|
|
|
|
移动端
创建专栏

iOS与Android移动设备开源管理方案实战

今日我要实战介绍的这款WSO2 Enterprise Mobility Manager 2.0.1开源方案,回让一切BYOD与COPE问题都变得很简单。

作者:顾武雄|2017-02-14 09:19

有奖调研 | 1TB硬盘等你拿 AI+区块链的发展趋势及应用调研


引言

无论企业信息工作者所携入的智能移动设备,是个人所拥有(BYOD)还是企业所提供的(COPE),都会为企业的IT环境带来潜在资安危机。因此您需要有一个有效的配套措施来集中控管它们,而不是下令禁止员工携带它们。想想看这样的部署成本是否会让IT单位吃不消呢?其实一点都不会,只要您懂得安装与使用今日所要实战介绍的这款WSO2 Enterprise Mobility Manager 2.0.1开源方案,一切BYOD与COPE问题都变得很简单。

开源

简 介

现在从事IT人员的工作可真是越来越难为了,因为早期的IT工作只要管理好服务器、客户端计算器以及网络即可,如今由于智能型手机与平板的普及化,导致企业员工人手一机的携入作业场合中来使用,造成IT单位在信息安全方面的疑虑。有鉴于此部分公司开始严格要求出入门禁的管制,禁止携带有上网、照相以及录像功能的移动设备进入,有如军事重地门禁的管制一般,如发现违法者一律以开除处分。

其实大可不必如此,毕竟古代圣贤有云:「法令滋彰,盗贼多有」,这意味着越多有形的管制措施,有心的恶意员工只会越多。因此只要有适时的基本门禁管理,再善用信息科技的无形管理工具,便可以妥善管理好人员所携入的各种智能移动设备,并且还能够延伸出许多细部管理面的附加价值,像是帮员工找出所遗失的移动设备,或是远程清除遗失的手机储存数据,以避免个人或公司的敏感信息因而外流,可算是一个能够达成企业与员工双赢的最佳做法。

究竟是什么样的IT方案,可以有效解决自携设备(BYOD)以及企业提供设备(COPE)的两大管理问题呢,答案就是移动设备管理(MDM,Mobile Device Management)系统。不过这一类的相关解决方案,目前市场上已经有许多的大厂纷纷提供,包括了Microsoft、IBM、Cisco、Citrix、Nexus等等,有些是建置于企业私有云中,有些则是提供像是Windows Intune公有云的服务,该如何来选择呢?

在此笔者的建议是如果您的IT预算相当有限,且又希望能够将MDM系统部署在企业私有云环境之中,强烈建议您不仿试试开源的WSO2 Enterprise Mobility Manager(简称EMM),截至目前为止它的最新版本为2.2.0,您可以在官方网站上来注册并下载。

WSO2 Enterprise Mobility Manager官方下载网址:

http://wso2.com/products/enterprise-mobility-manager/

至于最新版本的WSO2 Enterprise Mobility Manager有哪一些关键的功能呢?

系统功能与安装要求

最新版本的WSO2 Enterprise Mobility Manager (简称:EMM)所提供的功能,主要可从以下几个面向来说明:

  • 移动设备管理(MDM):提供以角色为基础的设备管理模式(RBAC),来协助企业通过不同控管政策(Policy)的创建,来统一控管以Android、iOS以及Windows为主的三种主流设备。
  • 移动App管理:您可以列出已受管理的设备中,所有已安装的App清单,进一步甚至于可以控管这一些App的安装、更新以及移除。
  • 设备和数据安全保护:为了保护敏感性数据于移动设备中的安全性,IT部门可以预先做好强制加密的动作,并且还能够在设备不慎遗失时,进行远程设备数据的清除、重置以及锁定的控制。
  • iOS设备控管功能:您可以对于所有受控管的iOS移动设备,进行设备信息取得、已安装App清单取得、设置APN与LDAP、设备位置的追踪、锁定、网络设置、设置AirPlay、设置Email账户、行事历订阅设置、限制设备操作、密码原则设置、清除现行密码设置、远程数据清除等等。
  • Android设备控管功能:您可以对于所有受控管的Android移动设备,进行设备信息取得、已安装App列表取得、设备位置的追踪、锁定、网络设置、相机功能的限制、OTA WiFi的设置、数据加密设置、密码原则设置、设备重置、设备静音或响铃、传递屏幕讯息、安装或移除企业应用程序、支持GCM/LOCAL连接模式。
  • Windows设备控管功能:虽然使用Windows系列移动设备的企业客户少得可怜,但EMM仍是支持的。不过它所能够控制的功能最少,仅有设备信息取得、密码原则设置、相机功能的限制、数据加密设置、设备锁定、设备响铃以及数据清除。

在EMM系统安装需求部分,以服务器来说它是支持Linux与Windows操作系统的,基本上只要其系统上有预安装JDK 7或8的套件(不建议采用OpenJDK.)即可。在后端数据库部分,只要是工业标准的关系型数据库(RDBMS),像是Oracle Database、PostgreSQL、MySQL、MS SQL等等都是可以的。

在受控管的移动设备要求部分,Apple的iOS系统版本需要6.0至10.0之间的版本。Android部分则需要4.1至5.0之间的版本,而Windows移动设备则是支持8.1与10的版本。必须注意的是如果打算启用数据加密功能,该设备的电力必须在80%以上。

安装与执行方法

在接下来有关于EMM服务器的安装与管理实战讲解中,笔者将以Ubuntu桌面版本作为运行的操作系统。首先请执行以下命令,来完成JDK与MySQL相关必要套件的安装。

  1. sudo apt-get install default-jdk default-jre mysql-server-5.6 libmysql-java git eclipse ant maven 

由于安装的套件中有MySQL,因此系统将会提示我们设置MySQL默认管理员root的密码,请输入一个较严谨的密码设置,以确保数据库的安全。

完成需求套件的安装之后,请将下载好的EMM套件在解压缩之后,将整个数据夹wso2emm复制到您希望存放与执行的路径,例如/opt/或/usr/local/bin/路径下等等。完成复制与访问权限的设置之后,请如图1所示执行以下命令来完成Java环境变量的设置,接着才能成功执行EMM的主程序wso2server.sh。若没有正确设置环境变量而直接执行该Script程序,将会出现没有正确设置JAVA_HOME变量的错误讯息,而无法正常启动程序。

  1. export JAVA_HOME=/usr/lib/jvm/java-7-openjdk-amd64 
  2. export PATH=${JAVA_HOME}/bin:${PATH} 
  3. sh /usr/local/bin/wso2emm/bin/wso2server.sh 

启动EMM程序

图1启动EMM程序

没错!您没有弄错整个EMM的安装方式就是这么容易,不过别高兴太早因为仍是有一些组态设置,需要根据您实际的网络环境来做一些调整的。在此之前您可以先开启网页浏览器,连接至https://IP地址:9443/,来开启如图2所示的EMM登录页面。您可以从这个页面中进入到官方的社群或下载相关的原文手册等等。默认的管理员账号与密码是admin/admin。请在输入后点击[Sign-in]完成登录即可。

EMM登录页面

图2 EMM登录页面

在此可以检视到目前服务器系统的版本信息、网络信息、目前于伺服端登录的用户信息、JAVA版本信息等等。至于左方的工作窗格则是一些进阶的组态信息,没有必要时是不需要进行修改的。

确认EMM的网站可以正常登录与显示之后,请开启终端机窗口修改位在/repository/deployment/server/jaggeryapps/ emm-web-agent/config路径下的config.json设置檔,其中的host、companyname、browserTitle以及copyrightText字段信息,请修改您实际的服务器地址。接着您还必须修改位在 /repository/conf路径下carbon.xml内容中的描述设置,同样把它改成您内部实际使用的网址即可。

客户角色管理

想要让企业中所有的移动设备客户端,开始使用EMM的控管功能,首先就必须完成这些人员的账户创建。如图3所示您可以在网站左方窗格的[Users and Roles]节点页面中,来管理有关于此系统的人员帐户与角色权限的配置。其中无论是要添加使用者还是角色,除了可以单笔创建之外,也可以采用大容量导入的方式来快速创建。

添加使用者与角色

图3 添加使用者与角色

在此除了需要输入用户的名称与密码之外,还可以选择所属的网域,也就是说您可以使用不同的网域,来控管不同使用者的连接登录。不过在默认的状态下并没有额外的网域。至于用户其它的进阶信息(例如:Email地址),后续仍是可以开启并编辑的。点击[Next]继续。来到步骤2页面中,便可以选定要给新使用者的所属角色。在此所看到的皆是系统内置的角色,其中admin的角色是拥有完整管理权限的角色。后续您仍可以对于这一些角色调整权限的配置,以及添加自定义的角色。点击[Finish]。

安装Android App

由于目前全球最多人使用的移动设备(包括了智能型手机与平板)是以Android系统为主,它横跨了各种大大小小的知名品牌,因此也成为了企业IT首要控管的重点。想要通过EMM来控管大量的Android设备的使用是非常容易的,主要原因是它所需要部署的代理程序(Agent App),并不需要先上架到[Play商店]。不过在开始之前,必须确认使用者的Android设备,已经在[安全性]的设置页面中,勾选了[允许安装来源不明的应用程序]设置,否则将无法顺利接下来有关于EMM Agent的下载与安装,因为通常此设置在系统默认的状态下是尚未勾选的。

接着所有被授权的使用者,便可以连接到在自己的计算器上开启网页浏览器,并连接登录到https://IP地址:9443/emm网址。即可来到如图4所示的设备管理页面,请点击为在[DEVICES]区域中的[Add]连接继续。

设备管理首页

图4 设备管理首页

紧接着将会开启QR Code页面,使用者只要拿起自己的Android手机,然后开启扫描QR Code的App并进行扫描,即可自动连接到下载EMM Agent的本地服务器网址。接着设备浏览器会开启 [Android Enrollment]网页,请点击[Download EMM Agent]按钮即可。值得注意的是,在这里头的提示讯息中,也会显示您在安装设置步骤中所输入的公司名称。

接着设备系统会提示我们即将取得的权限清单,包括了GPS定位、完整网络访问权限等等。点击[下一步]再点击[安装]即可。完成此App的安装之后,可以立即开启它。首次的开启将会出现服务器地址设置提示,在此您只要输入EMM主机的IP地址或FQDN地址即可,不需要输入端口编号,除非之前有特别去修改默认端口设置。点击[Start Registration]按钮继续。

如图5所示来到帐户与密码的设置页面中,使用者可以选择手持的移动设备是自己个人的(BYOD),还是由公司发放给员工使用的(COPE)。不同的设备类型选择,在后续的远程控管上会有些许的不同。另外在此还必须特别留意其中的域名(Domain)之输入,如果用户并非本EMM系统所额外定义的网域,则请保留空白即可,也就是默认的PRIMARY网域设置。点击[Register]按钮完成注册即可。

帐户信息输入

图5帐户信息输入

完成设备于EMM系统的注册之后,接着系统可能会要求您输入PIN码设置,以便保护此代理程序在此设备的使用安全。点击[Set PIN Code]完成设置。

完成两次PIN码的输入之后,将会出现[启动设备管理员]页面,来确认此代理程序的启用,将能够远程清除设备中的所有数据,以及强制设置密码政策、锁定屏幕等操作。确认后点击[启用]。正式完成Android设备的EMM代理程序之安装与启用。

完成启用后的EMM Agent,将可以通过功能选单来随时修改自己的PIN码以及连接的服务器地址。必要时则还可以移除掉此Agent的安装。

安装iOS App

由于iOS的App无法像Android系统一样,只要封存成一个.apk文件,就可以让使用者直接连接来下载与安装。因此必须自行去创建一个Xcode的项目,来产生iOS的应用程序(.ipa)至/repository/deployment/server/jaggeryapps/emm/client_apps/路径下,并且修改位在/repository/deployment/server/jaggeryapps/emm/config/路径下的config.json设置档,来分别增加.ipa程序文件的路径、Bundle ID、App名称等描述。

iOS Agent Application下载网址:https://github.com/wso2/emm-agent-ios

此外还有一些属于iOS Server端的配置需要完成,包括了Apple Push Notification Service (APNS)凭证文件的申请,最后再完成一些与安全性连接有关的设置,如此一来使用iPhone或iPad设备的客户,才能够连接到注册网站,来完成EMM凭证的安装以及EMM代理程序的下载。否则用户在点击[Install EMM Certificate]按钮时,将会出现下载失败之错误讯息而无法继续。

管理人员的移动设备

一旦有一位以上使用者的移动设备在EMM服务器完成了注册,管理员在登录设备管理网站时,便会看到目前所有受管理的设备清单,并且可以看到每一个设备的名称、拥有人、状态、系统类型以及所有权的类型等信息。在此您除了可以切换为图标或列表显示方式之外,当受管理的设备数量很多时,还可以通过上述五大域值的筛选方式,来找到您想要进一步管理的设备。

如图6所示在这里我们以检视一台ASUS的Android手机为例。在它左方的选单连接之中,可以选择检视设备详细数据、政策应用信息、设备位置定位、已安装的App列表以及操作管理的记录。首先在设备详细数据(Device Details)部分,除了可以检视到目前此移动设备的剩余电量、本机剩余储存空间以及外接剩余储存空间信息之外,还可以执行主要的几项远程控管操作,分别是设备锁定、远程数据清除、静音、清除密码、变更锁定码、触发响铃以及发送自定义的屏幕讯息等等。

人员Android设备管理

图6人员Android设备管理

如图7所示当点击触发响铃时,这时候您会发现目标的移动设备,会出现[Message from EMM]的提示讯息,并出现设备默认的响铃声,直到使用者在此设备上点击[OK]按钮后才会停止。此功能的用意,其实主要就是用来协助使用者,通过响铃辨位方式找到设备遗失的所在之处,由其是在某栋建筑物内弄丢设备时特别有用。而不需要得使用传统的做法,通过拨打此设备电话号码的方式来寻找,更何况如果是平板计算器,大多数是没有电话功能的。

Android响铃

图7 Android响铃

至于如果是将移动设备弄丢在不知道的地方时,除了可以通过GPS卫星定位地图来寻找之外,也可以使用发送自定义屏幕讯息的方式,让拾获的人可以看到您所传递的讯息内容。

前面我们曾提及若想要使用GPS卫星定位地图,来寻找移动设备所在的位置也是可以的,只要切换到[Device Location]页面即可。定位的操作过程之中,您是可以通过鼠标的滚轮,来放大设备所在位置的明确路段。

善用政策管理

当企业中受管理的移动设备数量很多时,通常IT部门会希望根据不同的设备类型,或是组织的部门、职务、地点等归类方式,来应用不同的设备管理设置,在这种需求上您就可以善用EMM所提供的政策管理(Policy Management)功能,将您所制订的各种管理政策,选择应用在现有的使用者或角色。请在设备管理员的选单接口中,点击[POLICY MANAGEMENT]继续。

在[POLICY MANAGEMENT]页面中,默认并没有任何政策设置可以使用。请点击[ADD POLICY]。在如图8所示的添加政策设置页面中,首先必须在步骤1的[Select a Platform]设置中,选择新政策所要应用的设备类型,因为不同的设备系统后续所能够控管的功能选项,也会有所不一样。目前支持的设备系统分别有Android、Apple IOS以及Windows Phone。在此笔者以选取Android为例。

添加政策设置

图8 添加政策设置

在[Configure profile]页面中,便可以设置所要控管的设备四项功能,分别是锁定密码政策(Passcode Policy)、相机功能限制(Restrictions on Camera)、设备加密设置(Encryption Settings)以及区域无线网络连接(Wi-Fi Settings)设置。首先在锁定密码政策部分,一旦启用并完成政策设置之后,往后被应用的使用者设备,他们将无法自行修改锁定密码的政策。

在相机功能限制的控管部分,一旦启用之后,就可以决定是否要允许被应用的设备,来使用相机功能进行拍照或是录像。为了预防当使用者的移动设备遗失时,会连同公司的敏感信息外泄(例如:商业文件、Email、联系人信息),您可以启用设备加密设置。如此一来,被应用此政策的Android设备,即便设备被恶意人士所窃,在没有解除设备的锁定之前,被加密的数据都是无法读取的。

在WLAN连接设置页面中,您可以预先帮使用者的设备,设置好所要连接的无线基地台的SSID与密码,如此一来就不用像传统的管理方式一样,得手动一一帮使用者的移动设备,设置公司无线基地台的连接组态。点击[CONTIUNE]继续。

在[Assign to groups]页面中,请先选择设备拥有权类型是BYOD还是COPE。然后再通过关键词的输入,来挑选此政策所要应用的对像是使用者或角色。最后您可以决定此政策对于尚未遵循的设备,是否要强制控管或是仅监视还是要发送警告讯息。点击[CONTIUNE]继续。

在[Publish to devices]页面中,您必须为此政策输入一个30个字符以内的识别名称,需要的话还可以进一步输入详细的描述信息。确认完成设置之后,您可以选择立即将新政策设置,发布至所有选定的使用者设备,当然啦!这一些设备必须预先已经完成注册动作,或是您也可以先点击[SAVE]按钮,来仅储存新政策设置,等到后续适当的时机再来发布此政策。

结 论

长久以来由于大多数的企业IT采用的解决方案,皆是以Windows平台为主,因此产生了一个有趣的现象,那就是当IT人在寻求相关解决方案时,往往第一个念头所联想到都是与Windows相关的产品。其实从信息安全、网络管理、到各类的应用程序服务之IT需求,在开放原始码(Open Source)的世界里,都有许多相当不错的软件套件或公有云服务,可以供全球的IT单位来挑选。许多时候这一类的开源方案,不仅仅只是在成本低廉上吸引人,在功能面与管理面的弹性设计上,甚至于都已经超越了传统商用软件与服务的价值。本文所介绍的这款WSO2 Enterprise Mobility Manager就是一个典型的案例。

【本文为51CTO专栏作者“顾武雄”的原创稿件,转载请联系作者本人获取授权】

戳这里,看该作者更多好文

【编辑推荐】

  1. 外媒速递:六套Android库让你的代码成果更简洁
  2. 从GitLab事件谈我的经历
  3. Airbnb开源项目Lottie碉堡了
  4. 外媒速递:开源开发领域的六大“不传之秘”
  5. 吕建伟:新实业 新IT 新CIO|V课堂第53期
【责任编辑:IT疯 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

热门职位+更多