Ochrona przed przywróceniem ustawień fabrycznych na firmowych urządzeniach z Androidem: konta FRP, czyszczenie i zablokowane urządzenia

Urządzenie terenowe wraca do magazynu. Ktoś resetuje je w trybie recovery, aby przygotować je dla kolejnego pracownika. Po ponownym uruchomieniu kreator konfiguracji prosi o konto Google, które wcześniej znajdowało się na urządzeniu. Nikt nie wie, co to było za konto, a telefon staje się bezużyteczny.

Mechanizmem blokującym zwrócony sprzęt jest Factory Reset Protection (FRP). To samo rozwiązanie sprawia, że skradziony telefon firmowy staje się bezwartościowy dla złodzieja. Wyłączenie FRP nie jest dobrym rozwiązaniem. Chodzi o to, aby z góry zdecydować, czyje konto odblokowuje urządzenia, oraz decydować przy każdym czyszczeniu, czy ochrona FRP ma pozostać aktywna.

Ten poradnik obejmuje sześć kroków:

1. Skonfiguruj dedykowane konta administratora FRP.
2. Zastosuj te konta za pomocą zasad.
3. Wybierz właściwy rodzaj wyczyszczenia dla każdej sytuacji.
4. Skonfiguruj zachowanie FRP dla automatycznych czyszczeń egzekwujących zgodność.
5. Wdróż proces obsługi zwracanych urządzeń, który zapobiega blokadom.
6. Postępuj odpowiednio z urządzeniem, które jest już zablokowane.

Ostrzeżenie: Ten przewodnik nie zawiera instrukcji omijania zabezpieczeń FRP i nigdy nie będzie ich zawierać. Jeśli urządzenie jest zablokowane, oficjalne ścieżki odzyskiwania opisano w kroku 6.

Zanim zaczniesz

Upewnij się, że dysponujesz następującymi elementami:

• Urządzenia firmowe zarejestrowane jako w pełni zarządzane lub jako firmowe z profilem roboczym. Możesz je zarejestrować za pośrednictwem zero-touch, Samsung Knox Mobile Enrollment lub kodu QR.
• Dostęp administratora do konsoli MDM z uprawnieniami do edycji zasad i wysyłania poleceń wyczyszczenia.
• Menedżer haseł współdzielony przez zespół IT.
• Jedno zapasowe urządzenie testowe, które możesz wielokrotnie zresetować.

Uwaga: Firmowe konta FRP nie mają zastosowania do urządzeń prywatnych z samym profilem roboczym (BYOD). Na takich urządzeniach ochrona FRP pozostaje powiązana z prywatnym kontem Google właściciela i nie ma potrzeby jej kontrolować.

Jak działa FRP na urządzeniu firmowym

Firma Google wprowadziła mechanizm FRP w systemie Android 5.1. Jego zasada działania jest prosta: po określonych typach resetu urządzenie nie ukończy konfiguracji, dopóki ktoś nie zaloguje się na autoryzowane konto Google.

Co je wyzwala. Blokada FRP jest wymuszana głównie po „niezaufanym” resecie. Typowym przykładem jest reset uruchomiony z trybu recovery, w którym nikt nie potwierdził znajomości blokady ekranu. Reset zainicjowany w Ustawieniach przez osobę znającą blokadę ekranu zwykle nie aktywuje FRP. Dokładne zachowanie różni się w zależności od wersji Androida i producenta sprzętu, dlatego przed wdrożeniem przetestuj to na swoich modelach.

Czyje konto je odblokowuje. Na telefonie konsumenckim FRP prosi o konto Google ostatnio synchronizowane na urządzeniu. Urządzenia zarządzane działają inaczej: zasady urządzenia mogą wskazać konkretne konta administratorów dla ochrony przed przywróceniem ustawień fabrycznych. W Android Management API jest to pole frpAdminEmails. Google opisuje je tak: po resecie jeden z wymienionych administratorów musi się zalogować, aby odblokować urządzenie. Jeśli nie wskazano żadnego administratora, urządzenie nie zapewni ochrony przed przywróceniem ustawień fabrycznych.

Jak działa z tym zdalne czyszczenie. Czyszczenie wysłane z konsoli może zachować albo usunąć dane ochrony przed resetem. W Android Management API steruje tym flaga PRESERVE_RESET_PROTECTION_DATA. Jeśli dane zostaną zachowane, FRP może zadziałać po czyszczeniu. Jeśli zostaną usunięte, urządzenie uruchomi się w czystym kreatorze konfiguracji.

Dlaczego kradzież staje się nieopłacalna. Zresetowane urządzenie, które żąda konta, którego nie da się uwierzytelnić, nie może zostać skonfigurowane, użyte ani łatwo odsprzedane. Ma to jednak sens tylko wtedy, gdy Ty nadal możesz uzyskać do niego dostęp.

Krok 1: Utwórz dedykowane konta administratora FRP

Wskazane tutaj konta są kluczami do każdego zresetowanego urządzenia we flocie. Traktuj je jak dane dostępowe typu „break-glass” (do użycia w sytuacjach awaryjnych).

1. Utwórz dwa konta Google przypisane do działu IT, a nie do konkretnej osoby, na przykład frp-admin-1@yourcompany.com oraz frp-admin-2@yourcompany.com. Użyj kont Google Workspace lub standardowych kont Google kontrolowanych przez IT. Dwa konta zapewniają rozwiązanie zapasowe, jeśli jedno z nich zostanie zablokowane lub zawieszone.
2. Zapisz oba zestawy danych logowania we współdzielonym menedżerze haseł z włączonym rejestrowaniem dostępu.
3. Jeśli włączysz weryfikację dwuetapową, upewnij się, że drugi składnik jest zawsze dostępny dla Twojego zespołu. Dobrze sprawdzi się klucz sprzętowy przechowywany w magazynie lub klucz konfiguracyjny (seed) do aplikacji uwierzytelniającej zapisany w menedżerze haseł. Osoba odblokowująca urządzenie zostanie poproszona o ten składnik podczas konfiguracji.
4. Sprawdź, czy każde konto może przejść zwykłe, interaktywne logowanie do Google, na przykład w przeglądarce na komputerze. Nie dodawaj tych kont do urządzenia testowego: konto zsynchronizowane na urządzeniu mogłoby je samo odblokować i unieważnić test z kroku 2.

Ostrzeżenie: Nigdy nie używaj prywatnego ani imiennego konta służbowego jednego administratora jako jedynego konta FRP. Gdy taka osoba odejdzie z pracy lub jej konto zostanie zawieszone, każde zresetowane urządzenie powiązane z tym kontem zostanie zablokowane.

Uwaga: Nie każdy typ konta zachowuje się tak samo podczas monitu FRP. Przed wdrożeniem we flocie upewnij się, że wybrany typ konta odblokowuje Twoje modele urządzeń, przeprowadzając pełny test opisany w kroku 2.

Oczekiwany rezultat: Dysponujesz dwoma kontami Google należącymi do działu IT, oboma zapisanymi w menedżerze haseł, działającymi podczas logowania i ze stale dostępnym drugim składnikiem uwierzytelniania.

Krok 2: Przypisz konta administratora FRP za pomocą zasad

1. Otwórz zasady przypisane do Twoich urządzeń firmowych. W Nomid MDM konta administratorów ochrony przed przywróceniem ustawień fabrycznych znajdują się w zakładce Bezpieczeństwo (Security) w edycji zasad.
2. Dodaj oba adresy e-mail administratorów FRP i zapisz zasady. Jeśli używasz kilku zasad, dodaj konta do wszystkich zasad stosowanych na urządzeniach firmowych. Sprawdź każde aktywne zasady, a nie tylko szablon, aby żadne urządzenie nie zostało bez nich.
3. W przypadku bezpośredniej pracy z Android Management API odpowiedni fragment zasad wygląda następująco:

{
  "frpAdminEmails": [
    "frp-admin-1@yourcompany.com",
    "frp-admin-2@yourcompany.com"
  ]
}

1. Sprawdź na liście zasobów, czy urządzenia zsynchronizowały się od czasu zmiany. Urządzenie, które było offline, zachowuje starą listę albo nie ma żadnej, dopóki się nie zsynchronizuje.
2. Przygotuj zapasowe urządzenie do testu. Zarejestruj je w tych samych zasadach albo w testowej kopii z tymi samymi administratorami FRP i nie dodawaj do niego żadnego konta Google. Sprawdź, czy zsynchronizowało się od czasu zmiany.
3. Przetestuj cały cykl. Wyślij do zapasowego urządzenia czyszczenie z zachowaniem FRP. Gdy poprosi o konto, zaloguj się kontem administratora FRP i sprawdź, czy konfiguracja trwa dalej. Jeśli konto zostanie odrzucone, przed wdrożeniem zajrzyj do sekcji FAQ o rozwiązywaniu problemów.
4. Ponownie zarejestruj zapasowe urządzenie po każdym teście. Czyszczenie usuwa je z zarządzania, więc znów potrzebuje zwykłej konfiguracji przez kod QR, zero-touch lub Knox Mobile Enrollment.

Oczekiwany rezultat: Każde urządzenie firmowe otrzymało zasady z dwoma administratorami FRP, a test na rzeczywistym sprzęcie potwierdził, że te konta odblokowują zresetowane urządzenie.

Krok 3: Wybierz właściwy rodzaj wyczyszczenia dla każdej sytuacji

W tym miejscu najczęściej zapobiega się blokadom lub je wywołuje. W Nomid polecenie wyczyszczenia domyślnie zachowuje FRP, a usunięcie blokady wymaga przestawienia przełącznika. Za każdym razem podejmuj świadomą decyzję przy korzystaniu z tego przełącznika.

Większość przypadków obejmuje prosta zasada: usuwaj FRP tylko wtedy, gdy urządzenie znajduje się fizycznie w rękach IT. W każdym innym przypadku zachowaj FRP. Konta administratora FRP pozwolą na odzyskanie urządzenia, jeśli kiedykolwiek wróci.

Ostrzeżenie: Usunięcie FRP z urządzenia, którego nie posiadasz fizycznie, daje jego aktualnemu posiadaczowi czysty telefon gotowy do odsprzedaży. Jeśli nie masz pewności, gdzie znajduje się urządzenie, zachowaj FRP.

Oczekiwany rezultat: Twój zespół posiada spisane zasady określające, kiedy należy użyć przełącznika „usuń FRP”, a czyszczenie w przypadku utraty lub kradzieży pozostaje przy ustawieniu domyślnym.

Krok 4: Skonfiguruj FRP dla automatycznych czyszczeń egzekwujących zgodność

Reguły egzekwowania zasad mogą automatycznie wyczyścić urządzenie, które pozostaje niezgodne. Typowy przykład to urządzenie, które nigdy nie spełnia zasad haseł. Takie czyszczenie odbywa się bez nadzoru, zwykle na urządzeniach poza magazynem. Dlatego jest to czyszczenie obronne. Zanim zmienisz te reguły, upewnij się, że krok 2 jest ukończony dla tych zasad: automatyczne czyszczenie z zachowaniem FRP jest bezpieczne tylko wtedy, gdy lista administratorów FRP na urządzeniu jest aktualna.

1. Otwórz reguły wymuszania zasad w swoich zasadach.
2. W przypadku każdej reguły kończącej się wyczyszczeniem ustaw opcję zachowania FRP. Nomid obsługuje to ustawienie w regułach wymuszania czyszczących urządzenie.
3. W interfejsie Android Management API reguła wygląda następująco:

{
  "policyEnforcementRules": [
    {
      "settingName": "passwordPolicies",
      "blockAction": { "blockAfterDays": 0 },
      "wipeAction": { "wipeAfterDays": 7, "preserveFrp": true }
    }
  ]
}

Oczekiwany rezultat: Automatyczne czyszczenia pozostawiają urządzenia zabezpieczone, a dział IT może je nadal odblokować za pomocą kont administratora FRP.

Krok 5: Wdróż procedurę obsługi zwracanych urządzeń

Większość blokad w magazynie wynika z lokalnego zresetowania zwróconego urządzenia zamiast wykonania czyszczenia z poziomu konsoli. Stosuj tę procedurę dla każdego zwracanego urządzenia.

1. Zarejestruj zwrot. Zaktualizuj pola przydziału urządzenia. Historia przydziałów pokaże wtedy, kto miał urządzenie i kiedy wróciło.
2. Włącz je i połącz z Wi-Fi. Sprawdź, czy w konsoli jest widoczne jako niedawno aktywne. Czyszczenie z konsoli dociera tylko do urządzenia online i nadal zarejestrowanego. Jeśli nigdy się nie pojawi, najpierw sprawdź Wi-Fi i baterię. Resetuj je lokalnie tylko wtedy, gdy wiesz, że otrzymało Twoją listę administratorów FRP, a potem odblokuj je kontem administratora FRP, jak w kroku 6.
3. Zabezpiecz to, co trzeba zachować, zgodnie z zasadami przechowywania danych.
4. Wyślij z konsoli czyszczenie z włączonym przełącznikiem "usuń FRP".
5. Obserwuj ponowne uruchomienie. Urządzenie powinno dojść do czystego kreatora konfiguracji bez prośby o weryfikację konta.
6. Zdecyduj o dalszych krokach:Ponowne wdrożenie: pozwól mu ponownie zarejestrować się przez zero-touch, Knox Mobile Enrollment lub kod QR.
7. Odsprzedaż, recykling lub zwrot do leasingu: usuń je z portalu zero-touch lub Knox Mobile Enrollment, aby nie zarejestrowało się w Twojej firmie u kolejnego właściciela.
8. Oznacz urządzenie etykietą "FRP usunięte, sprawdzone", z datą i swoimi inicjałami.

Ostrzeżenie: Nie przywracaj ustawień fabrycznych zwracanych urządzeń w magazynie za pomocą trybu recovery ani kombinacji przycisków. Jest to niezaufany reset, który aktywuje blokadę FRP. Zawsze wykonuj wyczyszczenie z poziomu konsoli, dopóki urządzenie jest zarejestrowane.

Ogólne metody resetowania i to, co każda z nich usuwa, opisuje nasz poradnik przywracania ustawień fabrycznych na urządzeniach z Androidem na blogu Nomid.

Oczekiwany rezultat: Każde urządzenie opuszcza dział IT albo ponownie zarejestrowane dla nowego pracownika, albo czyste i usunięte z portali rejestracyjnych. Żadne urządzenie nie pozostaje zablokowane.

Krok 6: Odzyskaj urządzenie, które jest już zablokowane

Gdy urządzenie zostanie zresetowane, traci status zarejestrowanego. Żadne polecenie z konsoli do niego nie dotrze. Wypróbuj poniższe opcje po kolei.

1. Wypróbuj konta administratora FRP. Jeśli przed resetem urządzenie otrzymało zasady z polem frpAdminEmails, zalogowanie się za pomocą jednego z tych kont powinno je odblokować.
2. Wypróbuj starsze konta administratora FRP. Jeśli lista została niedawno zmieniona, urządzenie może nadal zawierać jej poprzednią wersję. Wypróbuj konta, które były skonfigurowane w momencie ostatniej aktywności urządzenia.
3. Znajdź poprzedniego użytkownika. Jeśli do urządzenia nie dotarła lista administratorów FRP, a poprzedni użytkownik dodał konto Google, to konto może je odblokować. Sprawdź historię przydziałów, poproś tę osobę, aby przyszła do działu IT i się zalogowała, i nie proś jej o przesłanie hasła.
4. Weź pod uwagę niedawne zmiany haseł. Pomoc kont Google zaleca odczekanie pewnego czasu po zmianie hasła przed użyciem konta na zresetowanym urządzeniu. Sprawdź aktualne wytyczne Google i spróbuj ponownie.
5. Skontaktuj się ze sprzedawcą, operatorem lub producentem. Przygotuj dowód zakupu, numer seryjny i IMEI. Niektórzy oferują procedurę odblokowania po udowodnieniu własności, każdy według własnych zasad.
6. Jeśli żadna z tych metod nie zadziała, oznacz urządzenie jako niemożliwe do odzyskania, wycofaj je z ewidencji zasobów i wykorzystaj ten incydent do wyeliminowania luki w procedurze.

Ostrzeżenie: Nie korzystaj z narzędzi do omijania FRP, pobieranych programów ani „usług odblokowywania”. Często zawierają one złośliwe oprogramowanie, mogą naruszać umowy z producentem oraz podważają tę samą ochronę, na której polegasz w przypadku kradzieży sprzętu.

Oczekiwany rezultat: Urządzenie zostało odblokowane oficjalną ścieżką albo udokumentowane i wycofane z eksploatacji, a zespół wie, który krok procedury został pominięty.

Najczęściej zadawane pytania (FAQ)

Usunęliśmy FRP, ale urządzenie nadal prosi o konto. Dlaczego?
W większości przypadków urządzenie zostało ponownie zresetowane lokalnie po wyczyszczeniu z konsoli lub polecenie wyczyszczenia zostało wysłane bez aktywnego przełącznika. Sprawdź również, czy polecenie wyczyszczenia z usunięciem FRP w ogóle dotarło do urządzenia. Jeśli było ono offline, polecenie mogło nie dotrzeć przed ręcznym zresetowaniem urządzenia.

Urządzenie prosi o konto, ale dane administratorów FRP nie działają.
Prawdopodobnie urządzenie nigdy nie otrzymało zasad z tymi administratorami lub zawiera starszą wersję listy. Porównaj czas ostatniej aktywności urządzenia z datą modyfikacji zasad. Upewnij się także, że konto administratora nie zostało zawieszone i że masz dostęp do jego drugiego składnika uwierzytelniania.

Czy zero-touch lub Knox Mobile Enrollment pozwalają pominąć FRP?
Nie. Są to metody rejestracji, a nie odblokowywania. Należy przyjąć, że wymogi FRP muszą zostać spełnione, zanim ponowna rejestracja będzie możliwa.

Pracownik zresetował urządzenie z poziomu Ustawień. Czy jest zablokowane?
Zazwyczaj nie, ponieważ musiał znać blokadę ekranu, aby rozpocząć resetowanie. Zachowanie różni się jednak w zależności od wersji systemu Android i producenta, dlatego warto to potwierdzić na własnych modelach.

Czy mogę zdalnie usunąć FRP z urządzenia, które jest już zablokowane?
Nie. Po resecie urządzenie nie jest już zarejestrowane, więc żadne polecenie z konsoli do niego nie dotrze. Zastosuj kolejność odzyskiwania opisaną w kroku 6.

Czy zostawić listę administratorów FRP pustą, aby uniknąć blokad?
To zamiana problemu z procesem na problem z bezpieczeństwem. Według Google urządzenie bez wskazanych administratorów FRP nie zapewnia ochrony przed przywróceniem ustawień fabrycznych, więc skradzione urządzenie można by po prostu zresetować i używać dalej. Zachowaj administratorów i popraw procedurę.

Podsumowanie i kolejne kroki

• Kontroluj klucze dostępu. Zdefiniuj w zasadach dwa konta administratora FRP należące do działu IT i przetestuj je na rzeczywistym sprzęcie.
• Defensywne czyszczenie zachowuje FRP. Dotyczy to urządzeń zagubionych, skradzionych, niezwróconych oraz czyszczeń wymuszonych przez reguły zgodności.
• Czyszczenie administracyjne usuwa FRP – i tylko wtedy, gdy urządzenie znajduje się fizycznie w dziale IT.
• Nigdy nie resetuj lokalnie w magazynie. Zawsze wykonuj wyczyszczenie z poziomu konsoli, dopóki urządzenie jest zarejestrowane.
• Odzyskuj dostęp legalnymi metodami: za pomocą kont administratora FRP, poprzedniego użytkownika lub producenta, nigdy przy użyciu narzędzi do omijania zabezpieczeń.

W ramach kolejnego kroku przetestuj w tym tygodniu kroki 2 i 5 od początku do końca na zapasowym urządzeniu i włącz procedurę obsługi zwracanych urządzeń do standardowych instrukcji magazynowych.

Jeśli zarządzasz flotą w Nomid MDM, trzy ustawienia, na których opiera się ten poradnik, są już w konsoli. Aby najpierw przećwiczyć procedurę, darmowy plan obejmuje do 10 urządzeń bez limitu czasu, co wystarczy dla zapasowego sprzętu przed wdrożeniem.