一篇文章讲清楚AER，MDM，EMM

一、AER（Android Enterprise Recommended）

AER理解

AER 是 Google 认证的、在系统与安全行为上完整支持 Android Enterprise（DPC API），并支持通过零接触方式完成 Device Owner 绑定的企业级安卓设备或解决方案。

AER是如何实现的（实现机制）

AER 不是一个软件，而是 设备 & 系统满足一系列硬性条件后的认证结果。

实现基础

• 设备出厂系统：
  • 原生支持Android Enterprise
  • DPC API 行为一致
  • Device Owner 可绑定
• 系统通过：
  • CTS / GTS / 企业相关测试
  • OEM 向 Google 承诺：
    • 安全补丁周期
    • 系统升级周期

零接触部署（关键实现点）

• 设备序列号 / IMEI 在 Google 后台登记
• 首次开机联网时：
  • 自动识别企业
  • 自动下载指定 MDM Agent
  • 自动绑定 Device Owner

AER 一般包含哪些能力（功能维度）

（1）设备与系统能力

• 完整 Android Enterprise API 支持
• 硬件级安全（TEE / Keystore）
• 文件级加密（FBE）
• SELinux Enforcing

（2）企业管理友好能力

• 支持：
  • Fully Managed Device
  • Work Profile（BYOD）
  • Dedicated Device（Kiosk）
• 系统行为稳定、一致

（3）生命周期保障

• 定期安全补丁
• 至少 1 次 Android 大版本升级
• 明确 EOL（生命周期）

AER 在体系中的职责

保证设备这一端是可预测、可控、合规的

二、MDM（设备端 Agent / DPC）

MDM理解

MDM 是运行在设备端的管理 Agent（DPC），以 Device Owner / Profile Owner 身份调用 Android Enterprise API 执行设备与安全策略。

MDM 是如何实现的（实现机制）

运行形态

• 一个 App（DPC）
• 安装后：
  • 成为 Device Owner / Profile Owner
• 运行在：
  • system_app 或 user_app（但权限极高）

技术核心

• 调用：
  • DevicePolicyManager
  • Android Enterprise API
• 与 EMM Server 通信（HTTPS / MQTT 等）

MDM 一般包含哪些功能（设备侧能力）

（1）设备安全控制

• 锁屏策略（PIN / 密码 / 生物）
• 加密策略
• Root / 调试限制
• 远程锁定 / 擦除

（2）系统与硬件管控

• 禁用：
  • USB / 蓝牙 / 摄像头
  • 截屏 / 录屏
• 控制：
  • Wi-Fi / VPN
  • 状态栏 / 设置入口
• Kiosk 模式（单 / 多 App）

（3）应用管理

• 静默安装 / 卸载
• 应用权限强控
• 应用白名单 / 黑名单

MDM 在体系中的职责

在设备端“真正执行策略的那只手

三、EMM（企业移动管理平台）

EMM理解

EMM 是包含 MDM 在内的完整企业移动管理平台，提供 Server、管理控制台以及应用与策略的统一管理能力。

EMM 是如何实现的（实现机制）

架构组成

┌──────────────┐
│ 管理控制台    │ ← Web UI
├──────────────┤
│ 管理 Server   │ ← 策略/设备/用户
├──────────────┤
│ 应用 & 策略库 │ ← Repo
├──────────────┤
│ 认证/审计模块 │
└──────────────┘

与设备交互方式

• 下发策略
• 下发应用
• 接收设备状态
• 触发远程操作

EMM 一般包含哪些功能（平台侧能力）

（1）设备资产管理

• 设备注册 / 分组
• 在线状态
• 合规性检查

（2）策略与配置管理

• 安全策略模板
• 网络 / VPN / Wi-Fi 配置
• 合规规则

（3）应用与内容管理

• 企业应用商店
• 版本控制
• 分组发布

（4）用户与权限

• 企业账号集成（AD / LDAP / OAuth）
• 角色与权限控制

EMM 在体系中的职责

给企业一个“统一视角 + 统一入口”来管所有设备

四、把三者连起来的一条完整工作链

AER 设备
   ↓（零接触）
MDM Agent（Device Owner）
   ↓（策略执行）
Android Enterprise API
   ↑（策略下发）
EMM Server & Console

五、总结

Android 企业管理体系 = 标准能力 + 设备执行 + 平台控制**