Geräten).
• Erforderliche Profile anwenden.
Sie können auch Wipe-Befehle in Auftragspakete einbeziehen, um Geräte, die gegen Compliance-
Regeln verstoßen (zum Beispiel Geräte mit Jailbreak oder gerootete Geräte), auf den
Auslieferungszustand zurückzusetzen. Weitere Informationen finden Sie in Compliance-Richtlinien
(Seite 43).
Auftragspakete sind für die folgenden Plattformen verfügbar:
• Android
• iOS
• macOS
• Windows
16.1 Auftragspakete erstellen
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf die Plattform, für die Sie ein Auftragspaket erstellen wollen.
2. Klicken Sie auf der Seite Auftragspakete auf Auftragspaket erstellen .
Die Seite Auftragspaket bearbeiten wird angezeigt.
3. Geben Sie in den jeweiligen Feldern einen Namen und optional eine Beschreibung für das neue
Auftragspaket ein.
Die Version wird beim Speichern des Auftragspakets jedes Mal automatisch erhöht.
4. Optional: Wenn Sie Auswählbar als Compliance-Aktion auswählen, kann das Auftragspaket auf
Geräte übertragen werden, die eine Compliance-Regel verletzen. Siehe Compliance-Richtlinien
(Seite 43).
Hinweis
Diese Option ist deaktiviert, wenn Sie ein vorhandenes Auftragspaket bearbeiten, das bereits als Compliance-Aktion verwendet wird.
5. Optional: Für iOS-Auftragspakete wählen Sie Fehlgeschlagene App-Installationen ignorieren aus, damit die Verarbeitung des Auftragspakets nicht abgebrochen wird, wenn eine App-Installation fehlschlägt.
Diese Option ist deaktiviert, wenn das Auftragspaket keinen Auftrag vom Typ App installieren enthält.
6. Klicken Sie auf Auftrag erstellen .
7. Wählen Sie den Auftragstyp und klicken Sie auf Weiter .
256 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Die nächste Ansicht hängt vom gewählten Auftragstyp ab. In jeder Ansicht können Sie eigene aussagekräftige Auftragsnamen angeben. Diese Auftragsnamen werden während der Installation im Self Service Portal angezeigt.
8. Folgen Sie den Schritten im Assistent, um den gewünschten Auftrag hinzuzufügen. Klicken Sie auf
Anwenden , um den Auftrag zu erstellen.
9. Optional: Fügen Sie weitere Aufgaben zu dem Auftragspaket hinzu.
Hinweis
In Android-Auftragspaketen können Sie nicht gleichzeitig Android- und Android-Enterprise-
Aufträge verwenden. Zum Beispiel können Sie im selben Auftragspaket nicht sowohl ein
Android-Geräteprofil als auch eine berufliche Android-App installieren.
Tipp
Mit den Sortier-Pfeilsymbolen auf der rechten Seite der Auftragsliste können Sie die
Installationsreihenfolge für die Aufträge festlegen.
10. Wenn Sie alle erforderlichen Aufträge zum Auftragspaket hinzugefügt haben, klicken Sie auf der
Seite Auftragspaket bearbeiten auf Speichern .
Das Auftragspaket steht für die Übertragung zur Verfügung. Es wird auf der Seite Auftragspakete angezeigt.
Hinweis
Wenn Sie ein vorhandenes Auftragspaket bearbeiten, das als Einrichtungspaket in den Self
Service Portal-Einstellungen verwendet wird, kann der Einrichtungsauftrag nicht gelöscht werden.
Siehe
Einstellungen für das Self Service Portal konfigurieren
(Seite 24).
Zugehörige Konzepte
Verfügbare Auftragstypen für Android (Seite 257)
Verfügbare Auftragstypen für iOS
(Seite 261)
Verfügbare Auftragstypen für macOS
(Seite 264)
Verfügbare Auftragstypen für Windows
(Seite 265)
16.2 Verfügbare Auftragstypen für Android
Für Android-Auftragspakete sind die folgenden Auftragstypen verfügbar:
Registrieren
Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-
Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.
Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-E-
Mail gesendet.
Copyright © 2018 Sophos Limited 257
Sophos Mobile on Premise
258
Sophos-Container registrieren
Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-
Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.
Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-E-
Mail gesendet.
Profil installieren
Wählen Sie aus der Liste der verfügbaren Profile und Richtlinien ein Profil oder eine Richtlinie aus.
Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in
Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne
Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.
Profil deinstallieren
Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.
Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.
Sie können auch Profile deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten deinstallieren wollen.
Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.
Hinweis
Eine Sophos-Container-Richtlinie oder eine Mobile-Security-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden. Verwenden Sie stattdessen die Geräteaktion Sophos-Container deregistrieren bzw. SMSec deregistrieren . Dadurch wird auch die jeweils zugehörige Richtlinie vom Gerät entfernt.
App installieren
Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser
Liste hinzufügen, finden Sie in
Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine
Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf
OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt , um nach Ablauf einer kurzen
Zeitspanne erneut aufgefordert zu werden.
Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der
Auftrag fehl.
Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Berufliche Android-App installieren
Dieser Auftragstyp ist verfügbar, wenn Sie Android Enterprise für den Kunden konfiguriert haben.
Wählen Sie eine App aus der Liste der verfügbaren beruflichen Apps aus. Informationen, wie Sie Apps zu dieser Liste hinzufügen, finden Sie in
(Seite 304).
Der Installationsauftrag wird an Google gesendet. Die eigentliche Installation der App auf dem Gerät wird von Google verwaltet. Auf der Seite Auftragsstatus wird der Auftrag mit Status erfolgreich angezeigt, sobald er an Google gesendet wurde.
Alternativ können Sie berufliche Apps auch über die Seite Berufliche Android-Apps installieren.
Siehe Berufliche App installieren
(Seite 306).
Informationen, wie Sie berufliche Apps von Geräten deinstallieren, finden Sie in
Berufliche Apps deinstallieren (Seite 307).
App entfernen
Wählen Sie unter Quelle auswählen den Eintrag Apps , um aus der Liste der verfügbaren Apps eine
App auszuwählen, die entfernt werden soll.
Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen Android-System-Apps und vom Gerätehersteller vorinstallierte Apps.
Sie können auch Apps entfernen, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend den Paketnamen der App ein, die Sie von Geräten entfernen wollen. Wenn
Sie Knox-Container-App auswählen, wird die App aus dem Samsung-Knox-Container entfernt.
Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine
Benachrichtigung darüber, dass Sophos Mobile eine App entfernen möchte. Benutzer können auf
OK tippen, um die Installation durchzuführen, oder auf Nicht jetzt , um nach Ablauf einer kurzen
Zeitspanne erneut aufgefordert zu werden.
Falls Benutzer auf OK tippen, aber dann im nächsten Schritt auf Abbrechen tippen, schlägt der
Auftrag fehl.
Falls die App nicht auf einem Gerät installiert ist, das den Auftrag erhält, wird keine Benachrichtigung angezeigt.
Nachricht senden
Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.
Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem Benachrichtigungsfenster angezeigt. Benutzer können frühere Nachrichten auf der Seite Nachrichten der App Sophos Mobile
Control anzeigen.
Deregistrieren
Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe
(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
Copyright © 2018 Sophos Limited 259
Sophos Mobile on Premise
Zurücksetzen
Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.
Wichtig
Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.
Hinweis
Wenn ein Auftrag vom Typ Zurücksetzen an ein Gerät übertragen wird, das bei Sophos Mobile mit dem Android-Enterprise-Modus „Profilbesitzer“ registriert ist, werden nur das Arbeitsprofil und alle beruflichen Apps entfernt.
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
Knox-Container: sperren
Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der
Knox-Container gesperrt.
Knox-Container: entsperren
Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der
Knox-Container entsperrt.
Knox-Container: Kennwort zurücksetzen
Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird das
Knox-Container-Kennwort zurückgesetzt. Benutzer müssen ein neues Kennwort festlegen, um den
Knox-Container zu entsperren.
Knox-Container: entfernen
Wenn der Auftrag an ein Samsung-Gerät übertragen wird, das Samsung Knox unterstützt, wird der
Knox-Container (inklusive aller zugehörigen Einstellungen) entfernt.
SMSec-Scan auslösen
Wenn der Auftrag an Geräte übertragen wird, wird die App Sophos Mobile Security stillschweigend angewiesen, das Gerät auf Malware und PUAs (Potentally Unwanted Apps) zu scannen.
260 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Dieser Auftrag kann nur ausgeführt werden, wenn Sophos Mobile Security von Sophos Mobile
verwaltet wird, d.h., wenn dem Gerät eine Mobile-Security-Richtlinie zugewiesen ist. Siehe Sophos
(Seite 325).
Falls der Auftrag an ein Gerät übertragen wird, auf dem Sophos Mobile Security nicht von Sophos
Mobile verwaltet wird, d.h., wenn dem Gerät keine Mobile-Security-Richtlinie zugewiesen ist, verbleibt der Auftrag im Status Wiederholung geplant.
16.3 Verfügbare Auftragstypen für iOS
Für iOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:
Registrieren
Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-
Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.
Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-E-
Mail gesendet.
Sophos-Container registrieren
Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-
Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.
Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-E-
Mail gesendet.
Profil installieren
Wählen Sie aus der Liste der verfügbaren Profile und Richtlinien ein Profil oder eine Richtlinie aus.
Informationen, wie Sie Profile oder Richtlinien zu dieser Liste hinzufügen, finden Sie in
Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend installiert, d.h. ohne
Benutzerinteraktion, bzw. die Richtlinie wird stillschweigend zugewiesen.
Profil deinstallieren
Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein Profil aus der Liste aus.
Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.
Sie können auch Profile deinstallieren, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten deinstallieren wollen.
Wenn der Auftrag an Geräte übertragen wird, wird das Profil stillschweigend deinstalliert.
Copyright © 2018 Sophos Limited 261
Sophos Mobile on Premise
Hinweis
Eine Sophos-Container-Richtlinie kann nicht auf diese Weise von Geräten deinstalliert werden.
Verwenden Sie stattdessen die Geräteaktion Sophos-Container deregistrieren . Dadurch wird auch die zugehörige Richtlinie vom Gerät entfernt.
Provisionierungsprofil installieren
Wählen Sie ein App-Provisionierungsprofil aus der Liste der verfügbaren Profile aus. Informationen,
Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend installiert.
Provisionierungsprofil deinstallieren
Wählen Sie unter Quelle auswählen den Eintrag Profile und wählen Sie anschließend ein
Provisionierungsprofil aus der Liste aus.
Neben den Profilen, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Profile angezeigt, die auf einem verwalteten Gerät in Verwendung sind.
Sie können auch Provisionierungsprofile entfernen, die nicht in der Liste enthalten sind. Wählen
Sie Kennung aus und geben Sie anschließend die Kennung eines Profils ein, das Sie von Geräten entfernen wollen.
Wenn der Auftrag an Geräte übertragen wird, wird das Provisionierungsprofil stillschweigend entfernt.
SMC-App neu konfigurieren
Wenn der Auftrag an ein Gerät übertragen wird, wird der Benutzer aufgefordert, einen QR-Code zu scannen oder Konfigurationsdetails manuell einzugeben. Dadurch wird eine zuvor deinstallierte App
Sophos Mobile Control wieder mit dem Server verbunden.
Hinweis
Sie sollten vor diesem Auftrag einen Auftrag App installieren für die App Sophos Mobile Control ausführen.
262
App installieren
Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser
Liste hinzufügen, finden Sie in
Wenn der Auftrag an Geräte übertragen wird, erhalten die Benutzer auf ihren Geräten eine
Benachrichtigung darüber, dass Sophos Mobile eine App installieren möchte. Benutzer können auf Installieren tippen, um die Installation durchzuführen, oder auf Abbrechen , um die Installation abzulehnen.
Falls Benutzer die Installation ablehnen, schlägt der Auftrag fehl.
Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
App entfernen
Wählen Sie unter Quelle auswählen den Eintrag Apps , um aus der Liste der verfügbaren Apps eine
App auszuwählen, die entfernt werden soll.
Neben den Apps, die auf dem Sophos Mobile Server verfügbar sind, werden in der Liste auch Apps angezeigt, die auf einem verwalteten Gerät in Verwendung sind - ausgenommen iOS-System-Apps.
Sie können auch Apps entfernen, die nicht in der Liste enthalten sind. Wählen Sie Kennung aus und geben Sie anschließend die Bundle-ID der App ein, die Sie von Geräten entfernen wollen.
Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend entfernt.
Letzte iOS-Aktualisierung installieren
Wenn der Auftrag an Geräte übertragen wird, wird die neueste verfügbare Aktualisierung für iOS installiert. Abhängig vom Gerätemodell können verschiedene Aktualisierungen installiert werden.
Auf folgenden Geräten können Sie eine iOS-Aktualisierung durchführen:
• Betreute Geräte mit iOS 10.3 oder höher
• Betreute Apple-DEP-Geräte
Bei anderen Geräten schlägt der Auftrag fehl.
Nachricht senden
Geben Sie einen Text ein, der auf den Geräten angezeigt werden soll.
Wenn der Auftrag an Geräte übertragen wird, wird der Hinweistext in einem Benachrichtigungsfenster angezeigt. Benutzer können frühere Nachrichten auf der Seite Nachrichten der App Sophos Mobile
Control anzeigen.
Deregistrieren
Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe
(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
Zurücksetzen
Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.
Wichtig
Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.
Copyright © 2018 Sophos Limited 263
Sophos Mobile on Premise
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
16.4 Verfügbare Auftragstypen für macOS
Für macOS-Auftragspakete sind die folgenden Auftragstypen verfügbar:
Registrieren
Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-
Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.
Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-E-
Mail gesendet.
Geräterichtlinie zuweisen
Wählen Sie aus der Liste der verfügbaren macOS-Geräterichtlinien eine Richtlinie aus. Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in
Profile und Richtlinien (Seite 85).
Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.
Benutzerrichtlinie zuweisen
Wählen Sie aus der Liste der verfügbaren macOS-Benutzerrichtlinien eine Richtlinie aus.
Informationen, wie Sie Richtlinien zu dieser Liste hinzufügen, finden Sie in
Profile und Richtlinien (Seite
85).
Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Benutzerrichtlinie zugewiesen ist, wird diese ersetzt.
Benutzerrichtlinien werden auf Benutzer angewendet, wenn sich diese das nächste Mal am Mac anmelden.
Deregistrieren
Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe
(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
Zurücksetzen
Legen Sie eine 6-stellige PIN für die Systemsperre fest.
Wenn der Auftrag an einen Mac übertragen wird, startet macOS neu und beginnt damit, die Festplatte zu löschen. Der Benutzer muss die PIN eingeben, um den Mac zu entsperren.
264 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
Wichtig
Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.
Tipp
In Sophos Mobile Admin wird die PIN für die macOS-Systemsperre auf der Geräteseite unter
Geräteeigenschaften > Unlock passcode angezeigt, sowie auf der Seite Auftragsdetails unter
Sperr-PIN .
16.5 Verfügbare Auftragstypen für Windows
Für Windows-Auftragspakete sind die folgenden Auftragstypen verfügbar:
Registrieren
Wenn der Auftrag an Geräte übertragen wird, wird eine Registrierungs-E-Mail an die E-Mail-
Adressen gesendet, die für die einzelnen Geräte konfiguriert sind. Benutzer müssen die in der E-Mail beschriebenen Schritte ausführen, um ihr Gerät zu registrieren.
Wenn der Auftrag an ein Gerät übertragen wird, das bereits registriert ist, wird keine Registrierungs-E-
Mail gesendet.
Richtlinie zuweisen
Wählen Sie aus der Liste der verfügbaren Geräterichtlinien eine Richtlinie aus. Informationen, wie Sie
Richtlinien zu dieser Liste hinzufügen, finden Sie in Profile und Richtlinien
(Seite 85).
Wenn der Auftrag an Geräte übertragen wird, wird die Richtlinie dem Gerät stillschweigend zugewiesen. Wenn bereits eine Geräterichtlinie zugewiesen ist, wird diese ersetzt.
App installieren
Wählen Sie eine App aus der Liste der verfügbaren Apps aus. Informationen, wie Sie Apps zu dieser
Liste hinzufügen, finden Sie in
Wenn der Auftrag an Geräte übertragen wird, wird die App stillschweigend installiert.
Falls die App bereits auf einem Gerät installiert ist, das den Auftrag erhält, wird sie aktualisiert.
App entfernen
Wählen Sie eine App aus, die entfernt werden soll.
Copyright © 2018 Sophos Limited 265
Sophos Mobile on Premise
Die Liste verfügbarer Apps enthält Apps, die Sie am Sophos Mobile Server konfiguriert haben und
Apps, die auf mindestens einem der verwalteten Windows-Computer installiert sind - ausgenommen
Windows-System-Apps.
Wenn der Auftrag an Geräte übertragen wird, wird die ausgewählte App stillschweigend entfernt.
Hinweis
Sie können nur Apps entfernen, die von Sophos Mobile installiert wurden. Wenn Sie versuchen, eine vom Benutzer installierte App zu entfernen, schlägt der Auftrag fehl.
266
Deregistrieren
Wenn der Auftrag an Geräte übertragen wird, werden diese bei Sophos Mobile deregistriert. Siehe
(Seite 61). Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
Zurücksetzen
Wenn der Auftrag an Geräte übertragen wird, werden diese auf den Auslieferungszustand zurückgesetzt. Die Gerätebenutzer müssen dem Vorgang nicht zustimmen.
Wichtig
Verwenden Sie diesen Auftragstyp mit Bedacht. Auf den Geräten, die den Auftrag erhalten, werden sämtliche Daten ohne Benutzerzustimmung gelöscht.
Sie können die Auftragstypen Deregistrieren und Zurücksetzen nicht im selben Auftragspaket verwenden.
16.6 Auftragspakete duplizieren
Da das Erstellen eines Auftragspakets zeitaufwändig sein kann, können Sie bereits vorhandene
Auftragspakete duplizieren. Diese Funktion ist hilfreich, wenn mehrere umfangreiche Auftragspakete mit ähnlichen Aufträgen erforderlich sind. Es müssen dann nur wenige Aufträge gelöscht oder hinzugefügt werden.
Hinweis
Sie können Auftragspakete nur dann duplizieren, wenn sie nicht gleichzeitig bearbeitet werden.
Die Kopien werden mit „Copy of“ und dem Namen des Originalprofils benannt. Sie können die
Namen der Pakete nach Ihren Anforderungen ändern.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf
Android oder iOS .
Die Seite Auftragspakete wird angezeigt.
2. Klicken Sie auf das blaue Dreieck neben dem Auftragspaket, das Sie duplizieren möchten, und anschließend auf Duplizieren .
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Das Auftragspaket wird dupliziert und auf der Seite Auftragspakete angezeigt. Sie können das duplizierte Auftragspaket nun bearbeiten. Um das Auftragspaket zu bearbeiten, klicken Sie auf das daneben stehende blaue Dreieck und dann auf Bearbeiten .
16.7 Auftragspakete an einzelne Geräte oder
Gerätegruppen übertragen
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Auftragspakete und anschließend auf
Android oder iOS .
Die Seite Auftragspakete wird angezeigt.
2. Klicken Sie auf das blaue Dreieck neben dem betreffenden Auftrag und anschließend auf
Übertragen .
Die Seite Geräte auswählen wird angezeigt.
3. Auf dieser Seite können Sie folgende Aufgaben durchführen:
• Wählen Sie einzelne Geräte aus, an die das Auftragspaket übertragen werden soll.
• Klicken Sie auf Gerätegruppen auswählen , um die Seite Gerätegruppen auswählen zu öffnen. Wählen Sie dann eine oder mehrere Gerätegruppen für die Übertragung des
Auftragspakets aus.
4. Wenn Sie Ihre Auswahl getroffen haben, klicken Sie auf Weiter .
Die Seite Ausführungszeit wählen wird angezeigt.
5. Wählen Sie unter Datum die Option Sofort oder geben Sie ein Datum und eine Uhrzeit für die
Ausführung dieses Auftrags an.
6. Klicken Sie auf Fertigstellen .
Die Seite Auftragsstatus wird angezeigt.
Das Auftragspaket wird zum angegebenen Zeitpunkt auf die ausgewählten Geräte übertragen.
Copyright © 2018 Sophos Limited 267
Sophos Mobile on Premise
17 Apps
Sie konfigurieren Apps, damit diese mit Sophos Mobile Admin (Administrator-initiiert) oder mit der App
Sophos Mobile Control (Benutzer-initiiert) installiert werden können.
Die Verwaltung von Apps ist für die folgenden Plattformen verfügbar:
• Android
• iOS
• Windows Mobile
Sie haben folgende Möglichkeiten, eine App in Sophos Mobile verfügbar zu machen:
• Das App-Paket auf den Sophos Mobile Server hochladen. Diese Option ist nicht verfügbar für
Windows-Mobile-Apps und für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.
• Einen Link zu der App im jeweiligen App Store angeben.
Eine Beschreibung beider Arten finden Sie im Abschnitt Apps hinzufügen (Seite 268).
Um eine App auf einem Gerät zu installieren, erstellen Sie ein Auftragspaket, das einen Auftrag App installieren enthält. Für Android- und iOS-Geräte können Sie ein solches Auftragspaket direkt auf der
Seite Apps
erstellen. Siehe App installieren (Seite 269).
Hinweis
Damit App-Pakete, die auf dem Sophos Mobile Server gespeichert sind, installiert werden können, im Gegensatz zur Installation aus dem jeweiligen App-Store, müssen die folgenden Bedingungen erfüllt sein:
• Android: Auf den Geräten muss die Android-Sicherheitseinstellung Unbekannte Herkunft aktiviert sein. Falls Unbekannte Herkunft deaktiviert ist während Sie versuchen, eine APK-
Datei zu installieren, erhalten die Benutzer von der App Sophos Mobile Control einen Hinweis, wie sie diese Einstellung aktivieren können. Diese Einschränkung gilt nicht für Geräte mit LG
GATE, Samsung Knox oder Sony Enterprise API.
• iOS: Die App-Installation über IPA-Dateien ist nur für selbstentwickelte Apps möglich. Wenn die App fertiggestellt ist und verteilt werden kann, müssen Sie ein Provisionierungsprofil für die App erstellen dieses auf den Geräten verfügbar machen, entweder, indem Sie es vorab separat installieren, oder, indem Sie es in die IPA-Datei der App integrieren. Sie können
Sophos Mobile verwenden, um Provisionierungsprofile an Ihre iOS-Geräte zu verteilen. Siehe
Provisionierungsprofile für iOS-Apps importieren
(Seite 87). Details zu Provisionierungsprofilen finden Sie in der iOS Developer Library.
268
17.1 Apps hinzufügen
Sie stellen eine App für die Installation zur Verfügung, indem Sie entweder das App-Paket hochladen oder den App-Link im jeweiligen App Store angeben.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die
Plattform, für die Sie die App hinzufügen wollen.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
2. Klicken Sie auf App hinzufügen und wählen Sie anschließend die gewünschte Option aus:
• Android-Paket : Hinzufügen einer Android-App durch Hochladen der APK-Datei zu Sophos
Mobile.
• iOS-Paket : Hinzufügen einer iOS-App durch Hochladen der IPA-Datei zu Sophos Mobile.
• Android-Link : Hinzufügen einer Android-App durch Verlinken zu Google Play.
• iOS-Link : Hinzufügen einer iOS-App durch Verlinken zum App Store.
• Windows-Mobile-Link : Hinzufügen einer Windows-Mobile-App durch Verlinken zum Microsoft
Store.
• Windows-MSI-Link : Hinzufügen einer Windows-App durch Verlinken zur MSI-
Installationsdatei.
• Microsoft-Store-Link : Hinzufügen einer Windows-App durch Verlinken zum Microsoft Store.
3. Konfigurieren Sie die gewünschten App-Einstellungen.
4. Klicken Sie auf Speichern , um die App-Einstellungen zu speichern und zur Seite Apps zurückzukehren.
Die App steht für die Installation zur Verfügung. Sie wird auf der Seite Apps angezeigt. Falls Sie das
Feld Verfügbar für Gerätegruppen konfiguriert haben, wird die App auch im Enterprise App Store der
App Sophos Mobile Control angezeigt und kann von dort von den Benutzern installiert werden. Der
Installationsvorgang läuft ohne oder nur mit sehr geringer Benutzerinteraktion.
Hinweis
Auf Geräten, auf denen Sophos Mobile nur den Sophos-Container verwaltet, sind keine Apps verfügbar, die Sie durch Hochladen der APK-Datei (für Android) bzw. der IPA-Datei (für iOS) hinzugefügt haben.
Zugehörige Referenzinformationen
(Seite 272)
(Seite 273)
App-Einstellungen (Windows Mobile) (Seite 275)
(Seite 276)
17.2 App installieren
Hinweis
Dieser Abschnitt gilt nicht für berufliche Android-Apps. Zur Installation von beruflichen Apps siehe
(Seite 306).
Hinweis
Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.
Eine App, die Sie wie in Apps hinzufügen
(Seite 268) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell auf ausgewählten Geräten oder Gerätegruppen installieren.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die
Plattform, für die Sie eine App installieren wollen.
Copyright © 2018 Sophos Limited 269
Sophos Mobile on Premise
2. Klicken Sie auf der Seite Apps auf das blaue Dreieck neben der gewünschten App und anschließend auf Installieren .
3. Wählen Sie die Geräte aus, auf denen Sie die App installieren wollen. Gehen Sie auf eine der folgenden Weisen vor:
• Wählen Sie einzelne Geräte aus.
• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere
Gerätegruppen aus.
Wenn Sie fertig sind, klicken Sie auf Weiter .
4. Geben Sie auf der Seite Ausführungszeit wählen den Zeitpunkt an, zu dem die App installiert wird:
• Für eine sofortige Ausführung wählen Sie Sofort aus.
• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und
Uhrzeit ein.
5. Klicken Sie auf Fertigstellen .
Die ausgewählte App wird zum festgelegten Zeitpunkt auf den ausgewählten Geräten installiert.
Hinweis
Auf folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, installiert:
• Betreute iOS-Geräte
• Android-Geräte mit Samsung Knox Standard SDK 5.1 oder höher
• Android-Geräte mit LG GATE
• Android-Geräte mit Sony Enterprise API version 8 oder höher
• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.
Tipp
Der Status des Installationsauftrags wird auf der Seite Auftragsstatus angezeigt.
Tipp
Sie können eine App auch folgendermaßen installieren:
• Um eine App auf einem einzelnen Gerät zu installieren: Öffnen Sie auf der Seite Gerät anzeigen des Gerätes die Registerkarte Installierte Apps und klicken Sie auf App installieren .
• Um eine App auf mehreren Geräten zu installieren: Wählen Sie auf der Seite Geräte die gewünschten Geräte aus und klicken Sie anschließend auf Aktionen > App installieren .
• Um eine App auf einem oder mehreren Geräten als Teil eines Auftragspakets zu installieren:
Fügen Sie dem Auftragspaket einen Auftrag App installieren hinzu und und übertragen Sie es an die gewünschten Geräte oder Gerätegruppen.
270 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
17.3 App deinstallieren
Hinweis
Dieser Abschnitt gilt nicht für berufliche Android-Apps. Zur Deinstallation von beruflichen Apps
siehe Berufliche Apps deinstallieren (Seite 307).
Hinweis
Dieser Abschnitt gilt nicht für Geräte, auf denen Sophos Mobile nur den Sophos-Container verwaltet.
Eine App, die Sie wie in Apps hinzufügen
(Seite 268) beschrieben zu Sophos Mobile hinzugefügt haben, können Sie manuell von ausgewählten Geräten oder Gerätegruppen deinstallieren.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps und anschließend auf die
Plattform, für die Sie eine App deinstallieren wollen.
2. Klicken Sie auf der Seite Apps auf Deinstallieren .
3. Wählen Sie die Geräte aus, von denen Sie die App deinstallieren wollen. Gehen Sie auf eine der folgenden Weisen vor:
• Wählen Sie einzelne Geräte aus.
• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere
Gerätegruppen aus.
Wenn Sie fertig sind, klicken Sie auf Weiter .
4. Wählen Sie auf der Seite App auswählen die gewünschte App aus.
5. Geben Sie auf der Seite Ausführungszeit wählen den Zeitpunkt an, zu dem die App deinstalliert wird:
• Für eine sofortige Ausführung wählen Sie Sofort aus.
• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und
Uhrzeit ein.
6. Klicken Sie auf Fertigstellen .
Die ausgewählte App wird zum festgelegten Zeitpunkt von den ausgewählten Geräten deinstalliert.
Hinweis
Von folgenden Geräten werden verwaltete Apps stillschweigend, d.h. ohne Benutzer-Interaktion, deinstalliert:
• Verwaltete Apps auf betreuten iOS-Geräten
• Windows-Computer, wenn Sie für die App die Installationsoption /quiet konfiguriert haben.
Copyright © 2018 Sophos Limited 271
Sophos Mobile on Premise
Tipp
Alternativ können Sie mit der folgenden Methode eine App von einem einzelnen Gerät deinstallieren: Öffnen Sie die Seite Gerät anzeigen für das gewünschte Gerät, wechseln Sie auf die Registerkarte Installierte Apps und klicken Sie auf das Mülleimer-Symbol neben dem App-
Namen.
17.4 App-Einstellungen (Android)
Allgemeine Einstellungen
Einstellung/Feld
Name
Version
Kennung
App-Kategorie
Verfügbar für Gerätegruppen
Beschreibung
Beschreibung
Eine Bezeichnung der App.
Für App-Pakete: Die Version, die im Enterprise
App Store angezeigt wird.
Für App-Links: Sophos Mobile verwendet die
Version aus Google Play.
Die interne Kennung der App.
Lassen Sie dieses Feld leer, falls Sie die genaue
App-Kennung nicht kennen. In den meisten
Fällen kann Sophos Mobile den Wert aus der App ermitteln und füllt dieses Feld automatisch aus.
Eine Kategorie, zum Beispiel Produktivität .
Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem
Abschnitt mit diesem Titel aufgeführt.
Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom
Benutzer initiiert werden kann. Klicken Sie auf
Anzeigen und wählen Sie eine oder mehrere
Gerätegruppen aus, für welche die App im
Enterprise App Store aufgeführt wird.
Die App-Beschreibung, die im Enterprise App
Store angezeigt wird.
Innerhalb Ihres Beschreibungstextes können Sie den Platzhalter %_appstoretext_% verwenden.
Im Enterprise App Store wird dann die jeweilige
App-Beschreibung aus Google Play angezeigt.
272 Copyright © 2018 Sophos Limited
Einstellung/Feld
In Knox-Container installieren
Sophos Mobile on Premise
Beschreibung
Für Samsung-Knox-Geräte wird die App im Knox-
Container installiert.
Diese Einstellung ist nur verfügbar, wenn Sie eine
Samsung-Knox-Lizenz konfiguriert haben.
Einstellungen für App-Links
Einstellung/Feld
Link
Beschreibung
Die URL der App in Google Play.
Um die URL zu bestimmen, klicken Sie auf
Google Play öffnen , um Google Play in einer neuen Browser-Registerkarte zu öffnen, und navigieren Sie zu der gewünschten App.
Kopieren Sie anschließend die URL aus der
Adressleiste in das Feld Link .
Einstellungen für App-Pakete
Einstellung/Feld
Datei hochladen
Beschreibung
Klicken Sie auf Datei hochladen , um die App zum Sophos Mobile Server hochzuladen.
Navigieren Sie zu der APK-Datei und klicken Sie auf Öffnen .
Zugehörige Aufgaben
(Seite 268)
17.5 App-Einstellungen (iOS)
Allgemeine Einstellungen
Einstellung/Feld
Name
Version
Beschreibung
Eine Bezeichnung der App.
Für App-Pakete: Die Version, die im Enterprise
App Store angezeigt wird.
Für App-Links: Sophos Mobile verwendet die
Version aus dem App Store.
Copyright © 2018 Sophos Limited 273
Sophos Mobile on Premise
Einstellung/Feld
Kennung
App-Kategorie
Verfügbar für Gerätegruppen
Installation verwaltet von Sophos Mobile
Beschreibung
Einstellungen und VPN
Beschreibung
Die interne Kennung der App.
Lassen Sie dieses Feld leer, falls Sie die genaue
App-Kennung nicht kennen. In den meisten
Fällen kann Sophos Mobile den Wert aus der App ermitteln und füllt dieses Feld automatisch aus.
Eine Kategorie, zum Beispiel Produktivität .
Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem
Abschnitt mit diesem Titel aufgeführt.
Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom
Benutzer initiiert werden kann. Klicken Sie auf
Anzeigen und wählen Sie eine oder mehrere
Gerätegruppen aus, für welche die App im
Enterprise App Store aufgeführt wird.
Die App wird als verwaltete App installiert. Siehe
(Seite 279).
Diese Einstellung beeinflusst nur Apps, die vom
Benutzer über den Enterprise App Store installiert werden. Apps, die Sie über Sophos Mobile Admin installieren, sind immer verwaltet.
Die App-Beschreibung, die im Enterprise App
Store angezeigt wird.
Innerhalb Ihres Beschreibungstextes können Sie den Platzhalter %_appstoretext_% verwenden.
Im Enterprise App Store wird dann die jeweilige
App-Beschreibung aus dem App Store angezeigt.
Klicken Sie auf Anzeigen , um eine VPN-
Verbindung zu konfigurieren, die für die
App verwendet wird, oder konfigurieren Sie
Einstellungen, die während der App-Installation auf das Gerät übertragen werden.
274 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellungen für App-Links
Einstellung/Feld
In iTunes suchen
Link
Beschreibung
Klicken Sie auf In iTunes suchen , um in der iTunes-Datenbank nach der App zu suchen.
Wenn Sie eine App in den Suchergebnissen auswählen, werden folgende Felder automatisch ausgefüllt:
• Kennung
• App-Kategorie
• Link
Die URL der App im App Store.
Um die URL zu bestimmen, klicken Sie auf
App Store öffnen , um iTunes Link Maker in einer neuen Browser-Registerkarte zu öffnen.
Navigieren Sie in Link Maker zu der App und kopieren Sie anschließend die unter Directlink angezeigte URL in das Feld Link in Sophos
Mobile Admin.
Einstellungen für App-Pakete
Einstellung/Feld
Datei hochladen
Beschreibung
Klicken Sie auf Datei hochladen , um die App zum Sophos Mobile Server hochzuladen.
Navigieren Sie zu der IPA-Datei und klicken Sie auf Öffnen .
Zugehörige Aufgaben
(Seite 268)
17.6 App-Einstellungen (Windows Mobile)
Einstellung/Feld
Name
Version
Beschreibung
Eine Bezeichnung der App.
Die App-Version.
Sophos Mobile verwendet die Version aus dem
Microsoft Store.
Copyright © 2018 Sophos Limited 275
Sophos Mobile on Premise
Einstellung/Feld
App-Kategorie
Beschreibung
Verfügbar für Gerätegruppen
Link
Beschreibung
Eine Kategorie, zum Beispiel Produktivität .
Wen Sie die App im Enterprise App Store verfügbar machen, wird die App in einem
Abschnitt mit diesem Titel aufgeführt.
Die App-Beschreibung, die im Enterprise App
Store angezeigt wird.
Innerhalb Ihres Beschreibungstextes können Sie den Platzhalter %_appstoretext_% verwenden.
Im Enterprise App Store wird dann die jeweilige
App-Beschreibung aus dem Microsoft Store angezeigt.
Sie können die App im Enterprise App Store verfügbar machen, damit die Installation vom
Benutzer initiiert werden kann. Klicken Sie auf
Anzeigen und wählen Sie eine oder mehrere
Gerätegruppen aus, für welche die App im
Enterprise App Store aufgeführt wird.
Die URL der App im Microsoft Store.
Um die URL zu bestimmen, klicken Sie auf
Microsoft Store öffnen , um den Microsoft
Store für Windows-Phone-Apps in einer neuen
Browser-Registerkarte zu öffnen, und navigieren
Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das
Feld Link .
Zugehörige Aufgaben
(Seite 268)
17.7 App-Einstellungen (Windows)
Allgemeine Einstellungen
Einstellung/Feld
Name
Version
App-Kategorie
Beschreibung
Beschreibung
Eine Bezeichnung der App.
Die App-Version.
Eine Kategorie, zum Beispiel Produktivität .
Eine Beschreibung der App.
276 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellungen für MSI-Links
Einstellung/Feld
ProductCode GUID
Beschreibung
Die ProductCode-GUID der MSI-Datei.
Hinweis
Wenn Sie einen falschen Wert eingeben, kann die
App nicht deinstalliert werden.
Link
SHA-256-Hashwert
Die URL der MSI-Datei.
Der SHA-256-Hash-Wert der MSI-Datei.
Hinweis
Wenn Sie einen falschen Hash-Wert eingeben, kann die App nicht installiert werden.
Installationsoptionen Die Kommandozeilen-Optionen für das
Installationsprogramm msiexec.exe
.
Mit der Standardoption /quiet wird die App ohne Benutzer-Interaktion installiert.
Weitere Informationen zu diesen Einstellungen finden Sie in
Einstellungen für Windows-MSI-Links ermitteln
(Seite 278).
Einstellungen für Microsoft-Store-Links
Einstellung/Feld
Store ID
SKU ID
Package Family Name
Beschreibung
Die Store ID der App im Microsoft Store. Der
Wert wird automatisch eingetragen, wenn Sie auf
Informationen abrufen klicken.
Die SKU ID (Stock-Keeping Unit ID) der App im
Microsoft-Store-Katalog.
Eine App kann unterschiedliche SKU IDS haben, z.B. für Voll- und Testversionen oder für verschiedene Vermarktungsregionen.
Wenn Sie die SKU ID einer App nicht kennen, verwenden Sie den Standardwert 0010 .
Der Package Family Name (PFN) der App.
Der Wert wird automatisch eingetragen, wenn Sie auf Informationen abrufen klicken.
Copyright © 2018 Sophos Limited 277
Sophos Mobile on Premise
Einstellung/Feld
Link
Beschreibung
Die URL der App im Microsoft Store.
Um die URL zu bestimmen, klicken Sie auf
Microsoft Store öffnen , um den Microsoft Store für Windows-Apps in einer neuen Browser-
Registerkarte zu öffnen, und navigieren
Sie zu der gewünschten App. Kopieren Sie anschließend die URL aus der Adressleiste in das
Feld Link .
Nachdem Sie die URL eingegeben haben, klicken
Sie auf Informationen abrufen , um folgende
Felder automatisch auszufüllen:
• Product ID
• Package Family Name
Zugehörige Aufgaben
(Seite 268)
17.8 Einstellungen für Windows-MSI-Links ermitteln
Dieser Abschnitt enthält Informationen, wie Sie die App-Einstellungen für Windows-MSI-Links ermitteln.
• ProductCode GUID
—
Wenn Sie bereits das Microsoft Windows SDK installiert haben, verwenden
Sie das darin enthaltene Programm Orca , um den ProductCode-Wert einer MSI-Datei zu ermitteln.
Ein Beispiel hierfür finden Sie auf der Internetseite Use Orca to find MSI file GUID product code .
Alternativ können Sie ein PowerShell-Skript verwenden. Solche Skripte finden Sie im Internet, zum
Beispiel auf der Internetseite How to get MSI file information with PowerShell .
Hinweis
Im Feld ProductCode GUID müssen Sie den Wert ohne geschweifte Klammern eingeben.
• SHA-256-Hashwert
—
Verwenden Sie den PowerShell-Befehl Get-FileHash , um den SHA-256-
Hash-Wert einer MSI-Datei zu ermitteln:
PS> Get-FileHash <Pfad-zur-MSI-Datei>
Weitere Informationen zum Befehl Get-FileHash finden Sie auf der Microsoft-Internetseite Get-
FileHash .
• Installationsoptionen
—
Informationen zu den Kommandozeilen-Optionen für die Installation von
MSI-Dateien finden Sie auf der Microsoft-Internetseite Standard Installer Command-Line Options .
Zugehörige Referenzinformationen
(Seite 276)
278 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
17.9 Verwaltete iOS-Apps
Wenn Sie iOS-Apps zu Sophos Mobile hinzufügen, können Sie einstellen, ob diese auf den Geräten der Benutzer verwaltet oder nicht verwaltet installiert werden.
Verwaltete Apps haben folgende Eigenschaften:
• Wenn Benutzer eine verwaltete App im Enterprise App Store auswählen, wird ein
Installationsauftrag erstellt, der von Sophos Mobile bearbeitet wird. Wenn Benutzer dagegen eine nicht verwaltete App auswählen, werden Sie für die Installation zum Apple App Store weitergeleitet.
• In Sophos Mobile Admin können Sie verwaltete Apps löschen. Für nicht verwaltete Apps ist dies nicht möglich.
• Auf betreuten (supervised) iOS-Geräten werden verwaltete Apps stillschweigend, d.h. ohne
Benutzer-Interaktion, installiert und deinstalliert.
• In iOS-Geräteprofilen sind einige Einstellungen nur für verwaltete Apps verfügbar.
• Wenn ein iOS-Gerät bei Sophos Mobile deregistriert wird, werden alle verwalteten Apps automatisch vom Gerät entfernt. Nicht verwaltete Apps bleiben auf dem Gerät.
Ob eine App verwaltet oder nicht verwaltet installiert wird, ergibt sich aus folgenden Regeln:
• Apps, die Sie über Sophos Mobile Admin installieren, sind immer verwaltet.
• Apps, die der Benutzer über den App Store installiert, sind immer nicht verwaltet.
• Apps, die der Benutzer über den Enterprise App Store installiert, sind verwaltet, wenn Sie in den
App-Eigenschaften die Einstellung SMC-verwaltete Installation
aktiviert haben. Siehe Apps hinzufügen
(Seite 268).
Um den Status einer App auf einem Gerät festzustellen, gehen Sie auf die Seite Gerät anzeigen für das Gerät und öffnen Sie die Registerkarte Installierte Apps . Siehe
(Seite
63).
Tipp
Sie können Apps, die vom Benutzer nicht verwaltet installiert wurden, in verwaltete Apps umwandeln. Konfigurieren Sie hierzu die App in Sophos Mobile als verwaltet und erstellen Sie anschließend einen Installationsauftrag. Da die App bereits installiert ist, wird sie nicht erneut installiert. Allerdings ändert sich der Status von nicht verwaltet in verwaltet.
17.10 Apple-VPP-Apps verwalten
Mit dem Apple-Programm für Volumenlizenzen (Volume Purchase Program, kurz VPP) können Sie iOS-Apps in großen Mengen kaufen und diese im Unternehmen bereitstellen.
Wenn eine über Apple VPP abgewickelte Bestellung abgeschlossen ist, können Sie ein sToken
(Service-Token) herunterladen, das die Lizenzen für die erworbenen Apps enthält.
Detaillierte Informationen zur Registrierung und zur Benutzung von Apple VPP finden Sie unter http:// www.apple.com/business/vpp/ .
Detaillierte Informationen, wie Sie VPP-Apps Benutzern oder Geräten zuweisen, finden Sie in VPP-
(Seite 282) und VPP-Apps manuell zuweisen (Seite 283).
Copyright © 2018 Sophos Limited 279
Sophos Mobile on Premise
Benutzern VPP-Apps zuweisen
Mit Sophos Mobile können Sie die im sToken enthaltenen Lizenzen Ihren Benutzern zur Verfügung stellen, indem Sie diese dazu einladen, autorisierte Apple-VPP-Benutzer zu werden. Nachdem die
Benutzer die Einladung akzeptiert haben, sind sie autorisierte VPP-Benutzer und Sie können ihnen
VPP-Apps zuweisen. Benutzer können zugewiesene Apps mittels iTunes auf ihren Geräten installieren.
Für die Einladung von Benutzern zur VPP-Autorisierung gibt es unterschiedliche Vorgehensweisen, je nachdem, ob Sie in Sophos Mobile eine interne oder externe Benutzerverwaltung verwenden. Die
Anleitungen in diesem Abschnitt gelten für beide Fälle.
Informationen zur internen und externen Benutzerverwaltung finden Sie im Dokument Sophos Mobile
Superadministrator-Anleitung (englisch) .
Geräten VPP-Apps zuweisen
Sie können VPP-Apps auch Geräten zuweisen. Geräte müssen nicht zu VPP eingeladen werden. Sie installieren eine zugewiesene VPP-App auf einem Gerät mittels Sophos Mobile.
Hinweis
• Wenn eine VPP-App von einem Gerät deinstalliert wird, zieht Sophos Mobile die Zuweisung der VPP-App zurück.
• Wenn ein Gerät von Sophos Mobile deregistriert wird, zieht Sophos Mobile alle Zuweisungen von VPP-Apps zurück.
280
17.10.1 VPP sToken einrichten
Um in Sophos Mobile Lizenzen für Apps bereitzustellen, die Sie über das Apple-Programm für
Volumenlizenzen (VPP) erworben haben, müssen Sie ein sToken (Service-Token) einrichten.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen .
2. Öffnen Sie auf der Seite Systemeinstellungen die Registerkarte Apple VPP .
3. Klicken Sie auf den Link Apple iTunes VPP Portal .
Dies öffnet das Apple-VPP-Webportal in einem neuen Browser-Fenster.
4. Wählen Sie auf dieser Webseite den Punkt Unternehmen aus.
5. Geben Sie im Dialog Store für Unternehmen: Anmeldung Ihre Apple-ID und Ihr Kennwort ein.
6. Navigieren Sie zu der Seite Account Summary und klicken Sie auf Download Token .
Das sToken wird generiert und, abhängig von den Download-Einstellungen Ihres Webbrowsers, auf Ihrem lokalen Computer in einer Textdatei mit Endung .vpptoken
gespeichert.
7. Optional: Verschieben Sie die sToken-Datei an einen Ort, auf den Sie von Sophos Mobile Admin aus zugreifen können.
8. Öffnen Sie in Sophos Mobile Admin erneut die Registerkarte Apple VPP , klicken Sie auf Datei hochladen , wählen Sie die sToken-Datei aus und klicken Sie anschließend auf Öffnen .
Sophos Mobile liest die Datei ein und füllt die Felder Organisation und Ablaufdatum mit den
Angaben aus dem sToken.
9. In der Liste VPP-Apps automatisch bei der Installation zuweisen können Sie die automatische
Zuweisung von VPP-Apps konfigurieren. Siehe VPP-Apps automatisch zuweisen (Seite 282).
10. Optional: Füllen Sie die weiteren Felder auf der Registerkarte Apple VPP aus.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Im Feld Country (Land) geben Sie Ihren zweistelligen Landescode ein, zum Beispiel DE für
Deutschland.
11. Klicken Sie auf Speichern .
17.10.2 Benutzer zu Apple VPP einladen
Bevor Sie Benutzer zum Apple-Programm für Volumenlizenzen (VPP) einladen können, müssen Sie ein sToken einrichten. Siehe
VPP sToken einrichten (Seite 280).
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Benutzer .
2. Auf der Seite Benutzer anzeigen können Sie alle oder einzelne Benutzer zu Apple VPP einladen:
• Um alle Benutzter einzuladen: a) Klicken Sie oben auf der Seite Benutzer anzeigen auf Benutzer zu Apple VPP einladen .
b) Klicken Sie im Bestätigungsdialog auf Ja .
• Um einen einzelnen Benutzer einzuladen: a) Klicken Sie auf den gewünschten Benutzernamen.
b) Klicken Sie auf der Seite Benutzer anzeigen auf Benutzer zum VPP einladen .
c) Klicken Sie im Bestätigungsdialog auf Ja .
• Um einen einzelnen Benutzer einzuladen, wenn Sie eine externe Benutzerverwaltung verwenden und der Benutzer noch keine Geräte registriert hat: a) Klicken Sie oben auf der Seite Benutzer anzeigen auf Benutzer suchen und zu Apple
VPP einladen .
b) Geben Sie im Dialog Benutzer suchen entweder einen Namen oder eine E-Mail-Adresse ein, um nach dem Benutzer zu suchen.
c) Wählen Sie in der Liste der Suchergebnisse den Benutzer aus, den Sie zu Apple VPP einladen wollen.
d) Klicken Sie auf Anwenden .
Sophos Mobile schickt eine Einladungs-E-Mail an alle relevanten Benutzer.
Die Benutzer müssen den Link aus der Einladungs-E-Mail verwenden, um ihr Apple-iTunes-Konto mit Apple VPP zu verknüpfen. Danach können sie die von Ihrem Unternehmen lizenzierten Apps installieren und verwenden.
Hinweis
Wenn Sie ein externes Benutzerverzeichnis verwenden und alle Benutzer zu Apple VPP einladen, werden Benutzer, für die keine E-Mail-Adresse hinterlegt ist, zwar für Apple VPP registriert. Sie erhalten aber nicht den Link, mit dem sie ihr Apple-iTunes-Konto mit Apple VPP verknüpfen können.
Information, wie Sie in diesem Fall den Registrierungsprozess für Apple VPP abschließen können, finden Sie in
Benutzer ohne E-Mail-Adresse zu Apple VPP einladen (Seite 281).
17.10.3 Benutzer ohne E-Mail-Adresse zu Apple VPP einladen
Voraussetzung: Diese Prozedur setzt ein Superadministrator-Konto voraus und gilt daher nicht für
Sophos Mobile as a Service.
Wenn Sie Benutzer aus einem externen Benutzerverzeichnis wie in
Benutzer zu Apple VPP einladen
(Seite 281) beschrieben zu Apple VPP einladen, werden Benutzer, für die keine E-Mail-Adresse
Copyright © 2018 Sophos Limited 281
Sophos Mobile on Premise hinterlegt ist, zwar für Apple VPP registriert. Sie erhalten aber nicht den Link, mit dem sie ihr AppleiTunes-Konto mit Apple VPP verknüpfen können.
Führen Sie in diesem Fall die folgenden Schritte aus, um die Apple-VPP-Registrierung abzuschließen.
1. Melden Sie sich als Sophos Mobile Superadministrator an und laden Sie die Logdateien des
Servers herunter.
Siehe das Dokument Sophos Mobile Superadministrator-Anleitung (englisch) .
2. Ermitteln Sie anhand der Logdateien die betroffenen Benutzerkonten.
3. Klicken Sie in der Menüleiste von Sophos Mobile Admin unter VERWALTUNG auf Benutzer .
4. Klicken Sie auf der Seite Benutzer anzeigen auf den Namen eines der betroffenen Benutzer.
5. Klicken Sie auf der Seite Benutzer anzeigen auf Einladungslink anzeigen .
Bei externen Benutzern ohne E-Mail-Adresse wird hierdurch keine Einladungs-E-Mail verschickt, sondern es wird der Einladungslink in einem Benachrichtigungsfenster angezeigt.
6. Teilen Sie diesen Link dem Benutzer mit.
7. Wiederholen Sie dies für alle betroffenen Benutzer.
Die Benutzer müssen den Link verwenden, um ihr Apple-iTunes-Konto mit Apple VPP zu verknüpfen.
17.10.4 Apple-VPP-Benutzer verwalten
Wenn Sie wie in VPP sToken einrichten (Seite 280) beschrieben ein Apple VPP sToken eingerichtet
haben, enthält die Seite Benutzer anzeigen einen Abschnitt Apple Programm für Volumenlizenzen
(VPP) .
In diesem Abschnitt können Sie die folgenden Aufgaben ausführen, um den VPP-Status eines
Benutzers anzuzeigen oder zu bearbeiten:
• Apple-VPP-Benutzerstatus anzeigen. Mögliche Werte sind:
— Nicht registriert: Der Benutzer wurde noch nicht zu Apple VPP eingeladen.
— Registriert: Der Benutzer wurde zu Apple VPP eingeladen, hat sein Apple-iTunes-Konto aber noch nicht mit Apple VPP verknüpft.
— Verbunden: Der Benutzer hat sein Apple-iTunes-Konto mit Apple VPP verknüpft und kann
VPP-Apps installieren.
• Vom Benutzer installierte VPP-Apps anzeigen.
• Den Benutzer zu Apple VPP einladen, indem Sie auf Benutzer zu VPP einladen klicken.
In der Regel wird eine E-Mail mit einem Einladungslink an den Benutzer verschickt. Wenn im
Benutzerkonto keine E-Mail-Adresse hinterlegt ist, wird der Einladungslink in einem Hinweisfenster angezeigt.
• Eine erneute Einladungs-E-Mail verschicken, falls der Benutzer die initiale E-Mail nicht erhalten oder verloren hat, indem Sie auf Einladungs-E-Mail erneut senden klicken.
• Die Registrierung des Benutzers zu Apple VPP aufheben, indem Sie auf VPP-Registrierung löschen klicken.
17.10.5 VPP-Apps automatisch zuweisen
Standardmäßig werden Apps, die Sie über das Apple-Programm für Volumenlizenzen (VPP) erworben haben, automatisch dem Gerät zugewiesen, auf dem die App installiert wird. Wenn das Gerät die
Zuweisung von VPP-Apps nicht unterstützt, wird die App dem Benutzer zugewiesen, der dem Gerät zugewiesen ist.
282 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Die Zuweisung von VPP-Apps unterstützen nur Geräte, die den Status Verwaltet haben.
Sie können diese Reihenfolge umkehren und Benutzerzuweisungen gegenüber Gerätezuweisungen bevorzugen. Sie können auch die automatische Zuweisung deaktivieren und VPP-Apps stattdessen manuell zuweisen. Siehe
(Seite 283).
Die automatische Zuweisung von VPP-Apps wird pro Kunde konfiguriert.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen .
2. Öffnen Sie auf der Seite Systemeinstellungen die Registerkarte Apple VPP .
3. Wählen Sie in der Liste VPP-Apps automatisch bei der Installation zuweisen die gewünschte
Option aus:
• Bevorzugt an Gerät : Sofern das Gerät dies unterstützt, wird die VPP-App dem Gerät zugewiesen. Andernfalls wird die App dem Benutzer zugewiesen, der dem Gerät zugewiesen ist. Falls kein Benutzer dem Gerät zugewiesen ist, schlägt die App-Zuweisung fehl.
• Bevorzugt an Benutzer : Sofern dem Gerät ein Benutzer zugewiesen ist, wird die VPP-App dem Benutzer zugewiesen. Andernfalls wird die App dem Gerät zugewiesen. Wenn das Gerät die Zuweisung von VPP-Apps nicht unterstützt, schlägt die Zuweisung fehl.
• Deaktiviert : VPP-Apps werden nicht automatisch zugewiesen. Wenn Sie diese Option auswählen, müssen Sie VPP-Apps manuell zuweisen.
17.10.6 VPP-Apps manuell zuweisen
Dieser Abschnitt beschreibt die manuelle Zuweisung einzelner VPP-Apps. Standardmäßig werden
Apps, die Sie über das Apple-Programm für Volumenlizenzen (VPP) erworben haben, automatisch
dem Gerät zugewiesen, auf dem die App installiert wird. Siehe VPP-Apps automatisch zuweisen
(Seite
282).
Sie können Apps, die Sie über das Apple-Programm für Volumenlizenzen (VPP) erworben haben,
Benutzern oder Geräten zuweisen. Nachdem Sie eine VPP-App einem Benutzer zugewiesen haben, der mit Apple VPP verbundenen ist, kann dieser die App auf allen iOS-Geräten installieren, die mit seiner Apple-ID verbunden sind. Nachdem Sie eine VPP-App einem Gerät zugewiesen haben, können
Sie Sophos Mobile verwenden, um die App auf dieses Gerät zu übertragen.
So weisen Sie eine VPP-App Benutzern oder Geräten zu:
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > iOS .
Dies öffnet die Seite Apps , auf der alle Apps aufgelistet sind, die Sie zu Sophos Mobile hinzugefügt haben.
2. Um Apps hinzuzufügen, die Sie über Apple VPP erworben haben, klicken Sie auf VPP-Apps importieren .
Hierdurch werden vom Apple-VPP-Server Informationen zu Ihren Apps abgerufen und, falls erforderlich, neue App-Einträge in Sophos Mobile erstellt.
3. Klicken Sie auf das blaue Dreieck neben der VPP-App, die Sie Benutzern oder Geräten zuweisen wollen, und anschließend auf Bearbeiten .
Tipp
VPP-Apps sind in der Spalte VPP markiert.
4. Klicken Sie auf der Seite iOS-Link bearbeiten auf Anzeigen neben der Option VPP-Lizenzen .
Copyright © 2018 Sophos Limited 283
Sophos Mobile on Premise
Dies öffnet den Dialog VPP-Lizenzen .
5. Um die App einem oder mehreren Benutzern zuzuweisen, klicken Sie auf VPP-Benutzer und wählen Sie anschließend die gewünschten Benutzer aus.
Die Liste enthält alle Benutzer mit dem VPP-Status Registriert oder Verbunden.
6. Um die App einem oder mehreren Geräten zuzuweisen, klicken Sie auf Geräte und wählen Sie anschließend die gewünschten Geräte aus.
Die Liste enthält alle iOS-Geräte im Status Verwaltet.
7. Klicken Sie auf Anwenden , um die Änderungen zu bestätigen und den Dialog VPP-Lizenzen zu schließen.
8. Standardmäßig werden VPP-Apps keiner Gerätegruppe zugewiesen. Um eine App einer oder mehreren Gerätegruppen zuzuweisen, klicken Sie auf Anzeigen neben Verfügbar für
Gerätegruppen und wählen Sie anschließend eine oder mehrere Gerätegruppen aus, für welche die App im Enterprise App Store aufgeführt wird.
9. Standardmäßig werden VPP-Apps auf den Geräten als verwaltete Apps installiert. Um eine App als nicht verwaltete App zu installieren, deaktivieren Sie das Kontrollkästchen Installation verwaltet von Sophos Mobile .
Informationen zu verwalteten Apps finden Sie in
(Seite 279).
10. Klicken Sie auf Speichern , um die Änderungen zu speichern und um die App-Zuweisung mit dem
Apple-VPP-Server zu synchronisieren.
Tipp
Um Änderungen, die Sie im Dialogfeld VPP-Lizenzen gemacht haben, zu verwerfen, klicken
Sie auf Anwenden , um das Dialogfeld zu schließen, und anschließend auf Zurück , um die Seite iOS-Link bearbeiten zu verlassen, ohne die Änderungen in die Datenbank zu speichern.
Zugewiesene App auf einem Gerät installieren:
• Nachdem die App einem Benutzer zugewiesen ist, wird Sie auf allen seinen Geräten in der iTunes-
Ansicht Einkäufe aufgeführt. Von dort kann der Benutzer die App installieren.
• Nachdem die App einem Gerät zugewiesen ist, können Sie diese mit Sophos Mobile installieren.
Siehe
(Seite 269).
App-Zuweisung aufheben:
• Öffnen Sie wie zuvor beschrieben das Dialogfeld VPP-Lizenzen und deaktivieren Sie die Auswahl für die gewünschten Benutzer oder Geräte.
Hinweis
Da der Status von VPP-Apps vom Apple-VPP-Server verwaltet wird, dauert es möglicherweise einige Zeit, bis Änderungen, die Sie in Sophos Mobile machen, auf den Geräten sichtbar werden.
17.10.7 VPP-Lizenzinformationen synchronisieren
Aus Performance-Gründen verwaltet Sophos Mobile eine lokale Kopie der VPP-Lizenzinformationen.
Sie können bei Bedarf die in Sophos Mobile gespeicherten VPP-Informationen neu vom Apple-VPP-
Server laden.
284 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Sie müssen die VPP-Informationen nur dann neu laden, wenn die für eine App angezeigten
Lizenz-Informationen falsch sind.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Apple VPP .
2. Klicken Sie auf VPP-Cache löschen .
Sophos Mobile verwirft die lokalen VPP-Informationen für den Kunden und synchronisiert die Daten mit dem Apple-VPP-Server.
Hinweis
Informationen, wie Sie die Lizenzinformationen für eine VPP-App anzeigen, finden Sie in VPP-
Apps manuell zuweisen (Seite 283).
17.11 VPN pro App und Einstellungen für iOS-
Apps konfigurieren
Für iOS-Apps können Sie eine VPN-Verbindung konfigurieren, die beim Start der App verwendet wird.
Sie können außerdem Einstellungen für die App konfigurieren, die auf dem Gerät während der App-
Installation bereitgestellt werden.
Voraussetzungen:
• Damit Sie ein App-spezifisches VPN auswählen können, müssen Sie eine Konfiguration vom
Typ VPN pro App
in einem iOS-Konfigurationsprofil definieren. Siehe Konfiguration „VPN pro
(Seite 172).
• Damit Sie Einstellungen definieren können, müssen Ihnen der erforderliche Parameter und der
Parametertyp bekannt sein.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > iOS .
2. Klicken Sie auf der Seite Apps auf das blaue Dreieck neben der gewünschten App und anschließend auf Installieren .
3. Klicken Sie auf der Seite iOS-Link bearbeiten bzw. iOS-Paket bearbeiten auf Anzeigen neben dem Feld Einstellungen und VPN .
4. Wählen Sie auf der Seite Einstellungen und VPN bearbeiten die gewünschte Konfiguration aus der Liste VPN pro App aus, um zu definieren, mit welchem VPN sich die App verbinden soll.
5. Um benutzerdefinierte Einstellungen hinzuzufügen, klicken Sie auf Parameter anlegen .
6. Konfigurieren Sie im Dialog Konfigurationsparameter folgende Einstellungen: a) Geben Sie im Feld Parameter den erforderlichen Parameter ein, zum Beispiel SMC_URL.
b) Geben Sie im Feld Wert den Parameterwert ein, zum Beispiel smc.sophos.com
.
c) Wählen Sie in der Liste Typ den Parametertyp aus: String , Bool , Integer oder Real .
d) Klicken Sie auf Anwenden .
Die benutzerdefinierten Einstellungen werden auf der Seite Einstellungen und VPN bearbeiten angezeigt.
7. Klicken Sie auf der Seite Einstellungen und VPN bearbeiten auf Anwenden .
8. Klicken Sie auf Speichern .
Copyright © 2018 Sophos Limited 285
Sophos Mobile on Premise
Das ausgewählte VPN pro App wird angewendet, wenn sich die App mit VPN verbindet. Die
Einstellungen werden während der App-Installation auf die Geräte übertragen.
286 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
18 App-Gruppen
In Sophos Mobile können Sie App-Gruppen erstellen, um Listen von Apps für Profile, Geräte-
Richtlinien und Compliance-Richtlinien zu definieren.
App-Gruppen werden in folgenden Bereichen verwendet:
• In der Konfiguration App Protection von Android-Geräteprofilen.
• In der Konfiguration App Control von Android-Geräteprofilen.
• In der Konfiguration Einschränkungen von Android-Geräteprofilen, iOS-Geräteprofilen und Knox-
Container-Profilen.
• In der Konfiguration App-Einschränkungen von Windows Mobile Richtlinien.
• In Compliance-Richtlinien zur Angabe von Listen für erlaubte, unzulässige und erforderliche Apps.
18.1 App-Gruppen erstellen
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf App-Gruppen und anschließend auf die
Plattform, für die Sie die App-Gruppe erstellen wollen.
2. Klicken Sie auf der Seite App-Gruppen auf App-Gruppe erstellen .
3. Geben Sie auf der Seite App-Gruppe bearbeiten im Feld Name einen Namen für die neue App-
Gruppe ein und klicken Sie anschließend auf App hinzufügen .
4. Im Dialogfeld App bearbeiten können Sie entweder eine App aus einer Liste auswählen, oder benutzerdefinierte App-Daten eingeben.
• Um eine App aus einer Liste auszuwählen, klicken Sie auf App-Liste und wählen Sie anschließend eine App aus der Liste aller Apps aus, die auf den Geräten installiert sind, die für die ausgewählte Plattform verwaltet werden.
• Um benutzerdefinierte App-Daten für eine Android-App einzugeben, klicken Sie auf
Benutzerdefiniert und konfigurieren Sie anschließend folgende Informationen:
— Name : Ein beliebiger Name, um die App identifizieren zu können.
— Kennung : Der Paketname der App. Sie können den Paketnamen anhand der URL der App in Google Play ermitteln. Zum Beispiel ist für die Android-
App Sophos Mobile Control die Google-Play-URL play.google.com/store/apps/ details?id=com.sophos.mobilecontrol.client.android und der Paketname ist com.sophos.mobilecontrol.client.android
.
— Link : Zur späteren Identifizierung können Sie die URL der App in Google Play eingeben.
• Um benutzerdefinierte App-Daten für eine iOS-App einzugeben, klicken Sie auf
Benutzerdefiniert und konfigurieren Sie anschließend folgende Informationen:
— Name : Ein beliebiger Name, um die App identifizieren zu können.
— Kennung : Die Bundle-ID der App.
— Link : Zur späteren Identifizierung können Sie die URL der App im App Store eingeben.
• Um benutzerdefinierte App-Daten für eine macOS-App einzugeben, klicken Sie auf
Benutzerdefiniert und konfigurieren Sie anschließend folgende Informationen:
— Name : Ein beliebiger Name, um die App identifizieren zu können.
— Kennung : Die Bundle-ID der App.
— Link : Zur späteren Identifizierung können Sie die URL der App im App Store eingeben.
Copyright © 2018 Sophos Limited 287
Sophos Mobile on Premise
• Um benutzerdefinierte App-Daten für eine Windows-Mobile-App einzugeben, klicken Sie auf
Benutzerdefiniert und konfigurieren Sie anschließend folgende Informationen:
— Name : Ein beliebiger Name, um die App identifizieren zu können.
— Link : Die URL der App im Microsoft Store. Zum Beispiel lautet die URL der Windows-
Mobile-App Sophos Mobile Control https://www.microsoft.com/de-de/store/p/ mobile-control-2017/9nblggh51qsj .
— GUID : Falls Sie die GUID der App kennen, können Sie diese anstatt des Links eingeben.
Andernfalls lassen Sie dieses Feld leer.
• Um benutzerdefinierte App-Daten für eine Windows-App einzugeben, klicken Sie auf
Benutzerdefiniert und konfigurieren Sie anschließend folgende Informationen:
— Name : Ein beliebiger Name, um die App identifizieren zu können.
— Kennung : Die ID der App, wie sie von Windows angezeigt wird. Für MSI-Apps ist dies die
ProductCode-GUID der MSI-Datei. Für Apps aus dem Microsoft Store ist dies der Package
Family Name (PFN) der App.
— Link : Zur späteren Identifizierung können Sie die URL der App im Microsoft Store eingeben. Zum Beispiel lautet die URL der Windows-App Wikipedia https:// www.microsoft.com/de-de/store/p/wikipedia/9wzdncrfhwm4 .
5. Nachdem Sie eine App aus der Liste ausgewählt haben oder benutzerdefinierte App-Daten eingegeben haben, klicken Sie auf Hinzufügen , um sie zu der App-Gruppe hinzuzufügen.
6. Optional: Fügen Sie weitere Apps zu der App-Gruppe hinzu.
7. Wenn Sie fertig sind, klicken Sie auf Speichern , um die App-Gruppe zu speichern.
18.2 App-Gruppen importieren
Sie können eine App-Gruppe erstellen, indem Sie die Daten von bis zu 10.000 Apps aus einer UTF-8kodierte CSV-Datei importieren.
Hinweis
Verwenden Sie einen Text-Editor, um die CSV-Datei zu bearbeiten. Wenn Sie Microsoft Excel verwenden, werden die eingegebenen Werte u. U. nicht korrekt aufgelöst. Achten Sie beim
Speichern darauf, dass die Datei die Endung .csv
besitzt.
Tipp
Auf der Seite Apps importieren steht eine Musterdatei mit den korrekten Spaltennamen und der richtigen Spaltenreihenfolge zum Download zur Verfügung.
So importieren Sie Apps aus einer CSV-Datei und fügen sie einer App-Gruppe hinzu:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf App-Gruppen und anschließend auf die
Plattform, für die Sie die App-Gruppe erstellen wollen.
2. Klicken Sie auf der Seite App-Gruppen auf App-Gruppe erstellen .
3. Geben Sie auf der Seite App-Gruppe bearbeiten im Feld Name einen Namen für die neue App-
Gruppe ein und klicken Sie anschließend auf App importieren .
4. Klicken Sie auf der Seite Apps importieren auf Datei hochladen und navigieren Sie anschließend zu der vorbereiteten CSV-Datei.
Die Einträge werden aus der Datei eingelesen und angezeigt.
288 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
5. Wenn die Daten nicht korrekt oder inkonsistent formatiert sind, kann die gesamte Datei nicht importiert werden. Beachten Sie in diesem Fall die Fehlermeldungen, die neben den betroffenen
Einträgen angezeigt werden, korrigieren Sie die CSV-Datei und laden Sie sie erneut hoch.
6. Klicken Sie auf Fertigstellen , um die Apps zu der App-Gruppe hinzuzufügen.
7. Klicken Sie auf der Seite App-Gruppe bearbeiten auf Speichern .
Copyright © 2018 Sophos Limited 289
Sophos Mobile on Premise
290
19 Unternehmensdokumente
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
In Sophos Mobile können Sie Dateien hochladen, damit diese an die Geräte Ihrer Benutzer verteilt werden.
• In Sophos Mobile verwaltete Dokumente werden automatisch dem Speicheranbieter
Unternehmensdokumente in Sophos Secure Workspace hinzugefügt.
• Sie können jedem Dokument in Unternehmensdokumente eine Kategorie zuweisen.
• Dokumente in Unternehmensdokumente sind schreibgeschützt.
• Wenn Sophos Secure Workspace nicht von Sophos Mobile verwaltet wird, ist der Speicheranbieter
Unternehmensdokumente nicht verfügbar.
So verteilen Sie Unternehmensdokumente:
1. Installieren Sie die App „Sophos Secure Workspace“ auf den Geräten. Siehe
2. Ordnen Sie eine Sophos-Container-Richtlinie mit einer Konfiguration Unternehmensdokumente zu.
3. Laden Sie die Dokumente nach Sophos Mobile hoch.
19.1 Unternehmensdokumente hinzufügen
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
So verteilen Sie Dokumente an Geräte:
1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Dokumente .
Die Seite Dokumente wird angezeigt.
2. Klicken Sie auf Dokument hinzufügen .
Die Seite Dokument bearbeiten wird angezeigt.
3. Geben Sie im Feld Kategorie den Namen des Ordners ein, in dem das Dokument unter
Unternehmensdokumente auf dem Gerät angezeigt wird.
Wenn Sie dieses Feld leer lassen, wird die Datei im Root-Ordner von Unternehmensdokumente angezeigt.
4. Legen Sie die Einstellungen für das Dokument fest:
• Wählen Sie In die Zwischenablage kopieren aus, um Benutzern zu erlauben, das Dokument in die Zwischenablage zu kopieren.
• Wählen Sie Dokument teilen aus, um Benutzern zu erlauben, das Dokument zu teilen.
• Wählen Sie Dokument offline verwenden aus, damit Benutzer das Dokument zu der Liste
Favoriten hinzufügen können.
Wenn ein unverschlüsseltes Dokument aus Unternehmensdokumente zu der Liste Favoriten hinzugefügt wird, wird die lokale Kopie verschlüsselt gespeichert. Wenn das Teilen des
Dokuments erlaubt ist, wird die Datei automatisch entschlüsselt, bevor sie an andere
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Apps weitergeleitet wird. Wenn Sie das Kontrollkästchen Dokument offline verwenden deaktivieren, werden lokale Kopien bei der nächsten Synchronisierung automatisch entfernt.
5. Klicken Sie auf Anzeigen neben Zugewiesene Gruppen und wählen Sie die Gruppe aus, die
Zugriff auf das Dokument haben soll.
6. Fügen Sie eine Beschreibung für das Dokument hinzu.
7. Klicken Sie auf Datei hochladen und navigieren Sie zu dem Dokument. Wählen Sie es aus und klicken Sie auf Öffnen .
8. Wiederholen Sie diesen Schritt für alle Dokumente, die Sie verteilen möchten.
Das Dokument wird der Dokumentenliste hinzugefügt. Es wird an die Benutzer verteilt, die es sich in der App „Sophos Secure Workspace“ anschauen können.
Copyright © 2018 Sophos Limited 291
Sophos Mobile on Premise
20 Android Enterprise
Android enthält Funktionen, welche die Integration von Geräten in Ihr Unternehmensnetzwerk erleichtern und es Ihren Benutzer erlauben, auf ihren Geräten private Daten von Unternehmensdaten zu trennen. Dies wird als Android Enterprise bezeichnet (vormals Android for Work).
Hinweis
Sophos Mobile unterstützt Android Enterprise für Geräte mit Android 6 oder höher.
Sophos Mobile unterstützt die Android-Enterprise-Registrierungsmodi Gerätebesitzer und
Profilbesitzer.
Gerätebesitzer
Wenn ein Gerät im Modus „Gerätebesitzer“ registriert wird, wird Sophos Mobile als Gerätebesitzer registriert. Sophos Mobile kann Einstellungen, Apps und Daten auf dem gesamten Gerät überwachen und verwalten.
Der Modus „Gerätebesitzer“ unterscheidet sich in folgenden Punkten von einer Standardregistrierung:
• Der von den Benutzern durchzuführende Registrierungsprozess ist vereinfacht.
• Benutzer müssen kein persönliches Google-Konto auf dem Gerät einrichten.
• Benutzer können nur Apps aus Managed Google Play installieren, und Sie bestimmen das Store-
Layout.
• Nur eine begrenzte Anzahl Apps ist standardmäßig aktiv: Google Play Store, Kontakte,
Nachrichten, Telefon.
• Sie können Apps ohne Benutzer-Interaktion installieren, deinstallieren und aktualisieren.
• Sie können App-Berechtigungen konfigurieren, so dass die Benutzer bei der Verwendung einer
App nicht mehr aufgefordert werden, Berechtigungen zu gewähren.
• Sie können benutzerdefinierte App-Einstellungen konfigurieren (falls die App dies unterstützt).
• Sie können das Kennwort für die Displaysperre zurücksetzen. Bei der Standardregistrierung ist dies für Android 7.0 oder später nicht möglich.
• Sie können einen Kioskmodus konfigurieren, bei dem eine Auswahl an Apps genutzt werden kann, anstatt nur eine einzelne App.
• Sie können nur Geräte registrieren, die noch nicht eingerichtet wurden oder die auf
Werkseinstellungen zurückgesetzt wurden.
• Es gibt keine spezielle Möglichkeit, ein registriertes Gerät zu deregistrieren. Um das Gerät zu deregistrieren, setzen Sie es auf Werkseinstellungen zurück.
Profilbesitzer
Wenn ein Gerät im Modus „Profilbesitzer“ registriert wird, wird auf dem Gerät ein Arbeitsprofil erstellt.
Sophos Mobile kann nur die Einstellungen, Apps und Daten innerhalb des Arbeitsprofils überwachen und verwalten.
Der Modus „Profilbesitzer“ eignet sich für ein BYOD-Szenario („Bring Your Own Device“).
292 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Zugehörige Informationen
Android-Enterprise-Hilfe (externer Link)
20.1 Android Enterprise einrichten - Übersicht
Bei der Einrichtung von Android Enterprise für Ihr Unternehmen können Sie zwischen zwei Szenarien wählen:
Szenario Managed Google Play Account
Dies ist die einfachste Methode, Android Enterprise für Ihr Unternehmen einzurichten.
• Sophos Mobile führt Sie durch den Prozess, ein Android-Enterprise-Konto für Ihr Unternehmen einzurichten.
• Falls erforderlich, können Sie für Ihr Unternehmen mehrere Android-Enterprise-Konten erstellen.
• Sophos Mobile verwaltet den Lebenszyklus der Benutzerkonten.
Siehe Android Enterprise einrichten (Szenario „Managed Google Play Account“) (Seite 293).
Szenario Managed Google Domain
Verwenden Sie diese Methode, wenn Sie bereits eine Managed Google Domain besitzen oder wenn
Sie die Konten Ihrer Android-Enterprise-Benutzer außerhalb von Sophos Mobile verwalten wollen.
• Sie registrieren eine Managed Google Domain bei Google und weisen nach, dass Sie Inhaber dieser Domain sind.
• Sie verbinden Sophos Mobile als externen EMM-Anbieter (Enterprise Mobility Management) mit
Ihrer Managed Google Domain.
• Sophos Mobile erstellt nach Bedarf Benutzerkonten. Davon abgesehen, verwaltet Sophos Mobile nicht den Lebenszyklus der Konten.
Siehe Android Enterprise einrichten (Szenario „Managed Google Domain“) (Seite 294).
20.2 Android Enterprise einrichten (Szenario
„Managed Google Play Account“)
Für das Szenario Managed Google Play Account leitet Sie Sophos Mobile durch die notwendigen
Schritte, um Android Enterprise für Ihr Unternehmen einzurichten.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Android Enterprise .
2. Klicken Sie auf Konfigurieren .
3. Wählen Sie Szenario „Managed Google Play Account“ aus und klicken Sie anschließend auf
Weiter .
4. Wählen Sie Konto registrieren aus.
Sie werden auf eine Google-Webseite weitergeleitet, auf der Sie Ihr Unternehmen für Android
Enterprise registrieren.
5. Melden Sie sich an der Google-Webseite mit Ihrem Google-Konto an.
Copyright © 2018 Sophos Limited 293
Sophos Mobile on Premise
Hinweis
Wir empfehlen, für diesen Zweck ein neues Google-Konto anzulegen.
6. Folgenden Sie den Schritten auf der Google-Webseite, um Ihr Unternehmen zu registrieren.
Tipp
Bei der Angabe Ihres Unternehmensnamens sollten Sie den Ausdruck SMC sowie den Namen des Kunden aus Sophos Mobile hinzufügen, zum Beispiel Mein Unternehmen (SMC/
Mein Sophos-Mobile-Kundenname) . Ansonsten enthalten die Kontoinformationen keinen
Hinweis darauf, das das Konto mit Sophos Mobile verbunden ist.
Nach der Registrierung leitet Sie die Google-Webseite wieder zurück zu Sophos Mobile.
7. Klicken Sie in Sophos Mobile auf Einrichtung abschließen , um den Registrierungsprozess abzuschließen.
Damit ist die Einrichtung von Android Enterprise für Ihr Unternehmen abgeschlossen.
20.3 Android Enterprise einrichten (Szenario
„Managed Google Domain“)
Für das Szenario Managed Google Play Account richten Sie Android Enterprise folgendermaßen für Ihr
Unternehmen ein:
1. Sie registrieren eine Managed Google Domain bei Google.
2. Sie erstellen ein Unternehmens-Dienstkonto und konfigurieren Sie die APIs, die für die
Kommunikation mit den Google-Diensten benötigt werden.
3. Sie verbinden Sophos Mobile als externen EMM-Anbieter (Enterprise Mobility Management) mit
Ihrer Managed Google Domain.
294
20.3.1 Domäne bei Google registrieren
Als erste Phase der Einrichtung von Android Enterprise für Ihr Unternehmen registrieren Sie eine
Domäne bei Google (Managed Google Domain), erstellen einen Domänen-Administrator (Managed
Google Account) und bestätigen Ihre Domänen-Inhaberschaft.
Hinweis
Falls Sie bereits eine Managed Google Domain registriert haben, zum Beispiel, weil Sie sich für „G
Suite“ (vormals „Google Apps“) angemeldet haben, können Sie diesen Abschnitt überspringen.
1. Klicken Sie auf den nachfolgenden Link https://www.google.com/a/signup/?
enterprise_product=ANDROID_WORK&hl=de , um eine Managed Google Domain einzurichten.
2. Tragen Sie im Webformular die erforderlichen Informationen ein.
• Im Abschnitt Über Ihr Unternehmen tragen Sie im Feld Geschäftliche Domainadresse die
Domäne ein, die als Managed Google Domain verwendet wird. Verwenden Sie zum Beispiel die Domäne Ihres Sophos Mobile Servers.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Falls Sie Android Enterprise für mehrere Kunden in Sophos Mobile konfigurieren wollen, müssen Sie für jeden Kunden eine eigene Domäne verwenden.
• Im Abschnitt Ihr Google Admin-Konto tragen Sie die Anmeldedaten für einen neuen
Domänen-Administrator ein.
Hinweis
Notieren Sie sich die Anmeldedaten. Sie benötigen diese im weiteren Verlauf der
Einrichtung von Android for Work.
3. Klicken Sie die Schaltfläche zum Erstellen eines neuen Kontos.
Dies öffnet die Google-Admin-Konsole.
4. Starten Sie in der Google-Admin-Konsole die Prozedur zur Bestätigung Ihrer Domänen-
Inhaberschaft.
Folgen Sie den Anweisungen von Google, um Ihre Domäne zu bestätigen.
Nachdem Sie Ihre Domänen-Inhaberschaft bestätigt haben, erhalten Sie ein Token, mit dem Sie Ihre
Managed Google Domain mit Ihrem EMM-Anbieter (also mit Sophos Mobile) verbinden.
Als nächstes müssen Sie ein Google-Dienstkonto erstellen und die relevanten Google APIs
konfigurieren. Siehe Google-Dienstkonto konfigurieren (Seite 295).
20.3.2 Google-Dienstkonto konfigurieren
Als zweite Phase der Einrichtung von Android Enterprise für Ihr Unternehmen erstellen und konfigurieren Sie ein Google-Dienstkonto.
Voraussetzung: Sie haben ein Administratorkonto für Ihre Managed Google Domain.
Ein Google-Dienstkonto ist ein spezielles Google-Konto, das von Anwendungen benutzt wird. Dieses
Konto wird von Sophos Mobile für die Kommunikation mit den Google APIs verwendet.
Erstellen Sie ein Projekt:
1. Klicken Sie auf den nachfolgenden Link https://console.developers.google.com/apis/library , um die
Google-API-Konsole zu öffnen. Melden Sie sich mit den Anmeldeinformationen Ihres Domänen-
Administratorkontos an.
2. Klicken Sie in der Titelleiste der Google-API-Konsole auf Projekt > Projekt erstellen .
Wenn Sie zuvor bereits ein Projekt erstellt haben, wird in der Titelzeile der Projektname angezeigt anstatt das Wort Projekt.
3. Geben Sie im Dialogfeld Neues Projekt einen Projektnamen ein, zum Beispiel Android
Enterprise und klicken Sie anschließend auf Erstellen .
Benötigte APIs aktivieren:
4. Klicken Sie in der seitlichen Menüleiste auf Bibliothek und geben Sie anschließend admin sdk im Suchfeld ein.
5. Klicken Sie in der Ergebnisliste auf Admin SDK .
6. Klicken Sie oben auf der Seite Admin SDK auf Aktivieren .
7. Wiederholen Sie die vorherigen drei Schritte für die Google Play EMM API :
Copyright © 2018 Sophos Limited 295
Sophos Mobile on Premise a) Klicken Sie in der seitlichen Menüleiste auf Bibliothek und geben Sie anschließend emm im
Suchfeld ein.
b) Klicken Sie in der Ergebnisliste auf Google Play EMM API .
c) Klicken Sie oben auf der Seite Google Play EMM API auf Aktivieren .
Dienstkonto erstellen:
8. Klicken Sie auf der Seite Google Play EMM API auf Anmeldedaten erstellen .
9. Klicken Sie in Schritt 1 der Seite Anmeldedaten zu Projekt hinzufügen auf den Link
Dienstkonto .
10. Klicken Sie auf der Seite Dienstkonten auf Dienstkonto erstellen .
11. Geben Sie im Dialogfeld Dienstkonto erstellen die folgenden Einstellungen ein: a) Geben Sie in Name des Dienstkontos einen Namen ein, um das Konto zu identifizieren, zum
Beispiel Android Enterprise .
b) Wählen Sie Neuen privaten Schlüssel bereitstellen aus und wählen Sie anschließend JSON aus.
c) Wählen Sie Domainweite G Suite-Delegation aktivieren aus.
d) Geben Sie in Produktname für den Zustimmungsbildschirm zum Beispiel Android
Enterprise ein.
Wenn Sie auf Erstellen klicken, wird der private Schlüssel für Ihr Dienstkonto erzeugt und auf
Ihrem Computer in einer JSON-Datei gespeichert.
Hinweis
Verwahren Sie die JSON-Datei an einem sicheren Ort. Sie benötigen die Datei, um Sophos
Mobile mit Ihrer Managed Google Domain zu verbinden.
API-Zugriff konfigurieren:
12. Klicken Sie auf den nachfolgenden Link https://admin.google.com
, um die Google-Admin-Konsole zu öffnen. Melden Sie sich mit den Zugangsdaten Ihres Domänen-Administrators an.
13. Klicken Sie auf Sicherheit und anschließend auf Erweiterte Einstellungen .
Tipp
Sie müssen möglicherweise zunächst auf Mehr anzeigen klicken, um Erweiterte
Einstellungen anzuzeigen.
14. Klicken Sie auf API-Client-Zugriff verwalten .
15. Öffnen Sie in einem Texteditor die JSON-Datei und kopieren Sie den Wert von client_id in das
Feld Client-Name .
Beispiel: Ihre JSON-Datei enthält die Zeile
"client_id": "123456789",
Geben Sie 123456789 im Feld Client Name ein.
16. Geben Sie im Feld Ein oder mehrere API-Bereiche die folgenden beiden URLs ein, mit Komma getrennt: https://www.googleapis.com/auth/admin.directory.user, https://www.googleapis.com/auth/androidenterprise
17. Klicken Sie auf Autorisieren .
296 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Verbinden Sie nun Sophos Mobile mit Ihrer Managed Google Domain. Siehe Sophos Mobile mit Ihrer
(Seite 297).
20.3.3 Sophos Mobile mit Ihrer Domäne verbinden
Als dritte Phase der Einrichtung von Android Enterprise für Ihr Unternehmen verbinden Sie Sophos
Mobile mit Ihrer Managed Google Domain.
Voraussetzungen:
• Sie haben ein Administratorkonto für Ihre Managed Google Domain.
• Sie haben Ihre Domänen-Inhaberschaft bestätigt.
• Sie haben die relevanten Google APIs aktiviert.
• Sie haben ein Google-Dienstkonto erstellt.
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Android Enterprise .
2. Klicken Sie auf Konfigurieren .
3. Wählen Sie Szenario „Managed Google Domain“ aus und klicken Sie anschließend auf Weiter .
4. Dies öffnet ein Dialogfeld. Konfigurieren Sie folgende Einstellungen:
Option
Unternehmens-Domäne
Domänen-Administrator
EMM-Token
Beschreibung
Ihre gegenüber Google bestätigte Managed
Google Domain.
Der Name Ihres Domänen-Administratorkontos.
Dies ist der Administrator, den Sie erstellt haben, als Sie Ihre Domäne bei Google registriert haben.
Das Token, das Sie von Google erhalten haben, nachdem Sie Ihre Domänen-
Inhaberschaft bestätigt haben.
Das Token wird Ihnen angezeigt, wenn Sie sich an der Google-Admin-Konsole ( https:// admin.google.com
) mit den Zugangsdaten des Domänen-Administrators anmelden und
Sicherheit > EMM-Anbieter für Android verwalten aufrufen.
5. Klicken Sie auf Datei hochladen und suchen Sie die JSON-Datei, die Sie von Google heruntergeladen haben, als Sie das Dienstkonto erstellt haben.
Sie müssen eine JSON-Datei mit der Dateiendung .json
auswählen.
6. Klicken Sie auf Verbinden .
Sophos Mobile kontaktiert den Google-Webservice, um sich als EMM-Anbieter mit Ihrer Managed
Google Domain zu verbinden.
Als letzte Phase der Einrichtung von Android Enterprise für Ihr Unternehmen müssen Sie die Google-
EMM-Einstellungen konfigurieren. Siehe EMM-Einstellungen konfigurieren
(Seite 298).
Copyright © 2018 Sophos Limited 297
Sophos Mobile on Premise
20.3.4 EMM-Einstellungen konfigurieren
Als letzte Phase der Einrichtung von Android Enterprise für Ihr Unternehmen konfigurieren Sie die
Google-EMM-Einstellungen.
Voraussetzung: Sie haben Sophos Mobile mit Ihrer Managed Google Domain verbunden.
1. Klicken Sie auf den nachfolgenden Link https://admin.google.com
, um die Google-Admin-Konsole zu öffnen. Melden Sie sich mit den Zugangsdaten Ihres Domänen-Administrators an.
2. Klicken Sie auf Sicherheit und danach auf EMM-Anbieter für Android verwalten .
Tipp
Sie müssen möglicherweise zunächst auf Mehr anzeigen klicken, um EMM-Anbieter für
Android verwalten anzuzeigen.
3. Wählen Sie unter Allgemeine Einstellungen die Option EMM-Richtlinien auf Android-Geräten erzwingen aus.
Damit ist die Einrichtung von Android Enterprise für Ihr Unternehmen abgeschlossen.
298
20.4 Geräteregistrierung für Android Enterprise konfigurieren
Voraussetzungen
• Sie haben Android Enterprise für den Kunden konfiguriert.
Führen Sie die folgenden Schritte aus, um die Geräteregistrierung für Android Enterprise zu konfigurieren.
1. Erstellen Sie eine Richtlinie für jeden Android-Enterprise-Registrierungsmodus, den Sie unterstützen wollen.
• Für den Modus Gerätebesitzer erstellen Sie eine Richtlinie vom Typ Android-Enterprise-
Geräterichtlinie .
• Für den Modus Profilbesitzer erstellen Sie eine Richtlinie vom Typ Android-Enterprise-
Arbeitsprofil-Richtlinie .
2. Erstellen Sie ein Auftragspaket für jeden Android-Enterprise-Registrierungsmodus, den Sie unterstützen wollen.
Das Auftragspaket muss mindestens einen Auftrag Registrieren und einen Auftrag Profil installieren oder Richtlinie zuweisen für die zuvor erstellte Richtlinie enthalten.
3. Wählen Sie in den Gruppeneinstellungen für das Self Service Portal das erstellte Auftragspaket als
Einrichtungspaket aus.
Sie können unterschiedliche Pakete für Firmengeräte und Privatgeräte verwenden. Zum Beispiel können Sie für Firmengeräte den Registrierungsmodus Gerätebesitzer und für Privatgeräte den
Modus Profilbesitzer verwenden.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Eine allgemeine Beschreibung zur Konfiguration der Gruppeneinstellungen für das Self Service
Portal finden Sie in Einstellungen für das Self Service Portal konfigurieren (Seite 24).
Nachdem Sie die Geräteregistrierung konfiguriert haben, können Benutzer im Self Service Portal ihre Android-Geräte bei Sophos Mobile registrieren. Der Registrierungsmodus (Gerätebesitzer oder Profilbesitzer) ergibt sich aus dem Gerätetyp (Firmen- oder Privatgerät), basierend auf Ihren
Gruppeneinstellungen für das Self Service Portal.
Hinweis
Wenn Sie die Registrierung für Android Enterprise wie hier beschrieben für Firmengeräte und/oder
Privatgeräte konfigurieren, ist für den jeweiligen Gerätetyp im Self Service Portal keine normale
Registrierung von Android-Geräten möglich.
20.5 Benutzer für Android Enterprise verwalten
(Szenario „Managed Google Domain“)
Hinweis
Dieser Abschnitt beschreibt, wie Sie Google Benutzerkonten verwalten, wenn Sie Android
Enterprise basierend auf dem Szenario Managed Google Domain eingerichtet haben.
Beim Szenario Managed Google Play Account verwaltet Sophos Mobile die Google-Konten Ihrer
Benutzer für Sie transparent.
Ein Benutzer benötigt ein Konto vom Typ Managed Google Account, um ein Android-Enterprise-Gerät zu registrieren. Dieses Konto ist mit Ihrer Managed Google Domain verknüpft, d.h. mit der Domäne, die
Sie bei Google registriert haben.
Kontonamen haben die Form von E-Mail-Adressen, zum Beispiel
Benutzer@Ihre_Managed_Google_Domain .
Wenn ein Benutzer im Self Service Portal ein Gerät registriert, prüft Sophos Mobile, ob auf dem
Google-Server bereits ein Managed Google Account für den Benutzer existiert. Dazu wird der linke
Teil der E-Mail-Adresse, die für den Benutzer in Sophos Mobile angelegt ist, mit Ihrer Managed Google
Domain kombiniert. Falls ein Konto mit diesem Namen nicht existiert, wird es von Sophos Mobile erstellt.
Beispiel: Die E-Mail-Adresse des Benutzers in Sophos Mobile lautet Benutzer@Ihre_Firma.com
und Ihre Managed Google Domain lautet Ihre_Managed_Google_Domain .
In diesem Fall sucht Sophos Mobile auf dem Google-Server nach einem Konto
Benutzer@Ihre_Managed_Google_Domain .
Abgesehen von der Erstellung eines Managed Google Account für den Benutzer während der
Registrierung, verwaltet Sophos Mobile nicht den Lebenszyklus von Konten. Wenn Sie ein
Benutzerkonto in Sophos Mobile löschen, bleibt der Managed Google Account des Benutzers bestehen.
Sie können die Konten für Ihre Managed Google Domain in der Google-Admin-Konsole verwalten.
Falls erforderlich, können Sie GADS (Google Apps Directory Sync) verwenden, um Konten auf Basis
Ihres LDAP-Verzeichnisses zu erstellen.
Zugehörige Informationen
Google-Admin-Konsole (externer Link)
Copyright © 2018 Sophos Limited 299
Sophos Mobile on Premise
Über Google Apps Directory Sync (externer Link)
20.6 Arbeitsprofil erstellen
Ein Arbeitsprofil wird erstellt, wenn Benutzer ihr Gerät im Self Service Portal mit dem Android-
Enterprise-Modus „Profilbesitzer“ registrieren.
Sie können in Sophos Mobile Admin das Arbeitsprofil löschen, zum Beispiel, um Unternehmensdaten vom Gerät zu entfernen, wenn es verloren gegangen ist oder gestohlen wurde.
20.7 Arbeitsprofil sperren
Sie können in Sophos Mobile Admin das Arbeitsprofil sperren und entsperren. Wenn Sie ein
Arbeitsprofil sperren, sind keine beruflichen Apps mehr verfügbar und es werden auch keine
Benachrichtigungen von beruflichen Apps angezeigt.
Hinweis
Dieser Abschnitt ist nicht für Geräte relevant, die bei Sophos Mobile mit dem Android-Enterprise-
Modus „Gerätebesitzer“ registriert sind. Siehe
(Seite 292)
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf das blaue Dreieck neben dem Gerät, auf dem Sie das Arbeitsprofil sperren oder entsperren wollen, und anschließend auf Anzeigen .
3. Klicken Sie auf Aktionen > Container-Zugriff festlegen .
4. Wählen Sie die Zugriffsrechte aus.
• Sperren : Das Arbeitsprofil ist gesperrt. Benutzer können nicht mehr auf Apps oder Daten innerhalb des Arbeitsprofils zugreifen.
• Erlauben : Das Arbeitsprofil ist entsperrt.
• Automatischer Modus : Das Arbeitsprofil ist gesperrt, wenn das Gerät gegen eine
Compliance-Regel verstößt, bei der die Aktion Container sperren aktiviert ist. Dies ist das
Standardverhalten, wenn Sie keine Zugriffsrechte festgelegt haben.
5. Klicken Sie auf Ja .
Das Gerät wird mit dem Sophos Mobile Server synchronisiert. Dadurch wird die Einstellung auf dem
Gerät angewendet.
Tipp
Um das gesamte Gerät zu sperren und nicht nur das Arbeitsprofil, verwenden Sie Aktionen >
Sperren .
Tipp
Benutzer können das Arbeitsprofil über die Schnelleinstellungsleiste ihres Gerätes sperren, zum
Beispiel im Urlaub.
300 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
20.8 Arbeitsprofil vom Gerät entfernen
Hinweis
Dieser Abschnitt ist nicht für Geräte relevant, die bei Sophos Mobile mit dem Android-Enterprise-
Modus „Gerätebesitzer“ registriert sind. Siehe
(Seite 292)
Sie können in Sophos Mobile Admin das Arbeitsprofil entfernen, um Unternehmensdaten vom Gerät zu entfernen, wenn es verloren gegangen ist oder gestohlen wurde.
Wenn Sie das Arbeitsprofil von einem Gerät entfernen, werden auch alle beruflichen Apps, inklusive der App Sophos Mobile Control, entfernt. In Sophos Mobile Admin wird das Gerät mit dem Status
Deregistriert angezeigt.
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf das blaue Dreieck neben dem Gerät, von dem Sie das Arbeitsprofil entfernen wollen, und anschließend auf Anzeigen .
3. Klicken Sie auf Aktionen > Android-Arbeitsprofil entfernen .
Ein Auftrag zum Entfernen des Arbeitsprofils wird erstellt und an das Gerät übertragen. Sie können den
Auftragsstatus auf der Seite Auftragsstatus anzeigen.
Hinweis
Falls der Benutzer das Arbeitsprofil bereits manuell entfernt hat, schlägt der Auftrag fehl, da das
Gerät ihn nicht mehr empfangen kann.
Um das Arbeitsprofil erneut zu erstellen, muss der Benutzer die Registrierung im Self Service Portal wiederholen.
20.9 Entfernen des Arbeitsprofils durch den
Benutzer
Benutzer sind in der Lage, das Arbeitsprofil von ihren Geräten entfernen. Dies kann absichtlich als auch versehentlich geschehen. Wenn das Arbeitsprofil auf diese Weise entfernt wird, kann Sophos
Mobile dies nicht erkennen. Der Verwaltungsstatus des Gerätes wird weiterhin als Android Enterprise
(Profil-Inhaberschaft) angezeigt.
Nachdem der Benutzer das Arbeitsprofil entfernt hat, kann sich das Gerät nicht mehr mit dem Sophos
Mobile Server synchronisieren.
Tipp
Sie können den Bericht Geräte, die sich in den letzten 7 Tagen nicht synchronisiert haben verwenden, um potentiell betroffene Geräte zu identifizieren.
Falls das Arbeitsprofil versehentlich entfernt wurde, können Sie es folgendermaßen erneut registrieren:
1. Sie löschen das Gerät aus Sophos Mobile.
2. Der Benutzer führt im Self Service Portal eine erneute Registrierung durch.
Copyright © 2018 Sophos Limited 301
Sophos Mobile on Premise
20.10 Berufliche Apps
Berufliche Apps sind Apps, die auf einem Gerät installiert werden können, das bei Sophos Mobile mit dem Android-Enterprise-Modus „Gerätebesitzer“ oder „Profilbesitzer“ registriert ist.
Hinweis
Beim Modus „Profilbesitzer“ werden berufliche Apps im Arbeitsprofil installiert und sind mit einem
Aktentaschensymbol gekennzeichnet.
Um Ihren Benutzern berufliche Apps zur Verfügung zu stellen, müssen Sie die folgenden Aufgaben in
Managed Google Play und in Sophos Mobile durchführen:
1. In Managed Google Play wählen Sie Apps für Ihr Unternehmen aus. Dies beinhaltet:
• Die App genehmigen.
• App-Lizenzen erwerben.
• App-Berechtigungen akzeptieren.
Siehe
Berufliche App genehmigen (Seite 302).
2. In Sophos Mobile konfigurieren Sie die App. Dies beinhaltet:
• Den Ort festlegen, an dem die App in der App „Google Play Store“ auf den Geräten der
Benutzer angezeigt wird.
• Benutzerdefinierte App-Einstellungen konfigurieren, falls die App dies unterstützt.
• Für kostenpflichtige Apps Benutzern eine Lizenz für die App zuordnen.
Siehe
(Seite 304).
20.10.1 Berufliche App genehmigen
1. Öffnen Sie Managed Google Play ( https://play.google.com/work ) und melden Sie sich mit Ihrem
Administratorkonto für Android Enterprise an.
2. Wählen Sie die App aus, die Sie Ihren Benutzern zur Verfügung stellen wollen.
3. Klicken Sie auf Genehmigen (bei kostenlosen Apps) bzw. auf Kaufen (bei kostenpflichtigen Apps).
Hinweis
Kostenpflichtige berufliche Apps sind derzeit nur in den USA und in Kanada verfügbar.
4. Wenn die App Berechtigungen erfordert, müssen Sie diese für Ihr Unternehmen akzeptieren.
Wenn Ihre Benutzer die App installieren, werden sie nicht aufgefordert, Berechtigungen zuzulassen.
5. Für kostenpflichtige Apps geben Sie die Lizenz-Anzahl und die Bezahlmethode ein.
302 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Hinweis
Falls Sie während des Kaufvorgangs eine Fehlermeldung erhalten, überprüfen Sie in der
Google-Admin-Konsole, ob die Google-Bezahldienste für Ihre Domäne oder Ihr Konto aktiviert sind.
Die App ist nun für Ihre Domäne genehmigt. Benutzer sind aber noch nicht in der Lage, die App zu
(Seite 304).
Hinweis
Wenn durch die Aktualisierung einer beruflichen App zusätzliche Berechtigungen erforderlich werden, müssen Sie diesen zustimmen, bevor Ihre Benutzer die App aktualisieren können. Klicken
Sie im Menü von Google Play auf Aktualisierungen , um neue Berechtigungen anzuzeigen und zu akzeptieren.
Zugehörige Informationen
Managed Google Play (externer Link)
Google-Admin-Konsole (externer Link)
Managed Google Play Hilfe (externer Link)
20.10.2 Genehmigung einer beruflichen App aufheben
1. Öffnen Sie Managed Google Play ( https://play.google.com/work ) und melden Sie sich mit Ihrem
Administratorkonto für Android Enterprise an.
2. Klicken Sie auf Meine verwalteten Apps , um die von Ihnen genehmigten beruflichen Apps anzuzeigen.
3. Wählen Sie die App aus, die Sie aus Ihrem Managed Google Play entfernen wollen.
4. Klicken Sie auf Genehmigung aufheben .
5. Melden Sie sich an Sophos Mobile Admin an, um die Änderung mit Sophos Mobile zu synchronisieren.
6. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > Android .
7. Klicken Sie auf der Seite Apps auf Berufliche Android-Apps .
8. Klicken Sie auf App-Liste von Google abrufen .
Hinweis
Sie müssen die App auch aus Ihren Android-Auftragspaketen entfernen.
Zugehörige Konzepte
(Seite 256)
Zugehörige Informationen
Managed Google Play (externer Link)
Google-Admin-Konsole (externer Link)
Managed Google Play Hilfe (externer Link)
Copyright © 2018 Sophos Limited 303
Sophos Mobile on Premise
20.10.3 Berufliche App bearbeiten
Nachdem Sie eine App in Managed Google Play genehmigt haben, müssen Sie die App in Sophos
Mobile konfigurieren, um sie Ihren Benutzern zur Verfügung zu stellen.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > Android .
2. Klicken Sie auf der Seite Apps auf Berufliche Android-Apps .
Dies öffnet die Seite Berufliche Android-Apps , auf der die beruflichen Apps angezeigt werden, die Sie in Managed Google Play genehmigt haben.
3. Klicken Sie auf App-Liste von Google abrufen , um Änderungen zu laden, die Sie in Managed
Google Play gemacht haben. Nach der Synchronisierung können Benutzer die Apps über die App
„Managed Google Play Store“ installieren.
4. Klicken Sie auf das blaue Dreieck neben der gewünschten App und dann auf Bearbeiten .
5. Konfigurieren Sie auf der Seite Berufliche Android-App bearbeiten die gewünschten
Einstellungen. Siehe
Einstellungen für berufliche Apps
(Seite 304).
6. Klicken Sie auf Speichern , um Ihre Änderungen zu speichern.
7. Klicken Sie auf der Seite Berufliche Android-Apps auf Konfiguration an Google senden , um die geänderten Layouteinstellungen und App-Einstellungen an Google zu senden.
Hinweis
Wenn Sie diesen letzten Schritt überspringen, wird die App-Konfiguration nur lokal in Sophos
Mobile gespeichert. Die Konfiguration wird nicht an Google übertragen und steht Ihren
Benutzern nicht zur Verfügung.
Nachdem die Daten an den Google-Server gesendet worden sind, steht die berufliche App in der
App „Managed Google Play Store“ zur Verfügung. Kostenlose Apps stehen allen Ihren Benutzern zur
Verfügung, kostenpflichtige Apps nur Benutzern, denen Sie eine Lizenz zugeordnet haben.
Zugehörige Referenzinformationen
Einstellungen für berufliche Apps (Seite 304)
20.10.4 Einstellungen für berufliche Apps
Einstellung/Feld
Titel
Product ID
Preismodell
Beschreibung
Der externe Name der App, wie er in Managed
Google Play angezeigt wird.
Der interne Name der App.
Der Kostentyp:
• Kostenlos
• Kostenlos mit In-App-Käufen
• Kostenpflichtig
304 Copyright © 2018 Sophos Limited
Einstellung/Feld
Verteilungsart
URL (Managed Google Play) , URL (Google
Play)
Seite
App-Kategorie
Lizenzen
Sophos Mobile on Premise
Beschreibung
• Öffentlich (über Google bereitgestellt) : Die
App ist in Managed Google Play öffentlich verfügbar.
• Privat (über Google bereitgestellt) : Eine von Ihnen entwickelte App, die nur für
Benutzer in Ihrer Managed Google Domain verfügbar ist. Die APK-Datei wurde zu
Managed Google Play hochgeladen.
• Privat (intern bereitgestellt) : Wie Privat
(über Google bereitgestellt) , aber die APK-
Datei wird von Ihrem lokalen Server installiert.
Managed Google Play kümmert sich nur um die Verteilung der App.
Die Webadresse der App in Managed Google
Play beziehungsweise in Google Play.
Klicken Sie auf den Link, um die jeweilige Seite in einem neuen Browserfenster zu öffnen.
Die Seite, auf der die App auf dem Gerät in der
App „Google Play Store“ erscheint.
Die Werte sind von Sophos Mobile vorkonfiguriert und können nicht geändert werden.
Der Name der Kategorie, unter der die App auf dem Gerät in der App „Google Play Store“ erscheint.
Sobald Sie die ersten Zeichen eintippen, wird
Ihnen eine Liste passender Kategorien angezeigt.
Wenn Sie eine nicht vorhandene Kategorie eingeben, wird diese erstellt.
Klicken Sie neben Lizenzen auf Anzeigen , um die Anzahl der zugewiesenen und verfügbaren
Lizenzen für die App sowie die Benutzer, denen eine Lizenz zugewiesen ist, anzuzeigen oder zu bearbeiten, .
Diese Einstellung ist nur für kostenpflichtige Apps verfügbar.
Copyright © 2018 Sophos Limited 305
Sophos Mobile on Premise
Einstellung/Feld
App-Einstellungen
Beschreibung
Klicken Sie auf App-Einstellungen , um Appspezifische Einstellungen anzuzeigen oder zu bearbeiten.
Informationen zu den verfügbaren Einstellungen finden Sie in der Dokumentation, die vom jeweiligen Entwickler der App bereitgestellt wird.
Diese Einstellung ist nur verfügbar, wenn die App eine verwaltete Konfiguration unterstützt.
Tipp
Sie können die Platzhalter %_USERNAME_% und
%_EMAILADDRESS_% verwenden, die durch den jeweiligen Namen bzw. E-Mail-Adresse ersetzt werden.
20.10.5 Berufliche App installieren
Nachdem Sie in Managed Google Play eine berufliche App genehmigt haben und Ihren Benutzern
Lizenzen zugewiesen haben, können Sie die App auf einzelnen Geräten oder Gerätegruppen installieren.
Hinweis
Benutzer können genehmigte Apps über die App „Managed Google Play Store“ installieren.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Apps > Android .
2. Klicken Sie auf der Seite Apps auf Berufliche Android-Apps .
3. Klicken Sie auf das blaue Dreieck neben der gewünschten App und dann auf Installieren .
4. Wählen Sie die Geräte aus, auf denen Sie die App installieren wollen. Gehen Sie auf eine der folgenden Weisen vor:
• Wählen Sie einzelne Geräte aus.
• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere
Gerätegruppen aus.
Wenn Sie fertig sind, klicken Sie auf Weiter .
5. Geben Sie auf der Seite Ausführungszeit wählen den Zeitpunkt an, zu dem die App installiert wird:
• Für eine sofortige Ausführung wählen Sie Sofort aus.
• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und
Uhrzeit ein.
6. Klicken Sie auf Fertigstellen .
Der Installationsauftrag wird an Google gesendet. Die eigentliche Installation der App auf dem Gerät wird von Google verwaltet. Auf der Seite Auftragsstatus wird der Auftrag mit Status erfolgreich angezeigt, nachdem er an Google gesendet wurde.
306 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
20.10.6 Berufliche Apps deinstallieren
Sie können eine berufliche App von ausgewählten Geräten oder Gerätegruppen deinstallieren.
1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Apps und anschließend auf
Android .
2. Klicken Sie auf der Seite Apps auf Berufliche Android-Apps .
3. Klicken Sie auf der Seite Berufliche Android-Apps auf Deinstallieren .
4. Wählen Sie die Geräte aus, von denen Sie die App deinstallieren wollen. Gehen Sie auf eine der folgenden Weisen vor:
• Wählen Sie einzelne Geräte aus.
• Klicken Sie auf Gerätegruppen auswählen und wählen Sie anschließend eine oder mehrere
Gerätegruppen aus.
Wenn Sie fertig sind, klicken Sie auf Weiter .
5. Wählen Sie auf der Seite App auswählen die gewünschte App aus.
6. Geben Sie auf der Seite Ausführungszeit wählen den Zeitpunkt an, zu dem die App deinstalliert wird:
• Für eine sofortige Ausführung wählen Sie Sofort aus.
• Für eine geplante Ausführung wählen Sie Datum aus und geben Sie anschließend Datum und
Uhrzeit ein.
7. Klicken Sie auf Fertigstellen .
Ein Auftrag zur Deinstallation der App wird an einen Google-Dienst gesendet. Das eigentliche
Entfernen der App vom Gerät wird von Google verwaltet. Auf der Seite Auftragsstatus wird der
Auftrag mit Status erfolgreich angezeigt, nachdem er an Google gesendet wurde.
Tipp
Alternativ können Sie mit der folgenden Methode eine App von einem einzelnen Gerät deinstallieren: Öffnen Sie die Seite Gerät anzeigen für das gewünschte Gerät, wechseln Sie auf die Registerkarte Installierte Apps und klicken Sie auf das Mülleimer-Symbol neben dem App-
Namen.
20.10.7 Lizenzen für berufliche Apps
Indem Sie Benutzern Lizenzen für kostenpflichtige berufliche Apps zuweisen, definieren Sie, welche
Apps für einen Benutzer zur Verfügung stehen.
Sie weisen Benutzern nur Lizenzen für kostenpflichtige Apps zu. Kostenlose Apps, die Sie in Managed
Google Play genehmigt haben, stehen automatisch allen Ihren Benutzern zur Verfügung, sobald Sie die Liste Ihrer Apps von Google nach Sophos Mobile synchronisiert haben.
Sie konfigurieren die Zuweisung von Lizenzen auf der Seite Berufliche Android-App bearbeiten .
Siehe Berufliche App bearbeiten (Seite 304).
Copyright © 2018 Sophos Limited 307
Sophos Mobile on Premise
Tipp
Für App-Installationen, die vom Administrator initiiert werden, brauchen Sie keine Lizenzen
zuzuweisen. Wenn Sie eine berufliche App wie in Berufliche App installieren
(Seite 306) beschrieben installieren, wird eine Lizenz aus Ihrem Lizenzpool automatisch den jeweiligen
Benutzern zugewiesen.
20.10.8 Layout von Managed Google Play
Sie können festlegen, an welcher Position in der App „Managed Google Play“ eine berufliche App angezeigt wird.
Die konfigurierbaren Layout-Elemente sind Seiten und Kategorien.
• Seiten sind benannte, vertikal scrollbare Ansichten. Seiten und Seitennamen sind von Sophos
Mobile vordefiniert.
• Kategorien sind benannte, horizontal scrollbare Unterabschnitte einer von Ihnen definierten Seite.
Google bezeichnet diese Kategorien auch als Cluster.
• Jede Kategorie gehört zu einer bestimmten Seite und jede App gehört zu einer bestimmten
Kategorie.
• Seiten, auf denen sich keine App befindet, werden nicht angezeigt.
• Sie können maximal 30 Kategorien pro Seite und 100 Apps pro Kategorie konfigurieren.
Für jede App definieren Sie die Seite und optional die Kategorie, in der die App in Managed Google
Play auf den Geräten angezeigt wird. Standardmäßig werden Apps auf der Seite Sonstiges angezeigt.
Sie konfigurieren das Layout von Google Play for Work auf der Seite Berufliche Android-App bearbeiten
. Siehe Berufliche App bearbeiten (Seite 304).
20.10.9 Konfigurierbare berufliche Apps
Eine berufliche App kann eine verwaltete Konfiguration anbieten. Diese Funktion wird vom jeweiligen
Entwickler der App bereitgestellt und erlaubt Ihnen, benutzerdefinierte Einstellungen für die App zu konfigurieren.
Wenn die App eine verwaltete Konfiguration unterstützt, wird in Managed Google Play zu der App ein
Hinweis Diese App bietet eine verwaltete Konfiguration angezeigt.
Sie konfigurieren die Einstellungen der App auf der Seite Berufliche Android-App bearbeiten . Siehe
(Seite 304).
308
20.10.10 Private und selbst gehostete Apps
Alle beruflichen Apps, die Ihren Benutzern zur Verfügung stehen sollen, müssen über Managed
Google Play bereitgestellt werden.
• Öffentliche berufliche Apps sind Apps, die allen Benutzer mit einem Managed Google Account zur
Verfügung stehen.
• Private berufliche Apps sind Apps, die Sie selbst entwickelt haben und die nur den Benutzern in
Ihrer Managed Google Domain zur Verfügung stehen.
• Selbst gehostete berufliche Apps sind private Apps, deren Paketdatei (d.h. die APK-Datei) auf einem Server Ihres Unternehmens liegt anstatt auf dem Google-Server. Allerdings müssen bei
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise selbst gehosteten Apps die Store-Metadaten der App zu Google hochgeladen werden, damit die
App über Managed Google Play bereitgestellt werden kann.
Informationen zu privaten beruflichen Apps finden Sie auf der Webseite Android in the Enterprise
(externer Link).
Copyright © 2018 Sophos Limited 309
Sophos Mobile on Premise
310
21 Intune App-Schutz
Intune ist ein Microsoft-Dienst für die Verwaltung mobiler Geräte und Apps. Mit Intune App-Schutz können Sie Nutzungsbeschränkungen für Apps definieren und diese Ihren Benutzern zuweisen.
Da Intune App-Schutz auf der Benutzer-Identität basiert und für den Schutz Ihrer Unternehmensdaten keine Geräteverwaltung erfordert, eignet es sich für BYOD-Programme (Bring Your Own Device).
Sie können Ihre Intune-App-Schutz-Richtlinien in Sophos Mobile Admin verwalten.
Eigenschaften und Anforderungen
• Geräte müssen nicht bei Sophos Mobile registriert werden.
• Intune-App-Schutz-Richtlinien können auf Office-365-Apps angewendet werden und auf andere
Apps, in denen das Intune App SDK integriert ist.
• Richtlinien werden nur angewendet, wenn sich ein Benutzer an der App mit seinem
Unternehmenskonto anmeldet. Wenn sich ein Benutzer mit seinem privaten Konto anmeldet, gelten keine Nutzungsbeschränkungen.
• Sie müssen Ihre Unternehmens-Benutzerkonten mit Azure Active Directory (AAD) verwalten.
• Den AAD-Konten der Benutzer muss eine Intune-Lizenz zugewiesen sein.
• Um Richtlinien auf die App Microsoft Outlook anzuwenden, muss den AAD-Konten der Benutzer ein E-Mail-Konto und eine Lizenz für Office 365 Exchange Online zugewiesen sein.
• Um Richtlinien auf die Apps Microsoft Word, Excel und PowerPoint anzuwenden, muss den AAD-
Konten der Benutzer eine Lizenz vom Typ Office 365 Business oder Enterprise zugewiesen sein.
Zugehörige Informationen
Microsoft-Intune-Dokumentation (externer Link)
Microsoft-Intune-Apps (externer Link)
21.1 Integration mit Microsoft Intune einrichten
Damit Sie in Sophos Mobile Admin Intune-App-Schutz-Richtlinien verwalten können, müssen Sie
Sophos Mobile als Microsoft-Azure-Anwendung registrieren. Wir empfehlen Ihnen, den Microsoft-
Azure-Registrierungsassistent zu verwenden.
1. Navigieren Sie über die Menüleiste zu Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte Microsoft Azure .
2. Klicken Sie auf Microsoft-Azure-Registrierungsassistent .
Der Assistent leitet Sie durch den Registrierungsvorgang im Microsoft-Azure-Portal und in Sophos
Mobile Admin: a) Registrieren Sie im Microsoft-Azure-Portal eine Anwendung für Sophos Mobile.
b) Geben Sie in Sophos Mobile die Anwendungs-ID ein.
c) Laden Sie das Server-Zertifikat für Sophos Mobile in Ihre Anwendung hoch.
d) Erteilen Sie Ihrer Anwendung die „delegierten Berechtigungen“ Read and write Microsoft Intune
apps und Read all groups für die Microsoft Graph API.
Nach Abschluss der Registrierung gibt es in der Menüleiste von Sophos Mobile Admin einen neuen
Eintrag Profile, Richtlinien > Intune App-Schutz .
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
21.2 Intune-App-Schutz-Richtlinie erstellen
Mit einer Intune-App-Schutz-Richtlinie beschränken Sie den Zugriff auf Daten basierend auf der
Benutzer-Identität. Die Beschränkungen gelten nur, wenn die App in einem beruflichen Kontext verwendet wird, d.h., wenn ein zugewiesener Benutzer die App mit seinem Unternehmenskonto verwendet.
Sie müssen separate Richtlinien für Android- und iOS-Apps erstellen.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > Intune App-
Schutz .
2. Bestätigen Sie den Hinweis zur Weiterleitung auf eine Microsoft-Seite und melden Sie sich dort mit
Ihrem Administratorkonto für Microsoft Azure an.
Dieser Schritt ist nicht notwendig, wenn Sie sich in der aktuellen Sitzung von Sophos Mobile Admin bereits bei Microsoft Azure angemeldet haben.
3. Klicken Sie in Sophos Mobile Admin auf der Seite Richtlinien auf Hinzufügen und anschließend auf Android-Richtlinie oder iOS-Richtlinie .
4. Geben Sie auf der Seite Richtlinie bearbeiten die erforderlichen Einstellungen ein.
Siehe
Einstellungen für Intune-App-Schutz-Richtlinien (Android) (Seite 312) und
Intune-App-Schutz-Richtlinien (iOS) (Seite 317).
5. Klicken Sie auf Speichern .
Nachdem Sie eine Intune-App-Schutz-Richtlinie erstellt haben, weisen Sie ihr Apps und Benutzer zu.
Siehe Apps einer Intune-App-Schutz-Richtlinie zuweisen (Seite 311) und
Schutz-Richtlinie zuweisen (Seite 312).
21.3 Apps einer Intune-App-Schutz-Richtlinie zuweisen
Eine Intune-App-Schutz-Richtlinie wird nur auf Apps angewendet, die Sie der Richtlinie zuweisen.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > Intune App-
Schutz .
2. Bestätigen Sie den Hinweis zur Weiterleitung auf eine Microsoft-Seite und melden Sie sich dort mit
Ihrem Administratorkonto für Microsoft Azure an.
Dieser Schritt ist nicht notwendig, wenn Sie sich in der aktuellen Sitzung von Sophos Mobile Admin bereits bei Microsoft Azure angemeldet haben.
3. Klicken Sie in Sophos Mobile Admin auf der Seite Richtlinien auf das blaue Dreieck neben der
Richtlinie, der Sie Apps zuweisen wollen, und anschließend auf Apps zuweisen .
4. Wählen Sie die Apps aus, die Sie der Richtlinie zuweisen wollen.
Die Liste enthält alle Android- bzw. iOS-Apps, die Sie im Microsoft-Azure-Portal Ihrem Microsoft-
Intune-Konto hinzugefügt haben.
5. Klicken Sie auf Speichern .
Copyright © 2018 Sophos Limited 311
Sophos Mobile on Premise
21.4 Benutzer einer Intune-App-Schutz-Richtlinie zuweisen
Eine Intune-App-Schutz-Richtlinie wird nur auf eine App angewendet, wenn diese von einem zugewiesenen Benutzer verwendet wird. Sie weisen Benutzer nicht einzeln zu, sondern über Azure
Active Directory (AAD) Sicherheitsgruppen.
1. Klicken Sie in der Menüleiste unter KONFIGURATION auf Profile, Richtlinien > Intune App-
Schutz .
2. Bestätigen Sie den Hinweis zur Weiterleitung auf eine Microsoft-Seite und melden Sie sich dort mit
Ihrem Administratorkonto für Microsoft Azure an.
Dieser Schritt ist nicht notwendig, wenn Sie sich in der aktuellen Sitzung von Sophos Mobile Admin bereits bei Microsoft Azure angemeldet haben.
3. Klicken Sie in Sophos Mobile Admin auf der Seite Richtlinien auf das blaue Dreieck neben der
Richtlinie, der Sie Benutzer zuweisen wollen, und anschließend auf Benutzergruppen zuweisen .
4. Wählen Sie aus der Liste der verfügbaren AAD-Sicherheitsgruppen die Gruppen aus, die Sie einschließen oder ausschließen wollen:
• Einschließen : Die Richtlinie gilt für Mitglieder dieser Gruppe.
• Ausschließen : Die Richtlinie gilt nicht für Mitglieder dieser Gruppe, auch dann nicht, wenn diese Mitglied einer Einschließen -Gruppe sind.
• Nicht zugewiesen : Die Richtlinie gilt nicht für Mitglieder dieser Gruppe, es sei denn, diese sind auch Mitglied einer Einschließen -Gruppe.
5. Klicken Sie auf Speichern .
Hinweis
Die Richtlinie gilt nur für Benutzer, deren AAD-Konto eine Intune-Lizenz zugewiesen ist. Andere
Benutzer aus den ausgewählten Sicherheitsgruppen sind nicht betroffen.
21.5 Einstellungen für Intune-App-Schutz-
Richtlinien (Android)
Mit einer Richtlinie vom Typ Intune App-Schutz definieren Sie Einschränkungen für Apps, die mit
Intune verwaltet werden. Dieser Abschnitt beschreibt die verfügbaren Einstellungen für Android-Apps.
Allgemeine Einstellungen
Einstellung/Feld
Name
Beschreibung
Beschreibung
Der Name der Richtlinie.
Eine kurze Beschreibung der Richtlinie.
312 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Datenverschiebung
Unter Datenverschiebung konfigurieren Sie Regeln für den Import und Export von Daten in die (bzw.
aus der) App.
Hinweis
Alle Einstellungen gelten für Daten, auf die ein Benutzer zugreift, wenn er mit seinem
Unternehmenskonto angemeldet ist.
Einstellung/Feld
Android-Sicherungen verhindern
Beschreibung
Die App verwendet nicht den Android-
Datensicherungsdienst.
App Übertragung von Daten an andere
Apps erlauben
Geben Sie an, welche Apps Daten von dieser App empfangen können:
Richtlinienverwaltete Apps : Datenübertragung nur an
Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.
Alle Apps : Transfer an alle Apps erlauben
Keine Apps : Keinen Transfer an andere Apps erlauben.
Hinweis
• Zu einigen Apps oder Diensten ist die
Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-
Dokumentation die Beschreibung zu Ausnahmen für
Datenübertragungen.
• Die Datenübertragung zu einer Android Instant App ist immer blockiert.
Copyright © 2018 Sophos Limited 313
Sophos Mobile on Premise
Einstellung/Feld
App Empfang von Daten aus anderen
Apps erlauben
Beschreibung
Geben Sie an, welche Apps Daten an diese App
übertragen können:
Richtlinienverwaltete Apps : Datenübertragung nur von
Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.
Alle Apps : Transfer von allen Apps erlauben
Keine Apps : Keinen Transfer von anderen Apps erlauben.
Hinweis
• Von einigen Apps oder Diensten ist die
Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-
Dokumentation die Beschreibung zu Ausnahmen für
Datenübertragungen.
• Die Datenübertragung von einer Android Instant App ist immer blockiert.
„Speichern unter“ verhindern
Speicherorte
Beschränken von Ausschneiden,
Kopieren und Einfügen mit anderen
Apps
Anzeige von Web-Inhalten auf den
Managed Browser beschränken
Die App-Funktion „Speichern unter“ ist deaktiviert.
Wenn „Speichern unter“ verhindern ausgewählt ist, wählen Sie die Speicherorte für Unternehmensdaten aus.
Benutzer können Daten an den ausgewählten Orten speichern. Andere Orte sind blockiert.
Geben Sie an, wann Ausschneide-, Kopier- und
Einfügeaktionen in dieser App erlaubt sind:
Blockiert : Ausschneide-, Kopier- und Einfügeaktionen zwischen dieser App und anderen Apps nicht zulassen.
Richtlinienverwaltete Apps : Nur Ausschneide-, Kopierund Einfügeaktionen zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen.
Richtlinienverwaltete Apps mit Einfügen :
Ausschneiden oder Kopieren zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen. Einfügen von Daten aus beliebigen Apps in diese App zulassen.
Alle Apps : Keine Einschränkungen für das
Ausschneiden, Kopieren und Einfügen in und aus dieser
App.
Internet-Links in der App können nur mit dem Intune
Managed Browser geöffnet werden.
314 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld Beschreibung
App-Daten verschlüsseln Daten werden mit einem von Intune festgelegten
Verschlüsselungsschema verschlüsselt.
Kontaktsynchronisierung deaktivieren Die App speichert keine Daten in der App Kontakte.
Drucken deaktivieren Die App-Funktion „Drucken“ ist deaktiviert.
Zugriff
Unter Zugriff konfigurieren Sie Regeln für den App-Zugriff, wenn sich Benutzer mit ihrem
Unternehmenskonto anmelden.
Einstellung/Feld
PIN für Zugriff anfordern
Beschreibung
Zum Starten der App ist eine PIN erforderlich.
Benutzer werden aufgefordert, eine PIN festzulegen, wenn sie sich zum ersten Mal mit ihrem
Unternehmenskonto an der App anmelden.
Hinweis
Alle von Intune verwalteten Apps verwenden dieselbe
PIN.
Anzahl der Versuche vor dem
Zurücksetzen der PIN
Einfache PIN verbieten
PIN-Länge
Fingerabdruck verbieten
Unternehmensanmeldeinformationen für Zugriff erforderlich
Ausführung verwalteter Apps auf gerooteten Geräten blockieren
Die Anzahl fehlerhafter Anmeldeversuche, nach der die
PIN zurückgesetzt wird.
Benutzer dürfen keine einfachen PIN-Sequenzen wie z.B. 1234 oder 1111 verwenden.
Die Mindestanzahl an Ziffern in der PIN-Sequenz.
Benutzer können keinen Fingerabdruck anstelle der PIN verwenden, um sich zu authentisieren.
Benutzer müssen ihr Unternehmenskennwort anstelle einer PIN eingeben.
Diese Einstellung überschreibt die anderen PIN-
Anforderungen.
Auf gerooteten Geräten können Benutzer sich nicht mit ihrem Unternehmenskonto anmelden.
Copyright © 2018 Sophos Limited 315
Sophos Mobile on Premise
Einstellung/Feld
Timeout für Zugriffsanforderungen
Offline-Toleranzperiode
Offline-Intervall, bevor App-Daten zurückgesetzt werden
Beschreibung
Zeit in Minuten nach dem Start der App, bevor die (in dieser Richtlinie festgelegten) Zugriffsanforderungen erneut überprüft werden.
Hinweis
Nachdem Benutzer einmal die PIN eingegeben haben, können sie innerhalb dieser Zeitspanne andere von
Intune verwaltete Apps verwenden, ohne die PIN erneut eingeben zu müssen.
Zeit in Minuten, die ein Gerät offline sein darf, bevor die
Zugriffsanforderungen der App erneut überprüft werden.
Nach Ablauf dieser Zeitspanne muss der Benutzer das
Gerät mit dem Netzwerk verbinden und sich erneut authentisieren.
Anzahl an Tagen, die ein Gerät offline sein darf, bevor der Benutzer das Gerät mit dem Netzwerk verbinden und sich erneut authentisieren muss.
Wenn die Authentifizierung fehlschlägt, werden die
Unternehmensdaten vom Gerät gelöscht.
Hinweis
Es werden auch Daten in der App Kontakte gelöscht, die aus der App Microsoft Outlook stammen.
Screenshots und Android-Assistent blockieren
Benutzer können keine Screenshots machen oder
Google Assistant verwenden.
Hierdurch wird auch die App-Voransicht in der Liste zuletzt verwendeter Apps maskiert.
Erforderliche Android-Mindestversion Die niedrigste für die Verwendung der App erforderliche
Android-Version.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Empfohlene Android-Mindestversion Die niedrigste für die Verwendung der App empfohlene
Android-Version.
Wenn das Gerät diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
316 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Erforderliche App-Mindestversion
Empfohlene App-Mindestversion
Beschreibung
Die niedrigste für die Verwendung der App erforderliche
App-Version.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Die niedrigste für die Verwendung der App empfohlene
App-Version.
Wenn die App diese Anforderung nicht erfüllt, erhält der
Benutzer einen Hinweis, den er aber ignorieren kann.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Erforderliche Android-Sicherheitspatch-
Mindestversion
Die niedrigste für die Verwendung der App erforderliche
Android-Sicherheitspatch-Ebene.
Geben Sie das Sicherheitspatch-Datum im Format
JJJJ-MM-TT ein.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Empfohlene Android-Sicherheitspatch-
Mindestversion
Die niedrigste für die Verwendung der App empfohlene
Android-Sicherheitspatch-Ebene.
Geben Sie das Sicherheitspatch-Datum im Format
JJJJ-MM-TT ein.
Wenn das Gerät diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
21.6 Einstellungen für Intune-App-Schutz-
Richtlinien (iOS)
Mit einer Richtlinie vom Typ Intune App-Schutz definieren Sie Einschränkungen für Apps, die mit
Intune verwaltet werden. Dieser Abschnitt beschreibt die verfügbaren Einstellungen für iOS-Apps.
Allgemeine Einstellungen
Einstellung/Feld
Name
Beschreibung
Beschreibung
Der Name der Richtlinie.
Eine kurze Beschreibung der Richtlinie.
Copyright © 2018 Sophos Limited 317
Sophos Mobile on Premise
Datenverschiebung
Unter Datenverschiebung konfigurieren Sie Regeln für den Import und Export von Daten in die (bzw.
aus der) App.
Hinweis
Alle Einstellungen gelten für Daten, auf die ein Benutzer zugreift, wenn er mit seinem
Unternehmenskonto angemeldet ist.
Einstellung/Feld iTunes- und iCloud-Sicherungen verhindern
Beschreibung
Die App sichert keine Daten in iTunes oder iCloud.
App Übertragung von Daten an andere
Apps erlauben
Geben Sie an, welche Apps Daten von dieser App empfangen können:
Richtlinienverwaltete Apps : Datenübertragung nur an
Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.
Alle Apps : Transfer an alle Apps erlauben
Keine Apps : Keinen Transfer an andere Apps erlauben.
Hinweis
• Zu einigen Apps oder Diensten ist die
Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-
Dokumentation die Beschreibung zu Ausnahmen für
Datenübertragungen.
• Richtlinienverwaltete Apps und Keine Apps blockieren auch die Siri-Suche in der App.
318 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
App Empfang von Daten aus anderen
Apps erlauben
Beschreibung
Geben Sie an, welche Apps Daten an diese App
übertragen können:
Richtlinienverwaltete Apps : Datenübertragung nur von
Apps erlauben, die mit einer Intune-Richtlinie verwaltet werden.
Alle Apps : Transfer von allen Apps erlauben
Keine Apps : Keinen Transfer von anderen Apps erlauben.
Hinweis
• Von einigen Apps oder Diensten ist die
Datenübertragung möglicherweise immer erlaubt. Zu Details siehe in der Microsoft-Intune-
Dokumentation die Beschreibung zu Ausnahmen für
Datenübertragungen.
• Einige Apps ignorieren diese Einstellung und erlauben sämtliche eingehenden Daten.
„Speichern unter“ verhindern
Speicherorte
Beschränken von Ausschneiden,
Kopieren und Einfügen mit anderen
Apps
Anzeige von Web-Inhalten auf den
Managed Browser beschränken
Die App-Funktion „Speichern unter“ ist deaktiviert.
Wenn „Speichern unter“ verhindern ausgewählt ist, wählen Sie die Speicherorte für Unternehmensdaten aus.
Benutzer können Daten an den ausgewählten Orten speichern. Andere Orte sind blockiert.
Geben Sie an, wann Ausschneide-, Kopier- und
Einfügeaktionen in dieser App erlaubt sind:
Blockiert : Ausschneide-, Kopier- und Einfügeaktionen zwischen dieser App und anderen Apps nicht zulassen.
Richtlinienverwaltete Apps : Nur Ausschneide-, Kopierund Einfügeaktionen zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen.
Richtlinienverwaltete Apps mit Einfügen :
Ausschneiden oder Kopieren zwischen dieser App und anderen mit einer Intune-Richtlinie verwalteten Apps zulassen. Einfügen von Daten aus beliebigen Apps in diese App zulassen.
Alle Apps : Keine Einschränkungen für das
Ausschneiden, Kopieren und Einfügen in und aus dieser
App.
Internet-Links in der App können nur mit dem Intune
Managed Browser geöffnet werden.
Copyright © 2018 Sophos Limited 319
Sophos Mobile on Premise
Einstellung/Feld Beschreibung
App-Daten verschlüsseln Wählen Sie aus, wie Daten verschlüsselt werden.
Daten werden mit dem von iOS festgelegten Geräte-
Verschlüsselungsschema verschlüsselt.
Wenn das Gerät gesperrt ist : App-Daten werden verschlüsselt, solange das Gerät gesperrt ist.
Wenn das Gerät gesperrt ist und Dateien geöffnet sind : App-Daten werden verschlüsselt, solange das
Gerät gesperrt ist, mit Ausnahme von Dateien, die in der
App geöffnet sind.
Nach Geräteneustart : App-Daten werden verschlüsselt, wenn das Gerät neu gestartet wird, und solange, bis das
Gerät zum ersten Mal entsperrt wird.
Geräteeinstellungen verwenden : App-Daten werden basierend auf den Geräteeinstellungen verschlüsselt.
Kontaktsynchronisierung deaktivieren Die App speichert keine Daten in der App Kontakte.
Drucken deaktivieren Die App-Funktion „Drucken“ ist deaktiviert.
Zugriff
Unter Zugriff konfigurieren Sie Regeln für den App-Zugriff, wenn sich Benutzer mit ihrem
Unternehmenskonto anmelden.
Einstellung/Feld
PIN für Zugriff anfordern
Beschreibung
Zum Starten der App ist eine PIN erforderlich.
Benutzer werden aufgefordert, eine PIN festzulegen, wenn sie sich zum ersten Mal mit ihrem
Unternehmenskonto an der App anmelden.
Hinweis
Alle von Intune verwalteten Apps desselben
Herausgebers verwenden dieselbe PIN.
Kennworttyp Die Art der PIN, die Benutzer definieren müssen:
Numerisch : PIN darf nur Ziffern enthalten.
Kennung : PIN muss mindestens einen Buchstaben, ein
Sonderzeichen oder ein Symbol enthalten, wie sie auf einer englischen iOS-Tastatur enthalten sind.
Hinweis
Kennung wird von einigen Apps nicht unterstützt.
320 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Einstellung/Feld
Anzahl der Versuche vor dem
Zurücksetzen der PIN
Einfache PIN verbieten
PIN-Länge
Fingerabdruck verbieten
Gesichtserkennung verbieten
Unternehmensanmeldeinformationen für Zugriff erforderlich
Ausführung verwalteter Apps auf
Geräten mit Jailbreak blockieren
Timeout für Zugriffsanforderungen
Beschreibung
Die Anzahl fehlerhafter Anmeldeversuche, nach der die
PIN zurückgesetzt wird.
Benutzer dürfen keine einfachen PIN-Sequenzen wie z.B. 1234 oder 1111 verwenden.
Wenn für Kennworttyp der Wert Kennung ausgewählt ist, muss die PIN mindestens sowohl eine Ziffer, einen
Buchstaben als auch ein Sonderzeichen oder Symbol enthalten.
Die Mindestanzahl an Zeichen in der PIN-Sequenz.
Benutzer können nicht Touch ID anstelle der PIN verwenden, um sich zu authentisieren.
Benutzer können nicht Face ID anstelle der PIN verwenden, um sich zu authentisieren.
Benutzer müssen ihr Unternehmenskennwort anstelle einer PIN eingeben.
Diese Einstellung überschreibt die anderen PIN-
Anforderungen.
Auf Geräten mit Jailbreak können Benutzer sich nicht mit ihrem Unternehmenskonto anmelden.
Zeit in Minuten nach dem Start der App, bevor die (in dieser Richtlinie festgelegten) Zugriffsanforderungen erneut überprüft werden.
Hinweis
Nachdem Benutzer einmal die PIN eingegeben haben, können sie innerhalb dieser Zeitspanne andere von Intune verwaltete Apps desselben Herausgebers verwenden, ohne die PIN erneut eingeben zu müssen.
Offline-Toleranzperiode Zeit in Minuten, die ein Gerät offline sein darf, bevor die
Zugriffsanforderungen der App erneut überprüft werden.
Nach Ablauf dieser Zeitspanne muss der Benutzer das
Gerät mit dem Netzwerk verbinden und sich erneut authentisieren.
Copyright © 2018 Sophos Limited 321
Sophos Mobile on Premise
Einstellung/Feld
Offline-Intervall, bevor App-Daten zurückgesetzt werden
Beschreibung
Anzahl an Tagen, die ein Gerät offline sein darf, bevor der Benutzer das Gerät mit dem Netzwerk verbinden und sich erneut authentisieren muss.
Wenn die Authentifizierung fehlschlägt, werden die
Unternehmensdaten vom Gerät gelöscht.
Hinweis
Es werden auch Daten in der App Kontakte gelöscht, die aus der App Microsoft Outlook stammen.
Erforderliche iOS-Mindestversion
Empfohlene iOS-Mindestversion
Erforderliche App-Mindestversion
Empfohlene App-Mindestversion
Die niedrigste für die Verwendung der App erforderliche iOS-Version.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Die niedrigste für die Verwendung der App empfohlene iOS-Version.
Wenn das Gerät diese Anforderung nicht erfüllt, erhält der Benutzer einen Hinweis, den er aber ignorieren kann.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Die niedrigste für die Verwendung der App erforderliche
App-Version.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Die niedrigste für die Verwendung der App empfohlene
App-Version.
Wenn die App diese Anforderung nicht erfüllt, erhält der
Benutzer einen Hinweis, den er aber ignorieren kann.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
Erforderliche Mindestversion des „SDK für Intune-App-Schutz-Richtlinien“
Die niedrigste für die Verwendung der App erforderliche
Version des SDK für Intune-App-Schutz-Richtlinien.
Lassen Sie das Feld leer, um keine Einschränkung zu konfigurieren.
322 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
22 Administratoren erstellen
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Administratoren , um die Seite Administratoren anzeigen zu öffnen, und anschließend auf Administrator erstellen .
2. Konfigurieren Sie auf der Seite Administrator bearbeiten die Kontodaten für den Administrator.
• Wenn Externes LDAP-Verzeichnis als Benutzerverzeichnis für den Kunden ausgewählt ist, können Sie auf Benutzer mittels LDAP nachschlagen klicken, um einen bestehendes LDAP-
Konto auszuwählen.
• Wenn Sie kein externes Benutzerverzeichnis verwenden, geben Sie die relevanten
Informationen für Anmeldename , Vorname , Nachname , E-Mail-Adresse und Kennwort ein.
Das Kennwort, das Sie angeben, ist nur einmal gültig. Der Administrator muss das Kennwort bei der ersten Anmeldung ändern.
Hinweis
Das Feld Anmeldename darf nur Buchstaben (Lateinisches Alphabet), Ziffern, Leerzeichen, oder die Zeichen \!._-# enthalten.
3. Wählen Sie aus der Liste Rolle eine der vorhandenen Rollen aus.
Über die Rolle werden die Zugriffsrechte des neuen Administrators in Sophos Mobile definiert.
Siehe
(Seite 4).
4. Klicken Sie auf Speichern , um das Administrator-Konto anzulegen.
Der neue Administrator wird angelegt und auf der Seite Administratoren anzeigen angezeigt. Geben
Sie die Benutzeranmeldedaten (Benutzer, Kunde und einmal zu verwendendes Kennwort) an den neuen Benutzer weiter. Der neue Benutzer kann sich an Sophos Mobile Admin anmelden und wird zum Ändern seines Kennworts aufgefordert.
Copyright © 2018 Sophos Limited 323
Sophos Mobile on Premise
23 Nachrichten an Geräte senden
Hinweis
Dieser Abschnitt gilt nicht für Windows-Computer und Windows-IoT-Geräte.
Sie können eine selbstdefinierte Nachricht an verwaltete Geräte senden.
1. Klicken Sie in der Menüleiste unter VERWALTUNG auf Geräte .
Die Seite Geräte wird angezeigt.
2. Wählen Sie ein oder mehrere Geräte aus, klicken Sie auf Aktionen und anschließend auf
Nachricht senden .
3. Geben Sie im Dialogfeld Mitteilungstext eingeben die gewünschte Mitteilung ein.
Die Nachricht kann bis zu 500 Zeichen enthalten.
4. Klicken Sie auf Fertigstellen .
324 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
24 Sophos Mobile Security verwalten
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
Sophos Mobile Security ist eine Sicherheits-App für Android-Geräte, die Geräte vor schädlichen Apps schützt und Benutzer beim Erkennen von App-Berechtigungen unterstützt, die möglicherweise ein
Sicherheitsrisiko darstellen. Seine Webfilter-Funktion erlaubt Ihnen, Websites nach Kategorien zu filtern und unpassende Inhalte zu blockieren.
In Sophos Mobile Admin können Sie folgendermaßen die App Sophos Mobile Security auf Geräten verwalten, die bei Sophos Mobile registriert sind:
• Sie können die Einstellungen für die App Sophos Mobile Security zentral und per Fernzugriff konfigurieren.
• Sie können sicherstellen, dass die App Sophos Mobile Security installiert ist und in festgelegten
Intervallen Scans durchführt. Sie können dies als Compliance-Regel definieren.
• Sie können Scans bei bestimmten Geräten auslösen.
• Sie können die Scan-Ergebnisse für Geräte anzeigen.
Weitere Informationen zu Sophos Mobile Security finden Sie in der Sophos Mobile Security Hilfe.
24.1 Antivirus-Einstellungen für Sophos Mobile
Security konfigurieren
Voraussetzung: Sie haben eine Lizenz vom Typ Mobile Advanced aktiviert.
1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf Android .
Die Seite Profile und Richtlinien wird angezeigt.
2. Klicken Sie auf Erstellen und wählen Sie Mobile-Security-Richtlinie aus.
Die Seite Richtlinie bearbeiten wird angezeigt.
3. Geben Sie einen Namen für das neue Profil ein.
4. Geben Sie im Feld Beschreibung eine Beschreibung für das Profil ein.
5. Klicken Sie auf Konfiguration hinzufügen .
Die Seite Verfügbare Konfigurationen wird angezeigt.
6. Wählen Sie Antivirus und klicken Sie auf Weiter .
Die Einstellungen-Ansicht der Konfiguration wird angezeigt.
7. Öffnen Sie die Registerkarte Antivirus .
8. Unter Allgemein können Sie folgende Einstellungen festlegen: a) Legen Sie im Feld Cloud Scan-Modus fest, wann Sophos Mobile Security einen Scan nach den aktuellen Malware-Informationen durchführen soll. Wählen Sie eine der folgenden
Optionen, um festzulegen, wann die Anwendung eine Cloud-Abfrage nutzen soll:
• Immer
• Nicht bei Roaming
• Nur WLAN
Copyright © 2018 Sophos Limited 325
Sophos Mobile on Premise
Mit dieser Einstellung lässt sich der Datenverkehr der Anwendung steuern. Wenn Sie für die
Option Cloud Scan-Modus den Wert Nur WLAN auswählen, wird die Cloud-Abfrage nur dann durchgeführt, wenn das Gerät eine WLAN-Verbindung hat. Wenn Sie für die Option
Cloud Scan-Modus den Wert Nicht bei Roaming auswählen, wird keine Cloud-Abfrage durchgeführt, während das Gerät einen Roaming-Vorgang in einem fremden Netzwerk durchführt.
b) Wählen Sie in der Liste Scan-Intervall aus, wie oft Scans ausgeführt werden sollen.
Wenn Sie Täglich beim Laden auswählen, wird ein Scan durchgeführt, wenn das Gerät länger als 30 Minuten an einer Stromquelle angeschlossen ist.
9. Unter Ziele können Sie folgende Einstellungen festlegen: a) Wählen Sie System Apps scannen , um System Apps in die Scan-Vorgänge einzubeziehen.
System Apps werden standardmäßig nicht gescannt, da diese durch das Android-
Betriebssystem geschützt sind und nicht vom Benutzer entfernt werden können. Sie können jedoch hier das Scannen von System Apps aktivieren.
b) Wählen Sie Speicher scannen aus, um – zusätzlich zu dem standardmäßigen Scan aller installierten Anwendungen – alle Datei in folgenden Bereichen auf Bedrohungen zu scannen:
Interner geteilter Speicher, SD-Karte, verbundene USB-Geräte.
10. Unter PUAs können Sie Folgendes auswählen: a) Wenn Sie PUAs erkennen wählen, wird ein Scan-Vorgang nach PUAs (Potentially Unwanted
Applications) durchgeführt.
Potenziell unerwünschte Apps (PUAs) sind Apps, die zwar nicht schädlich sind, jedoch für
Unternehmensnetzwerke als ungeeignet angesehen werden. Dazu gehören beispielsweise
Adware, Dialer (Einwahlprogramme), Systemmonitore, Remote-Verwaltungs- und Hacking-
Tools. Einige Apps, die unter PUAs fallen, können für manche Benutzer jedoch hilfreich sein.
Wenn Sie diese Option wählen, erkennt Sophos Mobile Security potenziell unerwünschte Apps im Rahmen von Scan-Vorgängen und benachrichtigt den Benutzer entsprechend.
b) Wählen Sie Benutzer darf Apps erlauben , damit die Benutzer Apps erlauben können, obwohl diese als PUAs erkannt wurden. Der Benutzer kann diese Apps als ignoriert kennzeichnen. In nachfolgenden Scans werden diese Apps nicht als PUAs angezeigt.
11. Unter Apps mit niedriger Reputation können Sie definieren, wie mit derartigen Apps umgegangen werden soll. Die Klassifizierung von Apps basiert auf Sophos Live Protection Daten.
Unter Modus können Sie Folgendes auswählen: a) Wählen Sie Erlauben , um das Scannen nach Apps niedriger Reputation auszuschalten.
b) Wählen Sie Warnen , um eine Warnung am Gerät anzuzeigen, wenn eine App niedriger
Reputation erkannt wurde. Die Benutzer können dann wählen, wie die App behandelt werden soll. Sie können sie zu einer Liste von erlaubten Apps hinzufügen, so dass keine weiteren
Warnungen angezeigt werden, wenn diese App erkannt wird.
c) Wählen Sie Blockieren aus, um zu verhindern, dass Apps niedriger Reputation gestartet werden. Eine Warnung wird angezeigt, und der Benutzer kann die App nicht starten.
12. Unter Sophos Live-Schutz können Sie Folgendes auswählen: a) Aktivieren Sie das Kontrollkästchen Scan-Benachrichtigungen , um Scan-Benachrichtigungen auf dem Gerät zu erhalten.
b) Wählen Sie Speicher überwachen aus, um internen geteilten Speicher, SD-Karte und verbundene USB-Geräte auf Änderungen zu überwachen. Wenn neue Dateien in diesen
Bereichen gespeichert werden, werden diese gescannt.
13. Wenn die Scanergebnisse Apps enthalten, die gestartet werden dürfen, können Sie diese zur Liste der erlaubten Apps hinzufügen. Apps auf dieser Liste dürfen immer gestartet werden. Die Apps werden nicht gemeldet.
Um eine solche App zu identifizieren, können Sie die Scan-Ergebnisse von Sophos Mobile Security
verwenden. Siehe Scan-Resultate von Sophos Mobile Security anzeigen (Seite 328). Bevor Sie
326 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise erlauben können, dass diese Apps auf den Geräten gestartet werden dürfen, müssen Sie sie zu einer App-Gruppe hinzufügen, wie in
App-Gruppen (Seite 287) beschrieben.
14. Um erlaubte Apps hinzuzufügen, wählen Sie die App-Gruppe aus, welche die erlaubten Apps enthält.
15. Klicken Sie auf Anwenden .
24.2 Webfilter-Einstellungen für Sophos Mobile
Security konfigurieren
Voraussetzung: Sie haben eine Lizenz vom Typ Mobile Advanced aktiviert.
Die App „Sophos Mobile Security“ schützt Sie vor Internetseiten mit schädlichem, unerwünschtem oder illegalem Inhalt.
Hinweis
Web Filtering funktioniert nur mit dem Android-Webbrowser, dem Samsung-Webbrowser, dem
ASUS-Webbrowser oder mit Google Chrome. Auf Geräten mit Android 6.0 oder höher werden außerdem Firefox, Opera und Opera Mini unterstützt.
1. Klicken Sie im Abschnitt KONFIGURATION der Menüleiste auf Profile, Richtlinien und anschließend auf Android .
Die Seite Profile und Richtlinien wird angezeigt.
2. Klicken Sie auf Erstellen und wählen Sie Mobile-Security-Richtlinie aus.
Die Seite Richtlinie bearbeiten wird angezeigt.
3. Geben Sie einen Namen für das neue Profil ein.
4. Geben Sie im Feld Beschreibung eine Beschreibung für das Profil ein.
5. Klicken Sie auf Konfiguration hinzufügen .
Die Seite Verfügbare Konfigurationen wird angezeigt.
6. Wählen Sie Webfilter und klicken Sie auf Weiter .
Die Seite Web-Filter wird angezeigt.
7. Konfigurieren Sie im Feld Schädliche Websites filtern den Zugriff auf Websites mit schädlichem
Inhalt.
8. Konfigurieren Sie unter Websites nach Kategorien filtern den Zugriff auf Websites der verschiedenen Kategorien.
Websites werden basierend auf Daten von SophosLabs kategorisiert. Die Daten werden laufend aktualisiert.
9. Unter Website-Ausschlüsse können Sie Folgendes festlegen: a) Erlaubte Domänen : Fügen Sie Domänen oder IP-Adressen hinzu, die auch dann erlaubt sind, wenn die Kategorie, der sie angehören, blockiert wird.
b) Blockierte Domänen : Fügen Sie Domänen oder IP-Adressen hinzu, die auch dann blockiert sind, wenn die Kategorie, der sie angehören, erlaubt wird.
Sie können Domänen-Namen oder IP-Adressen eingeben. Beispiel: www.firma.de, *.firma.de,
10.2.0.1, 10.2.0.1/24
10. Klicken Sie auf Anwenden .
Einstellungen, die Sie in Sophos Mobile machen, können von den Benutzern nicht geändert werden.
Copyright © 2018 Sophos Limited 327
Sophos Mobile on Premise
24.3 Compliance-Regeln für Sophos Mobile
Security definieren
Voraussetzung: Sie haben eine Lizenz vom Typ Mobile Advanced aktiviert.
Sie können Compliance-Regeln konfigurieren, die sich auf Sophos Mobile Security beziehen.
1. Fügen Sie eine neue Compliance-Richtlinie hinzu oder öffnen Sie eine bereits vorhandene zum
Bearbeiten. Weitere Informationen finden Sie in Compliance-Richtlinien (Seite 43).
2. Öffnen Sie die Registerkarte Android .
3. Im Feld Max. SMSec-Scanintervall können Sie das maximale Scanintervall zwischen Malware-
Scans angeben, die von der App „Sophos Mobile Security“ durchgeführt werden.
4. Wählen Sie in der Liste Ablehnung von SMSec-Berechtigungen erlaubt aus, ob die Ablehnung der erforderlichen Berechtigungen ein Compliance-Verstoß ist.
5. Wählen Sie in der Liste Malware Apps zugelassen aus, ob Malware-Apps erlaubt sind.
6. Wählen Sie in der Liste Verdächtige Apps zugelassen aus, ob verdächtige Apps erlaubt sind.
7. Wählen Sie in der Liste PUA zugelassen aus, ob PUAs (Potentially Unwanted Apps) erlaubt sind.
8. Wenn Sie alle erforderlichen Einstellungen konfiguriert haben, klicken Sie auf Speichern .
24.4 Scan-Resultate von Sophos Mobile Security anzeigen
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf das blaue Dreieck neben dem gewünschten Gerät und anschließend auf
Bearbeiten , oder klicken Sie auf den Gerätenamen.
Die Seite Gerät anzeigen oder die Seite Gerät bearbeiten wird angezeigt.
3. Öffnen Sie die Registerkarte Scan-Ergebnisse .
Diese Registerkarte zeigt die Sophos Mobile Security Scan-Ergebnisse. Die unsauberen Pakete, zum Beispiel PUAs (Potentially Unwanted Apps), werden in einer Tabelle angezeigt. Unter Threat-
Name können Sie auf die Links klicken, um weitere Informationen von Sophos Labs zur den einzelnen Bedrohungen anzuzeigen.
4. Öffnen Sie die Registerkarte Compliance-Verstöße , um die mit den Scan-Ergebnissen verbundenen Compliance-Verstöße zu sehen. Welche Verstöße angezeigt werden, richtet sich nach den Sophos Mobile Security Compliance-Regeln.
328 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
24.4.1 Liste erlaubter PUAs und Apps mit niedriger Reputation erstellen
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
Sie können die Scan-Ergebnisse der App Sophos Mobile Security verwenden, um eine Liste der erlaubten Apps zu erstellen.
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf das blaue Dreieck neben dem Gerät, dessen Scan-Ergebnisse Sie verwenden wollen, und anschließend auf Bearbeiten .
3. Öffnen Sie die Registerkarte Scan-Ergebnisse .
Die unsauberen Pakete werden in einer Tabelle angezeigt. Die Spalte Threat-Name zeigt an, ob das angezeigte Paket eine App niedriger Reputation, eine PUA oder Malware ist. Sie können auf die Links klicken, um weitere Informationen zur den einzelnen Bedrohungen von SophosLabs abzurufen.
Gefundene Apps mit niedriger Reputation und PUAs haben ein blaues Häkchen-Symbol links vom
Paketnamen. Nur diese Apps können zur Liste der erlaubten Apps hinzugefügt werden.
4. Klicken Sie auf das blaue Häkchen-Symbol, um die App zur Liste der erlaubten Apps hinzuzufügen.
5. Klicken Sie im Dialogfeld auf Ja , um die Aktion zu bestätigen.
Die App wird zur Liste der erlaubten Apps hinzugefügt.
6. Wiederholen Sie diesen Schritt für alle Apps, die Sie hinzufügen möchten.
7. Um die Liste anzuzeigen, gehen Sie auf Einstellungen und klicken Sie auf Allgemein .
8. Klicken Sie auf Liste der erlaubten Apps anzeigen .
Alle Apps, die Sie hinzugefügt haben, werden angezeigt. Apps auf dieser Liste dürfen auf allen verwalteten Geräten gestartet werden. Die Apps werden nicht mehr gemeldet.
Wenn Sie auf Liste der erlaubten Apps löschen klicken, werden alle Listeneinträge gelöscht.
Copyright © 2018 Sophos Limited 329
Sophos Mobile on Premise
330
25 Sophos-Container
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
Der Sophos-Container ist ein logischer Bereich auf einem Gerät, in dem die Apps Sophos Secure
Workspace, Sophos Secure Email und Sophos Mobile Security installiert sind, wenn sie von Sophos
Mobile verwaltet werden.
Der Sophos-Container ist auf folgenden Plattformen verfügbar:
• Android
• iOS
25.1 Sophos-Container-Registrierung konfigurieren
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
Damit Geräte unter Verwendung des Registrierungstyps Sophos-Container bei Sophos Mobile registriert werden können, müssen Sie die folgenden Schritte durchführen. Führen Sie dies für alle
Plattformen (Android, iOS) durch, für welche Sie die Sophos-Container-Registrierung einsetzen wollen.
1. Erstellen Sie eine Container-Richtlinie. Siehe
Konfigurationen für Sophos-Container-Richtlinien für
Konfigurationen für Sophos-Container-Richtlinien für iOS
(Seite 187).
2. Verwenden Sie diese Container-Richtlinie in einem Auftragspaket.
Das Auftragspaket muss mindestens einen Auftrag Sophos-Container registrieren und einen
Auftrag Profil installieren
enthalten. Siehe Auftragspakete erstellen (Seite 256).
3. Verwenden Sie dieses Auftragspaket als Einrichtungspaket für die Registrierung im Self Service
Portal:
In den Einstellungen für das Self Service Portal wählen Sie auf der Registerkarte
Gruppeneinstellungen dieses Auftragspaket im Feld Einrichtungspaket - Firmengeräte oder Einrichtungspaket - Privatgeräte
aus. Siehe Einstellungen für das Self Service Portal konfigurieren (Seite 24).
25.2 Die Mobile Advanced Lizenz
Wenn Sie eine Lizenz vom Typ Mobile Advanced aktivieren, können Sie folgende zusätzlichen
Funktionen verwenden:
• Die Apps Sophos Secure Workspace und Secure Email verwalten. Siehe
Sophos-Container-Apps verwalten
(Seite 331).
•
Die App Sophos Mobile Security auf Android-Geräten verwalten. Siehe Sophos Mobile Security verwalten
(Seite 325).
Nachdem Sie Ihren Lizenzschlüssel erhalten haben, müssen Sie die Lizenz aktivieren.
Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
Eine Lizenz vom Typ Mobile Advanced für Sophos Mobile on Premise aktivieren
Für Sophos Mobile on Premise werden die Lizenzen vom Superadministrator in der Kundenverwaltung verwaltet. Weitere Informationen finden Sie im Dokument Sophos Mobile Superadministrator-Anleitung
(englisch) .
Eine Lizenz vom Typ Mobile Advanced für Sophos Mobile as a Service aktivieren
Rufen Sie in Sophos Mobile Admin EINSTELLUNGEN > Einrichtung > Systemeinstellungen >
Lizenz auf und geben Sie Ihren Lizenzschlüssel im Feld Advanced-Lizenzschlüssel ein.
25.3 Sophos-Container-Apps verwalten
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
Für eine bessere Trennung der Daten auf den mit Sophos Mobile verwalteten Geräten stehen die
Sophos-Container-Apps Sophos Secure Email und Sophos Secure Workspace zur Verfügung:
• Sophos Secure Email ist eine App für Geräte mit Android oder iOS, die einen sicheren Container zur Verwaltung Ihrer E-Mails, Ihres Kalenders und Ihrer Kontakte bereitstellt.
• Sophos Secure Workspace ist eine App für Geräte mit Android oder iOS, die es Benutzern erlaubt, auf verschlüsselte Dateien zuzugreifen, die in der Cloud gespeichert sind. Dateien können nahtlos entschlüsselt und angezeigt werden. Verschlüsselte Dateien können von anderen Apps übergeben und zu einem der unterstützten Cloud-Speicheranbieter hochgeladen werden. Alternativ können die Dokumente lokal innerhalb der App gespeichert werden.
Mit Sophos Secure Workspace können Sie mit SafeGuard Cloud Storage oder SafeGuard Data
Exchange verschlüsselte Dateien lesen. SafeGuard Cloud Storage und SafeGuard Data Exchange sind Module von SafeGuard Enterprise oder einer der verschiedenen Produkteditionen. Mit diesen Modulen lassen sich Dateien mit einem lokalen Schlüssel verschlüsseln. Diese lokalen
Schlüssel werden aus einer Passphrase abgeleitet, die von einem Benutzer eingegeben wird. Sie können eine Datei nur dann entschlüsseln, wenn Sie die Passphrase kennen, mit der die Datei verschlüsselt wurde.
Durch den Sophos-Container wird folgendes verwaltet:
• Zentral festgelegte Kennwort-Regeln
• Kennwort-Regeln für alle Container-Apps
• Single-Sign-On für alle Container-Apps
• Dokumenteinstellungen für Sophos Secure Workspace
• Browser-Einstellungen für Sophos Secure Workspace
• Einstellungen für Sophos Secure Email
So verwalten Sie die Sophos-Apps mit Sophos Mobile:
• Sie können die Einstellungen für die Sophos-Container-Apps auf allen verwalteten Geräten zentral und per Fernzugriff in Sophos Mobile konfigurieren. Siehe
Konfigurationen für Sophos-Container-
Copyright © 2018 Sophos Limited 331
Sophos Mobile on Premise
Richtlinien für Android (Seite 139) und
Konfigurationen für Sophos-Container-Richtlinien für iOS
(Seite 187).
• Mit Compliance-Richtlinien können Sie sicherstellen, dass die Sophos-Container-Apps auf den
Geräten installiert sind.
• Sie können die sichere Verteilung von Dokumenten aktivieren, indem Sie den Speicheranbieter
Unternehmensdokumente verwenden. Siehe Unternehmensdokumente (Seite 290).
• Sie können die Synchronisierung des Unternehmens-Schlüsselbundes zwischen Sophos Secure
Workspace und Sophos SafeGuard Enterprise aktivieren. Dadurch haben Benutzer in ihrem
Schlüsselbund in Sophos Secure Workspace auch Zugriff auf die Schlüssel ihres SafeGuard-
Schlüsselbundes. Siehe Synchronisierung des Unternehmens-Schlüsselbundes aktivieren (Seite
334).
Hinweis
Um die Sophos-Container-Apps verwalten zu können, müssen diese mit Sophos Mobile verteilt worden sein. Falls Benutzer bereits eine nicht verwaltete Version von Sophos Secure Workspace auf ihren Geräten installiert haben, müssen Sie diese zunächst deinstallieren und anschließend die verwaltete Version installieren.
Weitere Informationen zu Sophos Secure Workspace finden Sie in der Hilfe zu Sophos Secure
Workspace.
25.4 Sophos-Container-Kennwort zurücksetzen
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
Hinweis
Dieser Abschnitt gilt nur für Geräte, denen eine Sophos-Container-Richtlinie zugewiesen ist.
Sie können das Sophos-Container-Kennwort zurücksetzen. Das ist zum Beispiel hilfreich, wenn
Benutzer ihr Kennwort vergessen haben. Wenn Sie ein Sophos-Container-Kennwort zurücksetzen, werden die Benutzer aufgefordert, ein neues Container-Kennwort festzulegen.
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
Die Seite Geräte wird angezeigt.
2. Klicken Sie auf das Gerät, für das Sie das Sophos-Container-Kennwort zurücksetzen wollen.
Die Seite Gerät anzeigen wird angezeigt.
3. Klicken Sie auf Aktionen .
Das Aktionen Menü wird angezeigt.
4. Klicken Sie auf Sophos-Container-Kennwort zurücksetzen .
5. Klicken Sie im Dialogfeld auf Ja , um die Aktion zu bestätigen.
Das Sophos-Container-Kennwort wird zurückgesetzt. Der Benutzer muss ein neues Sophos-Container-
Kennwort eingeben.
332 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
25.5 Sophos-Container sperren und entsperren
Hinweis
Für diese Funktion benötigen Sie eine Lizenz vom Typ Mobile Advanced.
Hinweis
Dieser Abschnitt gilt nur für Geräte, denen eine Sophos-Container-Richtlinie zugewiesen ist.
Sie können den Sophos-Container sperren oder entsperren, d.h. die Zugriffsrechte für die Sophos-
Container-Apps und für im Container vorhandene Daten festlegen.
1. Klicken Sie im Abschnitt VERWALTUNG der Menüleiste auf Geräte .
2. Klicken Sie auf der Seite Geräte auf das blaue Dreieck neben dem Gerät, auf dem Sie den
Sophos-Container sperren oder entsperren wollen, und anschließend auf Anzeigen .
3. Klicken Sie auf der Seite Gerät anzeigen auf Aktionen > Sophos-Container-Zugriff festlegen .
4. Im Dialogfeld zum Festlegen der Zugriffsrechte wählen Sie eine der folgenden Einstellungen aus:
• Sperren : Der Sophos-Container wird gesperrt. Benutzer können den Sophos-Container nicht mehr verwenden.
• Erlauben : Der Sophos-Container wird entsperrt.
• Automatischer Modus : Der Sophos-Container ist gesperrt, solange das Gerät gegen eine
Compliance-Regel verstößt, bei der die Aktion Container sperren aktiviert ist. Dies ist das
Standardverhalten, wenn Sie keine Zugriffsrechte festgelegt haben.
5. Klicken Sie auf Ja .
Das Gerät wird angewiesen, sich mit dem Sophos Mobile Server zu synchronisieren. Bei der
Synchronisierung wird die Einstellung auf dem Gerät angewendet.
25.6 Synchronisierung des Unternehmens-
Schlüsselbundes
Durch die Synchronisierung des Unternehmens-Schlüsselbundes sind folgende zusätzliche Funktionen in der App „Sophos Secure Workspace“ verfügbar:
• Benutzer haben in ihrem Schlüsselbund in Sophos Secure Workspace (SSW-Schlüsselbund) auch
Zugriff auf die Schlüssel ihres Schlüsselbundes aus SafeGuard Enterprise.
• Benutzer der App können diese Schlüssel verwenden, um Dokumente zu entschlüsseln und zu betrachten, oder um Dokumente zu verschlüsseln.
• Nachdem Sie die Schlüsselbund-Synchronisierung aktiviert haben, können Benutzer weiterhin lokale Schlüssel aus ihrem SSW-Schlüsselbund verwenden.
• Benutzer können keine neuen lokale Schlüssel erstellen.
• Aus Sicherheitsgründen werden beim Sperren des Sophos-Containers alle Schlüssel vom Gerät entfernt, die aus dem SafeGuard-Schlüsselbund stammen.
Copyright © 2018 Sophos Limited 333
Sophos Mobile on Premise
25.6.1 Synchronisierung des Unternehmens-Schlüsselbundes aktivieren
Voraussetzungen:
• Sie verwenden Sophos SafeGuard Enterprise 8.0.
• Sie haben eine externe Benutzerverwaltung für das Self Service Portal konfiguriert, mit derselben
Active-Directory-Benutzerdatenbank wie für SafeGuard Enterprise.
• Sophos Secure Workspace wird von Sophos Mobile verwaltet. Dies erfordert eine Lizenz vom Typ
Mobile Advanced.
• Sophos Mobile Security muss in der Lage sein, mit Ihrem SafeGuard Enterprise Server über
HTTPS zu kommunizieren.
Um die Synchronisierung des Unternehmens-Schlüsselbundes zu aktivieren, richten Sie eine
Verbindung zwischen Sophos Mobile und Sophos SafeGuard Enterprise ein:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Systemeinstellungen und öffnen Sie anschließend die Registerkarte SGN .
2. Klicken Sie auf den Link Zertifikat , um das Zertifikat des Sophos Mobile Servers herunterzuladen.
3. Öffnen Sie das SafeGuard Management Center und navigieren Sie zu Extras >
Konfigurationspakete .
4. Klicken Sie auf der Registerkarte Server auf Hinzufügen , wählen Sie die Zertifikatdatei aus und klicken Sie auf OK . Ändern Sie nicht den Wert im Feld Servername .
5. Optional: Wählen Sie Recovery via mobile aus, um die Synchronisierung von BitLocker und
FileVault Wiederherstellungsschlüsseln mit der App „Sophos Secure Workspace“ zu aktivieren.
6. Konfigurieren Sie auf der Registerkarte Pakete für Managed Clients folgende Einstellungen:
• Wählen Sie im Feld Name des Konfigurationspakets die Option Managed Client (Default) aus.
• Wählen Sie im Feld Primärer Server Ihren SGN-Server aus.
• Wählen Sie im Feld Transportverschlüsselung die Option SSL aus.
7. Klicken Sie auf Konfigurationspaket erstellen .
8. Klicken Sie in Sophos Mobile Admin auf der Registerkarte SGN auf Datei hochladen , um das im
SafeGuard Management Center erstellte Konfigurationspaket nach Sophos Mobile hochzuladen.
9. Klicken Sie auf Speichern , um die Einstellungen für die SafeGuard-Integration zu speichern.
334 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
26 Daten von Sophos Mobile nach Sophos
Mobile in Central übertragen
Sie können Daten aus Sophos Mobile on Premise oder Sophos Mobile as a Service exportieren, um sie anschließend nach Sophos Mobile in Central zu importieren.
Folgende Elemente können übertragen werden:
• Profile
• Richtlinien
• App-Gruppen
Um Ihre Daten zu exportieren, führen Sie in Sophos Mobile on Premise oder Sophos Mobile as a
Service folgende Schritte aus:
1. Klicken Sie in der Menüleiste unter EINSTELLUNGEN auf Einrichtung > Export .
2. Unter Exportvorschau werden die zu exportierenden Elemente aufgeführt.
3. Klicken Sie auf Export und geben Sie anschließend ein Kennwort für die Austauschdatei ein, mit der die Daten nach Sophos Mobile in Central übertragen werden.
4. Klicken Sie auf Herunterladen .
Die Austauschdatei wird auf Ihren Computer heruntergeladen.
Um Ihre Daten nach Sophos Mobile in Central zu importieren, führen Sie in Sophos Central Admin folgende Schritte aus:
5. Klicken Sie in der Menüleiste unter Meine Produkte auf Mobil .
6. Klicken Sie in der Menüleiste der Ansicht Mobile unter EINSTELLUNGEN auf Einrichtung >
Importieren .
7. Klicken Sie auf Austauschdatei hochladen und wählen Sie anschließend die Austauschdatei aus.
Geben Sie das Kennwort ein, das Sie beim Exportieren der Daten festgelegt haben.
8. Klicken Sie auf Hochladen , um die Austauschdatei hochzuladen.
9. Unter Importvorschau werden die zu importierenden Elemente aufgeführt. Prüfen Sie, ob
Warnungen angezeigt werden.
Wichtig
Vorhandene Elemente mit demselben Namen wie zu importierende Elemente werden
überschrieben.
10. Klicken Sie auf Importieren , um die Daten in Ihr Konto bei Sophos Mobile in Central zu importieren.
Copyright © 2018 Sophos Limited 335
Sophos Mobile on Premise
27 Glossar
Kunde
Gerät
Registrierung
Enterprise App Store
Ersteinrichtung
Self Service Portal
Mobile-Advanced-Lizenz
SMSec
Sophos-Mobile-Client
Sophos-Mobile-Konsole
Sophos Mobile Security
Sophos Secure Email
Sophos Secure Workspace
336
Der Mandant, der Geräte verwaltet.
Das zu verwaltende Gerät (zum Beispiel ein
Smartphone oder Tablet, oder ein Gerät mit
Windows 10).
Der Vorgang der Registrierung von Geräten bei
Sophos Mobile.
Ein App-Archiv auf dem Sophos Mobile Server.
Der Administrator kann in Sophos Mobile Admin
Apps zum Enterprise App Store hinzufügen.
Benutzer können diese Apps anschließend mit der App Sophos Mobile Control auf ihren Geräten installieren.
Der Installationsvorgang der App Sophos Mobile
Control auf einem Gerät.
Die Web-Benutzeroberfläche, über die Benutzer ihre eigenen Geräte registrieren und andere
Aufgaben ausführen können. Hierzu ist keine
Unterstützung durch den Helpdesk erforderlich.
Mit einer Lizenz vom Typ Mobile Advanced können Sie mit Sophos Mobile die Apps Sophos
Mobile Security, Sophos Secure Workspace und
Sophos Secure Email verwalten.
Abkürzung für Sophos Mobile Security.
Die App Sophos Mobile Control, die auf den von
Sophos Mobile verwalteten Geräten installiert ist.
Die Web-Oberfläche, mit der Sie Geräte verwalten.
Eine Sicherheits-App für Android-Geräte. Sie können diese App mit Sophos Mobile verwalten, wenn Sie eine Lizenz vom Typ Mobile Advanced aktiviert haben.
Eine App für Geräte mit Android oder iOS, die eine geschützte Arbeitsumgebung für die
Verwaltung Ihrer E-Mails, Kontakte und Kalender bereitstellt. Sie können diese App mit Sophos
Mobile verwalten, wenn Sie eine Lizenz vom Typ
Mobile Advanced aktiviert haben.
Eine App für Geräte mit Android oder iOS, die einen gesicherten Arbeitsbereich bereitstellt, um
Dokumente zu verwalten, zu bearbeiten, zu teilen, zu verschlüsseln, zu entschlüsseln, oder um auf sie in einem Browser zuzugreifen. Die Dokumente können bei verschiedenen Speicheranbietern abgelegt sein oder von Ihrem Unternehmen verteilt werden. Sie können diese App mit Sophos
Copyright © 2018 Sophos Limited
Auftragspaket
Sophos Mobile on Premise
Mobile verwalten, wenn Sie eine Lizenz vom Typ
Mobile Advanced aktiviert haben.
Sie erstellen ein Auftragspaket, um mehrere
Aufträge zu einem Vorgang zu bündeln.
Sie können alle Aufträge bündeln, die zur vollständigen Bereitstellung eines Gerätes notwendig sind.
Copyright © 2018 Sophos Limited 337
Sophos Mobile on Premise
28 Technischer Support
Technischen Support zu Sophos Produkten können Sie wie folgt abrufen:
• Besuchen Sie die Sophos Community unter community.sophos.com/ und suchen Sie Benutzer mit dem gleichen Problem.
• Durchsuchen Sie die Sophos Support Knowledgebase unter http://www.sophos.com/de-de/ support.aspx
.
• Laden Sie die Produktdokumentation herunter unter www.sophos.com/de-de/support/ documentation.aspx
.
• Öffnen Sie ein Ticket bei unserem Support Team unter https://secure2.sophos.com/support/contactsupport/support-query.aspx
.
338 Copyright © 2018 Sophos Limited
Sophos Mobile on Premise
29 Rechtliche Hinweise
Copyright © 2018 Sophos Limited. Alle Rechte vorbehalten. Diese Publikation darf weder elektronisch oder mechanisch reproduziert, elektronisch gespeichert oder übertragen, noch fotokopiert oder aufgenommen werden, es sei denn, Sie verfügen entweder über eine gültige Lizenz, gemäß der die
Dokumentation in Übereinstimmung mit dem Lizenzvertrag reproduziert werden darf, oder Sie verfügen
über eine schriftliche Genehmigung des Urheberrechtsinhabers.
Sophos, Sophos Anti-Virus und SafeGuard sind eingetragene Marken von Sophos Limited, Sophos
Group, bzw. Utimaco Safeware AG. Alle anderen erwähnten Produkt- und Unternehmensnamen sind
Marken oder eingetragene Marken der jeweiligen Inhaber.
Copyright © 2018 Sophos Limited 339
Downloaden
Openbare link bijgewerkt
De openbare link naar uw chat is bijgewerkt. You may view and manage your chat links after registration here.
Openbare link document
Advertentie
