Налаштування Work Profile для корпоративних додатків

Реалізація Work Profile: від DPC до managed configurations

Типова ситуація: ІТ-відділ хоче встановити корпоративний додаток на особисті смартфони співробітників без повного контролю над пристроєм. Без Work Profile доводиться або віддавати весь девайс під MDM, або миритися з відсутністю ізоляції. Ми вирішуємо це завдання налаштуванням Android Enterprise Work Profile з нуля — це офіційне рішення Google для BYOD, підтримуване з Android 5.0 (API 21). Згідно з документацією Android Enterprise Overview, Work Profile забезпечує ізоляцію даних на рівні ядра, що критично для відповідності політикам безпеки. Бюджет впровадження розраховується індивідуально, при цьому економія на ліцензіях MDM може досягати 70%.

Типові помилки при інтеграції Work Profile

Найпоширеніша помилка — реєстрація додатку як Device Owner замість Profile Owner. Device Owner отримує повноваження блокувати Bluetooth, змінювати шпалери та інші особисті функції, що викликає негатив. Для BYOD потрібен саме ProfileOwner. Перевірте флаг isProfileOwnerApp() за допомогою Device Policy Controller (DPC). Інша часта проблема — cross-profile intent. Якщо бізнес-логіка вимагає передавати дані з робочого профілю в особистий (наприклад, відкрити PDF), потрібно явно дозволити intent через DevicePolicyManager.addCrossProfileIntentFilter(). Без цього intent мовчки ковтається — користувач бачить порожній екран, а в Logcat тиша. На одному проекті з Intune ми витратили день на налагодження подібного сценарію. Також багато команд ігнорують RestrictionsManager для managed configurations, передаючи налаштування через push-повідомлення. Це антипатерн: EMM-система (Intune, Workspace ONE) повинна деплоїти конфіг через APP_RESTRICTIONS_CHANGED, а додаток — читати з Bundle. ІТ-адміністратор може змінювати сервер, таймаути або фічі без нового релізу.

Як ми реалізуємо Work Profile на практиці?

Процес починається з аудиту: який MDM у клієнта, які версії Android у парку (від 5.0 до 14+), BYOD чи COBO. Для BYOD через QR-код використовуємо код реєстрації Profile Owner:

val dpm = getSystemService(DevicePolicyManager::class.java) val adminComponent = ComponentName(this, DeviceAdminReceiver::class.java) if (dpm.isProfileOwnerApp(packageName)) { dpm.setProfileName(adminComponent, "Корпоративний профіль") dpm.setCrossProfileCalendarPackages(adminComponent, setOf(calendarPackage)) } 

Приклад налаштування managed configurations:

val restrictionsManager = getSystemService(RestrictionsManager::class.java) val appRestrictions = restrictionsManager.applicationRestrictions val serverUrl = appRestrictions.getString("server_url") ?: BuildConfig.DEFAULT_SERVER val ssoEnabled = appRestrictions.getBoolean("sso_enabled", false) 

Чому сертифікати та VPN вимагають особливого підходу?

Встановлення клієнтських сертифікатів через KeyChain.createInstallIntent() працює лише в особистому профілі. В робочому — тільки через DevicePolicyManager.installCaCert() та installKeyPair(). Плутанина тут коштує кількох днів налагодження. На одному проекті ми втратили два дні, поки не зрозуміли, що сертифікат потрібно встановлювати через DPC. Для VPN в рамках робочого профілю використовуйте VpnService з флагом setAlwaysOnVpnPackage() через DPC. Трафік корпоративного профілю йде через корпоративний VPN, особистий — через звичайний інтернет, користувач цього не відчуває.

Як налаштувати managed configurations?

Managed configurations дозволяють ІТ-адміністратору віддалено задавати параметри додатку (сервер, таймаути, SSO). Для цього створюється XML-схема за стандартом AppConfig Community, а додаток зчитує налаштування через RestrictionsManager. Це надійніше за push-повідомлення і не потребує нового релізу при зміні параметрів. Типовий процес: розробляєте схему, публікуєте в EMM, при підписці на політику конфігурація автоматично застосовується.

Покрокове налаштування робочого профілю

1. Вибір методу провізіонування. Для BYOD використовуйте QR-код або NFC; для корпоративних — Zero-touch. Переконайтеся, що DPC підтримує Profile Owner.
2. Реєстрація DPC як ProfileOwner. У маніфесті вкажіть android:profileOwner=true. Після встановлення додаток запитає права адміністратора.
3. Налаштування managed configurations. Створіть XML-схему за стандартом AppConfig Community. Впровадьте RestrictionsManager.
4. Дозвіл cross-profile intent. Додайте фільтри для необхідних intent.
5. Встановлення сертифікатів та VPN. Використовуйте DevicePolicyManager.installCaCert() та setAlwaysOnVpnPackage() для робочого профілю.
6. Тестування. Перевірте на реальних пристроях з TestDPC та різними API (21+).

Порівняння методів провізіонування

Порівняння Profile Owner та Device Owner

Що входить у налаштування Work Profile?

• Аудит поточної EMM-платформи та парку пристроїв (50–5000 шт.)
• Розробка або доопрацювання DPC під Profile Owner
• Створення XML-схеми managed configurations за стандартом AppConfig Community
• Інтеграційне тестування з TestDPC та реальними пристроями (Android 7.0–14.0)
• Документація для ІТ-відділу по деплою політик через EMM

Наші результати

Більше 5 років досвіду в MDM-інтеграціях. 20+ успішних проектів для компаній з парком від 50 до 5000 пристроїв. Впровадження Work Profile скорочує час на розгортання корпоративних додатків на 70% — в 2 рази швидше, ніж при повному MDM-контролі. Повністю виключаються витоки даних через особисті додатки. Гарантуємо ізоляцію корпоративних даних та сумісність з будь-яким EMM.

Строки та вартість

Типовий проект (існуючий додаток + Work Profile без кастомного DPC) — від 2 робочих днів. Якщо потрібен власний DPC з нуля — від 1 тижня. Вартість розраховується індивідуально після аудиту. Оцінимо ваш проект безкоштовно. Зв'яжіться з нами для консультації — допоможемо обрати оптимальне рішення для вашої інфраструктури. Замовте аудит прямо зараз — отримайте розгорнутий план впровадження.