Android for Work

如何能够在一部手机上实现独立分开的工作数据和个人生活数据？

在智能手机上实现双角色功能的途径有很多种，Android支持多用户，所以将工作数据和个人数据进行分离的最简易的方法就是制定两个用户：个人用户和工作用户。你将拥有独立分开的应用程序、数据、图标布局、壁纸和媒体，即所有文件均被分列为两部分。但在查看通知，使用应用时，你需要在两个用户之间不停的登录和退出，没有人真的想要这种程度的分离。

Android for Work是Google开发的一套支持Android在企业中应用的方案，可以实现在同一台设备上同时支持工作应用和个人应用。2014年发布。

在此之前，三星推出了Knox企业级安全解决方案，并于黑莓合作，整合了黑莓的企业安全服务。黑莓传统的方式是：两个账户通过一个按钮来回切换登陆和登出。

Google收购了一家专注于企业服务的应用开发商Divide，并在此基础上结合了Android本身的多用户框架开发而成Android for Work。

Google的Android for Work使用了Android的多用户功能框架，但却没有用户之间的切换。所有的文件和程序都在同一个界面上，通过Google Apps和Google Apps Device Policy程序，可以行程一个个人程序列表和一个由公司来操控管理的附加的工作文件列表。

1. 数据安全：工作数据通过work profile和个人数据隔离开，受到profile保护，IT可以policy去保护工作数据

2. 应用安全：work profile里面的app是通过Google Play for Work部署的，IT可以阻止安装未知来源的app，并且可以配置app。

3. 设备安全：支持Android for Work的设备收到磁盘加密，锁屏，远程attestation services的保护。如果hardware-backed keystore存在的话，也受到它的保护。

你需要的不仅是支持该功能的一个系统，还需要一个能够兼容的企业移动管理方案（EMM）。如果使用Google EMM，意味着每个月需要支付5美元每用户，才能使用Android for Work。

Device Owner：在设备Setup Wizard的过程中就把EMM（Enterprise Mobility Management） App设置成管理设备的app。可以理解为，该设备只用于企业工作用途，没有个人应用。

Work Profile：也叫BYOD，在设备正常走完Setup Wizard流程以后，安装EMM app然后把它设置成管理设备的app。这种模式下有两种应用，一种是带有公文包图标的应用，这种应用由IT管理；另一种是个人应用，这种应用由用户自己管理。（如下图）

要使用Android for Work不仅仅需要设备和系统层面的支持，企业还需要选择一个兼容的企业移动管理解决方案（EMM）。

Google Apps for Work，又名G Suite，就是这样一种傻逼的存在。（最低消费，每个用户每月5美刀）这个过程非常繁琐+恶心，需要另起一贴详细叙述。

在G Suite添加了Android for Work之后，添加了企业账户的手机页面会出现五个默认的工作应用，分别是通讯录、Device Policy、下载、Google设置和Play Store。

如果你希望安装更多的应用程序，需要登陆桌面版的Google Play for Work商店，找到你要添加的App，点击Approve；然后在Google Apps for Work (admin.google.com)控制版面将该应用加入White-listed Android apps （通过复制app的Google Play URL）。

Android for Work在账户的擦除上比较方便，管理员在Google Apps控制面板就可以远程操作，发送指令到相关设备，工作数据就会被清楚，同时也不会影响到个人数据。

Profile（配置文件）可以让我们定义一系列的配置信息，然后指定其激活条件。这样我们就可以定义多个profile，然后每个profile对应不同的激活条件和配置信息，从而达到不同环境使用不同配置信息的效果。

Windows用户配置文件：

本地用户配置文件：当用户第一次登陆计算机，系统会在本地磁盘为用户建立一个本地配置文件，用户的工作环境设置会被存储在此文件夹内，用户下次登陆时，系统会使用这个文件夹的内容来设置用户的工作环境。

漫游（Roaming）用户配置文件：域用户，其配置文件信息存放在网络服务器上，因此可以拥有统一的工作环境。当用户注销时，系统会将配置文件更改保存到网络上漫游用户配置文件，供下一次用户登录使用。

强制用户配置文件：也是漫游用户配置文件，不是它是只读的，用户不可以修改。由系统管理员事先设置好。