Совместимость и интеграции

SafeMobile поддерживает управление устройствами на ОС Аврора релизов 4 и 5. Полноценное управление 64-битной («квадра») Авророй доступно начиная с Авроры 5.1.5, при этом 64-битный монитор Авроры впервые появился в SafeMobile 13.5 — для более ранних сборок монитор был только 32-битным.

Ключевые требования по версиям

• ОС Аврора: релизы 4 и 5.
• 64-битная Аврора (5.1.5+): перед подключением нужно обновить прошивку в ОМП (Аврора Центр / средствах управления платформой).
• Монитор SafeMobile: 64-битный монитор Авроры — с версии SafeMobile 13.5; ранее (например 12.1) — только 32-битный.

Подключение по сети

Устройства Аврора подключаются к серверу только по FQDN/DNS, не по IP-адресу. Если изначально регистрация шла на IP, переход на DNS потребует перерегистрации устройств.

Сертифицированные сборки

Сертифицированные сборки Авроры (например, TrustPhone AYYA T1) требуют отдельного сценария регистрации с временно отключённой политикой безопасности ОС.

Точную сводную матрицу совместимости «версия SafeMobile × версия Авроры × версия ОМП» уточняйте у поставщика — она зависит от конкретного релиза платформы.

Да. SafeMobile управляет устройствами на iOS версии 11 и выше — инвентаризация, политики паролей, ограничения доступа, доставка сертификатов, настройка VPN и APN, распространение приложений и команды управления. Это один из немногих российских UEM/MDM с полноценной поддержкой iOS наравне с Android и ОС Аврора.

Что доступно на iOS

• Регистрация устройств в режиме MDM и инвентаризация;
• требования к паролю и ограничения доступа;
• доставка сертификатов, настройка VPN и APN;
• распространение приложений и конфигураций;
• команды управления устройством.

Чем это важно

Среди российских MDM поддержка iOS встречается редко: ряд отечественных решений ориентированы прежде всего на Android и ОС Аврора. SafeMobile закрывает iOS вместе с Android (5–16), ОС Аврора (релизы 4–5), Windows 10/11 и Linux (Alt, Astra) — то есть один продукт управляет смешанным парком из «яблочных» и российских устройств.

Нюансы

Доставка сертификата в MS Outlook на iOS невозможна из-за ограничений API Apple — используются Safari и встроенное приложение «Почта». Для корректной работы iOS-интеграции важно правильно подготовить сертификаты — см. ios-sertifikaty.

UEM SafeMobile поддерживает Android, iOS, ОС Аврора, Windows, а также Alt Linux и Astra Linux. Это один из немногих российских UEM, который закрывает iOS и Windows наравне с Android и ОС Аврора, что позволяет управлять смешанным парком устройств из одной консоли.

Границы версий ОС

По данным сравнения российских MDM (заявление вендора):

• iOS — версии 11 и выше;
• Android — версии 5–8 (существующий парк ТСД), 9–11 и 12–16 (новые устройства);
• ОС Аврора — релизы 4 и 5;
• Windows — 10 и 11 Pro/Enterprise;
• Linux — Alt Linux и Astra Linux.

РЕД ОС

РЕД ОС поддерживается официально: серверная ОС и мобильная редакция РЕД ОС М (на базе AOSP, управляется как Android). В маркетинговом сравнении РЕД ОС отдельно не указана, но реально присутствует в проектах.

Связанные темы

• Поддержка iOS и какие версии — см. ios-podderzhka.
• Совместимость с ОС Аврора и ОМП — см. aurora-omp-sovmestimost.
• Управление китайскими Android (Xiaomi, Huawei) — см. kitajskie-android-xiaomi-huawei.

Точные границы версий ОС взяты из маркетинговой батл-карты вендора; в продуктовой документации min/max-версии явно не зафиксированы.

Да. SafeMobile управляет Android-устройствами любого производителя, включая китайские бренды Xiaomi, Huawei и Meizu. На этих устройствах есть особенности прошивок, которые нужно учитывать: на Xiaomi с MIUI полноценное управление доступно начиная с MIUI 12.5, а на более ранних версиях возможны сложности с разрешениями и управлением приложениями.

Особенности Xiaomi / MIUI

Чтобы режим Device Owner и подробные логи работали корректно, на Xiaomi нужно отключить оптимизации MIUI:

• автозапуск (autostart);
• контроль активности приложений;
• экономию батареи для монитора.

Если этого не сделать, Device Owner и сбор подробных логов могут не работать. Запасной сценарий регистрации — установка владельца устройства через adb shell dpm set-device-owner ru.niisokb.mcc/.AdminReceiver; он блокируется при наличии активного Google-аккаунта на устройстве.

Устройства без сервисов Google

Многие китайские устройства (Huawei, часть Honor) поставляются без сервисов Google. SafeMobile работает на них в полном объёме — управление не зависит от FCM. Подробнее, когда нужен FCM, — см. fcm-push-bez-google.

Известные нюансы

• Xiaomi HyperOS — был чёрный экран при шаринге экрана, исправлено в HyperOS 2.0.6.0.
• Honor без сервисов Google — после factory reset может пропадать QR-сканер.

Нет. Для большинства функций управления устройствами Samsung отдельные лицензии Samsung Knox не требуются. SafeMobile управляет устройствами Samsung штатными средствами. Knox даёт дополнительные возможности (расширенные политики, автоматическая регистрация, корпоративный контейнер), но базовое управление работает и без отдельной лицензии Knox.

Что даёт Knox дополнительно

• Knox Mobile Enrollment — автоматическая регистрация устройств;
• расширенный набор политик безопасности;
• создание корпоративного контейнера на устройстве.

Когда лицензия Knox всё же нужна

Часть продвинутых функций может потребовать отдельной лицензии Knox. Практический пример: на ряде устройств Samsung профили смены APN применяются только после того, как устройство впервые выйдет в интернет и подтянет Knox-лицензию — без неё такие профили не применяются.

Рекомендация по USB-ограничениям

Для базового запрета передачи файлов по USB на Samsung рекомендуется обычный профиль «Политики ограничений Android», а не Knox-профиль — см. zapret-usb-android.

В заявленном перечне платформ SafeMobile настольная macOS не значится. SafeMobile управляет мобильными устройствами Apple на iOS (версии 11 и выше), а также Android, ОС Аврора, Windows 10/11 и Linux (Alt Linux, Astra Linux). Управление ноутбуками и десктопами Mac как отдельной платформой в доступных материалах не заявлено.

Что поддерживается у Apple

• iOS 11 и выше — полноценное управление, включая supervised-режим (см. ios-podderzhka и ios-supervised).
• Управление настольной macOS в перечне поддерживаемых ОС отсутствует.

Если требуется управлять Mac

Запросы на управление парком Mac встречаются (например, в смешанных корпоративных средах). Поскольку в подтверждённом перечне платформ macOS нет, такой сценарий нужно отдельно согласовывать с вендором: подтвердить наличие/планы поддержки и допустимый набор операций до включения требования в проект.

Отсутствие macOS в списке зафиксировано по доступным источникам (перечень платформ и маркетинговое сравнение); официальный статус и планы по поддержке настольной macOS требуют подтверждения у вендора. проверить_перед_публикацией

Полный перечень платформ — см. podderzhivaemye-os.

Нет, Active Directory не обязателен. Интеграция с AD/LDAP в SafeMobile опциональна: она нужна для синхронизации пользователей и групп из каталога и для саморегистрации устройств по доменным учётным записям. Без AD устройства регистрируют по кодам приглашения и QR-шаблонам, поэтому отсутствие AD не блокирует установку, пилот или промышленную эксплуатацию.

Когда AD используется

• Синхронизация каталога — агент adagent подтягивает пользователей и группы из AD.
• Саморегистрация по LDAP — Портал регистрации (regportal) проверяет доменные учётные записи. К AD по LDAP ходит именно regportal, а Сервер управления (MDM) — нет (подробнее в ad-integraciya-dmz).

Как работать без AD

Регистрацию устройств можно вести без каталога — по кодам приглашения и QR-шаблонам (в том числе через мобильные данные и Wi-Fi). Способы регистрации описаны в sposoby-registracii-ustrojstv.

Если AD всё же используется, действует требование: основной пользователь устройства должен быть доменной учётной записью со своим DN, иначе устройство не получит mTLS-сертификат. Полнота сценариев работы полностью без каталога под конкретный проект — проверить_перед_публикацией.

Профиль зависит от назначения сертификата. Для VPN, MS Outlook и других приложений используйте профиль «Сертификат для приложений и VPN Android», а для корневых и CA-сертификатов — профиль «Доверенные сертификаты Android». Это две разные сущности, и их часто путают: первый кладёт сертификат в пользовательское хранилище и делает доступным приложениям, второй добавляет доверенный корень.

Сертификат для приложений и VPN

• Профиль «Сертификат для приложений и VPN Android».
• Помещает сертификат в хранилище устройства и делает его доступным приложениям, включая MS Outlook и VPN-клиенты.
• Это правильный выбор для клиентских (пользовательских) сертификатов, которые нужны конкретным приложениям.

Корневые и CA-сертификаты

• Профиль «Доверенные сертификаты Android».
• Добавляет корневой / промежуточный сертификат удостоверяющего центра в доверенные.
• Нужен, когда устройство должно доверять внутреннему CA организации.

Как выбрать

• Сертификат нужен приложению (почта, VPN) → «Сертификат для приложений и VPN Android».
• Нужно сделать доверенным корневой CA → «Доверенные сертификаты Android».

На iOS логика доставки сертификатов отличается, и в MS Outlook на iOS доставка сертификата невозможна из-за ограничений API Apple — см. ios-sertifikaty.

В Active Directory обращаются три компонента SafeMobile: Сервер Администрирования, Портал регистрации (regportal) и агент синхронизации AD (adagent). При этом по LDAP к AD ходит именно Портал регистрации — Сервер управления (MDM) к AD напрямую не обращается. Это важно учитывать при планировании сетевых правил между DMZ и доменной сетью.

Кто и зачем ходит в AD

• Портал регистрации (regportal) — запрашивает AD по LDAP (аутентификация и поиск пользователей при саморегистрации устройств). Regportal и MDM обычно размещают на одной ВМ.
• Сервер Администрирования — обращается к AD в рамках администрирования.
• adagent — агент синхронизации пользователей и групп из AD.
• Сервер управления (MDM) — к AD напрямую не обращается.

Жёсткое требование к учётным записям

Основной пользователь устройства должен быть доменной учётной записью со своим DN. Иначе устройство не получит mTLS-сертификат и не сможет полноценно зарегистрироваться. Это требование часто не отражено в документации, но критично для интеграции.

Связанные материалы

Структуру компонентов и канал управления см. также в материалах по развёртыванию.