没有Google的安卓：外资企业如何管理中国员工的设备

简短回答： 在中国大陆销售的安卓设备不预装Google移动服务（GMS），而绝大多数跨国企业的全球MDM标准所依赖的Android Enterprise注册流程，恰恰建立在GMS之上。于是，一套在别处都跑得通的集团设备管理策略，到了中国就走不完。真正的解法，是在全球标准里设计出一条中国专属的注册路径——而不是去找某个"忘了勾"的设置。

为什么一套全球设备管理标准会在中国边界上停下来

大多数跨国IT团队走到设备管理这一步的路径都差不多。选一个平台——以微软为中心的组织选Microsoft Intune，苹果设备占多数的选Jamf Pro，混合型企业环境选VMware Workspace ONE。策略写一次。注册自动化。新员工拿到一台会自我配置的设备。然后这套标准一个国家一个国家地铺开，过程通常波澜不惊。

直到它推进到中国大陆，流程就是走不完。

原因具体而结构化，并不神秘：在中国大陆销售的安卓设备不预装Google移动服务（GMS）——在中国以外，几乎每一台安卓手机上都存在的那个Google Play服务层。而绝大多数全球MDM标准所依托的现代Android Enterprise管理模型，恰恰依赖这一层。工作资料档案（work profile）的部署、通过Managed Google Play进行的受管应用分发，以及策略执行链条上的相当一部分，都默认它是在的。

把这一层拿掉，注册流程就缺了一个它必需的组件。这不是权限问题、不是网络抖动，也不是某条策略需要调整。那条在另外十二个国家都行得通的路径，在这台设备上并不存在。

真正让这件事变贵的，并不是这个技术约束本身——在中国做过IT的人对它都很清楚。而是全球IT团队通常是在生产环境里第一次撞上它：中国办公室推进到第几周，设备已经发到人手上了。

情境：一套集团标准、一个新的中国办公室，和一次永远走不完的注册

下面是一个示意性的复合情境——不是某个具名客户，而是在外资企业在华开设或扩张时反复出现的一种模式。

一家欧洲工业集团，在欧洲和北美的运营中使用同一套设备管理标准已有三年：Intune、安卓上的Android Enterprise工作资料档案、iOS上的自动化注册，以及一套涵盖加密、PIN复杂度、锁屏超时和条件访问的成文策略。它是有效的。已经很久没有人需要为它操心。

集团的中国主体已经成长到约七十人——上海办公室覆盖销售、技术服务和财务，另有一个小型北京团队。设备是在本地采购的，因为在本地买笔记本和手机，是最顺理成章的做法。

推进计划在项目排期表上只有一行：把集团MDM标准扩展到中国办公室。

实际发生的是：

• 安卓设备注册走不完。这些是主流厂商的当代机型，通过普通本地零售渠道购买，而它们的行为与欧洲机队里那些外观一模一样的设备完全不同。
• 隔着三个时区的集团IT团队开始排查。他们检查了授权、条件访问规则、网络路径，以及设备策略本身。全都配置正确——这反而让问题更难被看见，而不是更容易。
• 最后有人确认：这些设备上没有Google移动服务，而且这在中国市场是常态，不是故障。这一下把问题完全重新定义了——而它是在两周之后才到来的。
• iPhone的注册大多是成功的，这在一开始反而搅浑了诊断：一半机队注册成功、一半失败，而在你不知道该找什么之前，这个规律并不明显。
• 与此同时，中国办公室处在无管理状态。没有人规划过这个状态；它只是"在问题被搞清楚的这段时间里"的既成事实。企业邮件跑在按个人配置的设备上，没有强制加密、没有PIN策略、没有远程擦除能力，也没有资产清册。
• 一直在非正式地兼管IT的本地办公室经理，没有能力把这件事有效地升级上去——因为从他的位置看，设备工作得挺好。

中国办公室并没有抵制这套标准。是这套标准根本没有抵达它。

除了延误之外，这件事真正的代价

看得见的代价是工程时间——一个全球IT团队花两周去排查一个它从未见过的问题。这令人恼火，但可以挽回。

另外三项代价更要紧。

一个没有人决定要接受的安全缺口。 从铺开到解决之间，中国机队处于无管理状态。如果在这个窗口期里有一部手机丢失，没有远程擦除、无法确认里面有什么、也没有任何记录证明它存在过。这正是当初那套策略要防的暴露面，而它就敞开在唯一一个从未被明确批准过例外的市场里。

资产版图上的一个盲区。 由本地办公室在集团采购流程之外自行购买的设备，经常从来没有进入过中央资产清册。即便注册问题最终修好了，"到底有哪些设备存在"这个问题仍然只有部分答案——而你很难去注册一台你并不知道其存在的设备。

一个会长期存在的先例。 我们看到的最常见的"解决"，其实不是解决，而是一个例外：中国被悄悄标记为设备标准的适用范围之外，理由是它比较麻烦、而且办公室不大。这个例外此后会在每一次策略复审中存活下来，因为没有人想重新打开它。两年后，中国办公室有了一百二十人、一支无管理的机队，以及一个"只要没人问就成立"的合规答案。

这里还有一个数据保护维度，值得外资企业主动去处理，而不是听其默认发生。设备管理涉及收集关于设备的信息——并且视配置而定，也可能涉及使用情况的信息——而这些设备属于在中国的员工。《个人信息保护法》（PIPL）如何适用于此、员工告知与同意应当是什么形态、以及是否有管理数据离境，都是有真实答案的真实问题；而它们是法律问题，不是技术问题。我们的立场是：这些应当在设计阶段与你自己的法律顾问一起确定，而不是在审计时才发现。从运营角度我们能说的是：注册架构会实质性地影响"收集了哪些数据、数据去了哪里"——这恰恰是它值得被设计、而不是被继承的原因。

Brocent的看法：这是一个架构决策，不是一个"修一次就好"的Bug

我们自2007年起就在为在华外资企业做IT。我们最想推的框架是：GMS约束并不是"通往全球标准路上的一个障碍"。它是这个环境的一项永久属性，而全球标准必须把中国这条分支设计进去。

这个区分之所以要紧，是因为它改变了"谁拥有这个问题"以及"在什么时候拥有"。

当成Bug来处理，它会被交给当班处理工单的人，为当下在办公室里的这批设备解决一次，然后被遗忘。六个月后，上海新入职的同事拿到一台本地购买的手机，同样的事情再发生一遍，而没有人记得上次是怎么做的。知识活在一张已关闭的工单里。

当成架构决策来处理，它会产出三样能持续存在的东西：一条为中国设备定义好的注册路径、一个关于中国设备从哪里采购的明确答案，以及一份全球IT团队可以照着走、无需重新发现这个约束的操作手册。这是一天的设计工作，换来这件事不再复发。

我们想推的第二点是：采购来源这个问题，值得一个明确决策，而不是一个默认值。方向大体有两个，而且两个都成立：

设备可以在本地采购，并走一条不依赖GMS的管理路径。举例来说，Microsoft Intune 提供了一条面向Android开源项目（AOSP）的设备管理路径，正是为这种情况准备的——没有Google移动服务的设备。对一个中国办公室而言，这是诚实且可持续的答案，因为它适配的正是你的员工真的会买、你的本地采购真的能拿到的设备。需要睁着眼睛进去的取舍是：能力集合与Android Enterprise并不相同。没有GMS就没有Managed Google Play，所以应用分发的工作方式不同，某些策略控制项的行为也不同、甚至不可用。你现有的哪些策略要求能在这次"翻译"中存活下来，是一个有可核查答案的范围界定问题——而它应该在买设备之前回答，不是之后。

或者，设备可以从中国大陆以外采购、带GMS，让全球路径原样适用。这保住了策略一致性；对于一小批高管或频繁出差的人员，这可能就是正确选择。但它会让每一台设备都变成一个跨境采购项，带着自己的保修、支持和更换问题；而且它无法优雅地扩展到七十名本地员工。

我们服务的大多数公司最终会落在一个刻意为之的混合方案上——而关键词是"刻意"。失败模式不是"没选其中任何一个"，而是这个选择被"碰巧去买手机的那个人"隐式地做掉了。

第三点，是关于这件事里其实与安卓无关的部分。苹果的注册路径通常较少受这个特定约束影响——这也是上面那个复合情境里iPhone大多注册成功的原因。但在中国办公室里，设备管理仍然取决于办公室能否稳定地访问到你的管理服务；而从中国办公室出发的跨境网络可靠性，本身就是一个独立的工程课题，并且同时影响两个平台。一份没有考虑网络可达性的中国设备管理设计，解决了注册问题，却留下了一个运营问题。

一份中国专属的设备管理设计实际上长什么样

我们交付的MDM与BYOD服务在设计上是平台中立的——我们会根据环境去选型、部署并配置Intune、Jamf Pro或Workspace ONE，而不是硬推其中某一个。对一个中国办公室，设计工作大致这样推进。

先弄清机队到底是什么。 在任何注册设计之前，先做设备清册：有哪些设备、在谁手上、从哪来的、其中哪些带GMS。在一个一直在本地采购的中国办公室里，这通常是产生意外的那一步；而它必须排在最前面，因为下游的一切都依赖它。

明确采购来源，并写下来。 本地采购走AOSP管理、境外采购带GMS，或者一个定义清楚的混合方案，并附上"谁该拿哪一种"的规则。这是一个带有成本、支持和策略后果的决策，它属于业务，而不属于站在采购台前的那个人。

把策略集合逐条对照"每条路径实际能强制执行什么"。 加密、PIN与密码复杂度、锁屏超时、越狱与root检测、条件访问、应用白名单。其中有些能干净地翻译到无GMS路径上，有些不能。产出物是一份明确成文的说明：在中国，哪些控制项适用于哪一类设备——而不是一个"全球策略统一适用"的假设。

认真解决应用分发。 这是最常被低估的部分。没有Managed Google Play，把经批准的企业应用装到受管设备上、并让它们保持在批准的版本上，需要一套明确的机制，而不是全球标准所默认的那一套。它是可解的；但它不是自动发生的。

在同一约束下设计BYOD容器化。 工作资料档案容器化——把企业应用与数据同个人内容隔开，并允许一次"选择性擦除"，在不触碰个人照片和消息的前提下移除公司数据——本身就是一项Android Enterprise能力。在无GMS的环境里，隔离方案必须被设计出来，而不能被假定存在。这一点在中国比在几乎任何地方都更要紧，因为用个人设备处理工作沟通在那里是文化常态；而一个只在纸面上成立的BYOD答案，不是答案。

验证运营路径，而不只是注册。 收到丢失报告后数分钟内的远程擦除、丢失设备响应、应用版本管理、策略漂移检测——这些都需要在设备实际所在的位置上跑得通。注册成功是测试的开始，不是结束。

写下操作手册。 一份成文的中国注册流程，让集团IT团队在下一次招人时可以照着走，而无需重新发现上述任何一件事。以我们的经验，单是这一份产出物，在两年的跨度上比最初那次修复更有价值。

外资企业在中国处理设备管理的三种方式

原样铺开全球标准

• 它是什么： 把集团MDM策略作为一个条目扩展到中国办公室，假定"一个国家就是一个国家"。
• 它真正的强项： 在中国大陆，具体而言没有——尽管这背后的直觉在其他任何地方都是对的，这也正是这种做法如此普遍的原因。
• 它在哪里失效： 本地购买的安卓设备注册走不完，而这个失败对一个从未见过它的团队来说是不透明的。
• 隐藏成本： 排查窗口期。机队在无管理状态下运行，而一个全球团队正在调查一个有中国经验的工程师一小时就能识别出来的约束。
• 诚实的结论： 它不是一种策略，而是大多数公司"因为什么都没决定"而执行出来的默认值。

把中国设备排除在适用范围之外

• 它是什么： 撞墙之后，中国被标记为设备标准的一个例外。往往还是非正式的。
• 它真正的强项： 快，而且它止住了在一个小办公室上继续投入工程时间。
• 它在哪里失效： 它留下了一个真实且永久的安全缺口——没有强制加密、没有PIN策略、没有远程擦除、没有资产清册——而且往往正是在一个还在成长的市场里。
• 隐藏成本： 这个例外的寿命长过它的理由。它是在办公室二十人时被接受的，到一百二十人时它还在；而到那时，重新打开它已经是一个项目，而不是一个决定。
• 诚实的结论： 最常见的结局、最站不住脚的一个，也是在审计或客户安全问卷里读起来最糟糕的一个。

在全球标准里内建一条中国专属注册路径

• 它是什么： Brocent的模式——一套全球标准，带一条被明确设计出来的中国分支：为无GMS设备定义的注册路径、一个刻意做出的采购决策、一份"哪些控制项适用于哪类设备"的成文映射、一套已解决的应用分发机制、一个在该约束下成立的容器化方案，以及一份操作手册。
• 它真正的强项： 它撑得住。新员工能注册进来，策略立场是成文且可辩护的，而全球团队不会再撞上这个问题。
• 它的成本： 前期的设计投入，以及对不同路径之间能力差异的诚实。它不是免费的，也不等同于全球标准；任何告诉你不是这样的人，都没有真的做过。
• 它需要小心的地方： 策略映射。假定一个并不存在的能力对等，会让你以为某项控制在生效、而实际上并没有——这比明确知道它缺失更糟。
• 诚实的结论： 三者之中，唯一一个是"决策"、而不是"后果"的选项。

常见问题

为什么标准的MDM注册流程在中国会失败？

因为在中国大陆销售的安卓设备不预装Google移动服务，而绝大多数全球MDM标准所依托的Android Enterprise管理模型依赖这一层的存在。工作资料档案的部署和受管应用分发都默认它在。注册流程并没有被配置错——它是缺了一个它必需的组件。这是一项市场特征，不是设备故障或策略错误；这也正是没见过它的团队会在错误的方向上花那么久时间的原因。

这会影响iPhone的注册吗，还是只影响安卓？

GMS约束是安卓特有的，苹果的注册路径通常较少受其影响——这也是在混合机队里，iPhone常常能注册成功、而安卓设备不行的原因。这个分裂本身就是一个有用的诊断信号。真正同时影响两个平台的是网络可达性：设备管理取决于办公室能否稳定地访问你的管理服务，而从中国办公室出发的跨境网络可靠性，是一个完整设计必须覆盖的独立工程问题。

设备被正确管理之后，全球MDM策略还能适用吗？

部分适用；而诚实的答案比一个让人安心的答案更要紧。核心控制项——设备加密、PIN与密码复杂度、锁屏超时、远程擦除——通常是可以做到的。而依赖Google Play层的一些能力，最明显的是通过Managed Google Play进行的受管应用分发，则不可用，需要另一套机制。正确的产出物是一份明确成文的映射：在中国，哪些控制项适用于哪一类设备——而不是一个"能力对等"的假设。以为某项控制在生效、而它并没有，比明确知道它不可用更糟。

这是Brocent特有的解法，还是中国的普遍约束？

它是中国大陆市场的一个普遍约束；任何在当地有能力的服务商，描述它的方式都会是一样的。服务商之间的差别，在于他们是否为它准备了一条被设计过的路径——一个定义好的注册方法、一个采购立场、一次策略映射工作、一个应用分发答案，以及一份操作手册——还是每次出事解决一次。我们建议你在签任何合约之前，都要求服务商（包括我们）具体描述他们的中国注册路径。

中国专属的注册配置要多久？

一旦机队清册存在，设计工作是以天而不是周来计的——而清册通常才是那根最长的杆子，尤其是在一个长期本地采购、缺乏中央可见性的办公室里。我们会推进的顺序是：先清册，再采购决策，再策略映射，然后在一小批真实设备上做试点注册，之后才是全机队铺开。试点不是可选项。它正是你发现"哪些策略假设在翻译后存活下来"的地方。

这会影响应用管理，而不只是注册吗？

会，而且这是最常被低估的部分。把经批准的企业应用静默推送到受管设备、拦截未经批准的应用、并让所有人保持在批准的版本上，通常是通过Google Play层来实现的。没有它，应用分发需要一套明确的替代机制。这是可解的，但它是与"把设备注册进来"分开的工作；一份只为注册留了预算的中国铺开计划，会很晚才发现它。

中国的BYOD个人设备怎么办？

BYOD值得单独对待，而不是被并进机队问题里，因为在中国用个人设备处理工作沟通是文化常态。让BYOD在别处可被接受的那个容器化模型——一个受管工作资料档案，把企业应用与数据同个人内容隔开，并支持一次不触碰个人照片和消息的选择性擦除——本身就是一项Android Enterprise能力。在GMS约束下，隔离方案必须被明确设计出来。这也是员工数据保护问题最尖锐的地方；而那一部分应当与你自己的法律顾问一起确定，而不是从你的欧洲或美国策略里想当然地照搬。

我们是不是也要把它当成一个合规问题，而不只是技术问题？

在中国做设备管理会触及在大陆的员工的个人信息，因此PIPL是一个现实考量；而它如何适用于你的具体配置——收集了哪些设备数据、员工收到什么样的告知与同意、以及其中是否有数据跨境——是一个属于你自己法律顾问的法律问题，不是我们会替你回答的东西。我们从运营角度会坚持的是：注册架构直接决定了收集哪些数据、数据去哪里，所以这场合规对话应当发生在设计阶段、与技术决策并排进行，而不是在机队注册完成之后。

设备管理该放在哪：在方案之内，而不是并列在旁边

在中国做设备管理，是一个很好的例子：它看起来像一次产品采购，实际上是一个治理问题。

上面那家复合情境里的公司，并不需要去买一份MDM授权。它已经有了。它缺的，是有人以此为职责：知道中国的环境在结构上就是不同的、在买设备之前就为此做过设计，并在办公室成长的过程中让这个答案保持有效。授权从来不是那块缺失的拼图。

这正是"设备管理应当坐在管理型IT方案之内、而不是作为一个独立工具并列在旁边"的论据。一份方案本身已经承载了设备管理设计必须与之咬合的那些东西——7×24监控、补丁管理、终端防护、凭据管理、安全治理，以及一位具名的vCIO，其职责包括察觉到中国办公室已经成长到当初那个决定不再适用的规模。MDM在所有方案层级上都是附加服务、而非打包进基础方案，并且是按范围界定报价、而不是标价出售——恰恰因为一支中国机队、一支香港机队和一支新加坡机队，是三个真正不同的设计问题，而不是一个按席位计的数量。

Brocent的管理型IT方案就是这样构建的：一份按用户计费的月度方案，承载监控、补丁、安全与治理；在它之上，针对你的实际环境去设计设备管理——包括一个不像你其余资产那样运作的中国环境。包含中国大陆在内的分市场按用户价格，公开在价格页上。

如果你正在把一套全球设备标准扩展到中国办公室——或者你在一段时间之前撞过这堵墙、并悄悄把中国标记成了例外——有用的第一步是清点一下现在到底有什么设备在人们手上，然后就注册路径做一次设计对话。联系我们，我们会从你现有的策略集合出发，把"其中哪些部分能在翻译后存活下来"梳理清楚，而不是去替换一套在其他地方运行良好的东西。

*本文描述的公司，是Brocent所支持的在华外资运营的示意性复合情境，并非某个具名客户。文中描述的平台能力以撰稿时为准，并会在方案界定时针对你的具体环境与策略要求逐项核实。本文不构成法律意见；PIPL与员工数据保护问题应当与你自己的法律顾问一起确定。Brocent于2007年在北京创立，2016年设立香港办事处，自2021年起总部设于新加坡。*