Příprava aplikací pro Android na zásady ochrany aplikací pomocí Intune App Wrapping Tool

Pomocí Microsoft Intune App Wrapping Tool pro Android můžete změnit chování interních aplikací pro Android omezením funkcí aplikace beze změny kódu samotné aplikace.

Tento nástroj je aplikace příkazového řádku Windows, která běží v PowerShellu a vytvoří obálku kolem vaší aplikace pro Android. Po zabalení aplikace můžete změnit funkčnost aplikace konfigurací zásad správy mobilních aplikací v Intune.

Před spuštěním nástroje si projděte aspekty zabezpečení při spuštění nástroje App Wrapping Tool. Pokud si chcete nástroj stáhnout, přejděte na Microsoft Intune App Wrapping Tool pro Android na GitHubu.

Poznámka

Pokud máte problémy s používáním Intune App Wrapping Tool s vašimi aplikacemi, odešlete žádost o pomoc na GitHubu.

Splnění předpokladů pro použití nástroje App Wrapping Tool

  • Aplikace musí používat aktuální knihovny

  • Aplikace musí být kompatibilní s požadavky služby Google Play

  • Pokud je vaše aplikace složitá, musí se integrovat se sadou Intune App SDK pro Android

  • Nástroj App Wrapping Tool musíte spustit na počítači s Windows, na kterém běží systém Windows 10 nebo novější.

  • Vstupní aplikace musí být platným balíčkem aplikace pro Android s příponou souboru .apk a:

    • Nejde zašifrovat.
    • Nesmí být dříve zabalen Intune App Wrapping Tool.
    • Musí být napsána pro Android 9.0 nebo novější.

    Poznámka

    Pokud je vstupní aplikací balíček Android App Bundle (.aab), budete ji muset před použitím Intune App Wrapping Tool převést na soubor APK. Podrobnosti naleznete v tématu Převod balíčku aplikací pro Android (AAB) na APK. Od srpna 2021 lze nové soukromé aplikace stále publikovat do Obchodu Google Play jako soubory APK.

  • Aplikaci musí vyvinout vaše společnost nebo pro vaši společnost. Tento nástroj nelze použít u aplikací, které jsou k dispozici v obchodě Google Play. To zahrnuje stažení nebo získání aplikace z Obchodu Google Play.

  • Pokud chcete spustit nástroj App Wrapping Tool, musíte nainstalovat nejnovější verzi prostředí Java Runtime Environment a pak se ujistit, že proměnná cesty Java je v proměnných prostředí Windows nastavená na C:\ProgramData\Oracle\Java\javapath. Další nápovědu najdete v dokumentaci k Javě.

    Poznámka

    V některých případech může 32bitová verze Javy vést k problémům s pamětí. Je vhodné nainstalovat 64bitovou verzi.

  • Android vyžaduje, aby všechny balíčky aplikací (.apk) byly podepsané. Opětovné použití existujících certifikátů a obecné pokyny pro podpisové certifikáty najdete v tématu Opětovné použití podpisových certifikátů a zabalení aplikací. Po zabalení .apk souboru pomocí Intune App Wrapping Tool doporučujeme použít nástroj Apksigner od společnosti Google. To zajistí, že jakmile se vaše aplikace dostane na zařízení koncových uživatelů, může být správně spuštěna podle standardů Androidu.

  • (Volitelné) Někdy může aplikace dosáhnout limitu velikosti spustitelného souboru Dalvik (DEX) kvůli třídám sady SDK sady Intune MAM, které se přidají během zabalení. Soubory DEX jsou součástí kompilace aplikace pro Android. Intune App Wrapping Tool automaticky zpracovává přetečení souboru DEX během balení pro aplikace s minimální úrovní rozhraní API 21 nebo vyšší (od verze 1.0.2501.1). U aplikací s minimální úrovní rozhraní API 21 < je nejlepším postupem zvýšit minimální úroveň rozhraní API pomocí příznaku -UseMinAPILevelForNativeMultiDex obálky. Pro zákazníky, kteří nemohou zvýšit minimální úroveň rozhraní API aplikace, jsou k dispozici následující alternativní řešení přetečení DEX. V některých organizacích to může vyžadovat spolupráci s tím, kdo aplikaci kompiluje (tj. s týmem, který aplikaci sestavuje):

    • Pomocí ProGuard můžete eliminovat nepoužívané odkazy na třídy z primárního souboru DEX aplikace.
    • Pro zákazníky, kteří používají plugin Android Gradle verze 3.1.0 nebo vyšší, deaktivujte D8 dexer.

Jak často mám aplikaci pro Android znovu zalamovat do Intune App Wrapping Tool?

Hlavní scénáře, ve kterých byste museli znovu zabalit aplikace, jsou následující:

  • Samotná aplikace vydala novou verzi. Předchozí verze aplikace byla zabalená a nahraná do Centra pro správu Microsoft Intune.

  • Intune App Wrapping Tool pro Android vydal novou verzi, která umožňuje opravy klíčových chyb nebo nové specifické funkce zásad ochrany aplikací Intune. K tomu dochází každých 6 až 8 týdnů prostřednictvím úložiště GitHub pro Microsoft Intune App Wrapping Tool pro Android.

Osvědčené postupy pro přebalení:

Instalace nástroje App Wrapping Tool

  1. Z úložiště GitHub si stáhněte instalační soubor InstallAWT.exe pro Intune App Wrapping Tool pro Android do počítače s Windows. Otevřete instalační soubor.

  2. Přijměte podmínky licenční smlouvy a dokončete instalaci.

Poznamenejte si složku, do které jste nástroj nainstalovali. Výchozí umístění je: C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool.

Spuštění nástroje App Wrapping Tool

Důležité

Intune pravidelně vydává aktualizace Intune App Wrapping Tool. Pravidelně kontrolujte aktualizace Intune App Wrapping Tool pro Android a začleňte je do cyklu vydávání softwaru, abyste zajistili, že vaše aplikace podporují nejnovější nastavení zásad ochrany aplikací.

  1. Na počítači s Windows, na který jste nainstalovali nástroj App Wrapping Tool, otevřete okno PowerShellu.

  2. Ze složky, do které jste nástroj nainstalovali, naimportujte modul PowerShellu nástroje App Wrapping Tool:

    Import-Module .\IntuneAppWrappingTool.psm1

  3. Spusťte nástroj pomocí příkazu invoke-AppWrappingTool , který má následující syntaxi použití:

    Invoke-AppWrappingTool [-InputPath] <String> [-OutputPath] <String> [<CommonParameters>]

    Následující tabulka podrobně popisuje vlastnosti příkazu invoke-AppWrappingTool :

Vlastnost Informace
-Vstupní cesta<Řetězec> Cesta ke zdrojové aplikaci pro Android (.apk).
-Výstupní cesta<Řetězec> Cesta k výstupní aplikaci pro Android. Pokud se jedná o stejnou cestu k adresáři jako InputPath, balení se nezdaří.
<CommonParameters> (Volitelné) Příkaz podporuje běžné parametry PowerShellu, jako jsou podrobné a ladění.

  • Seznam běžných parametrů naleznete v centru Microsoft Script Center.

  • Pokud chcete zobrazit podrobné informace o použití nástroje, zadejte příkaz:

    Help Invoke-AppWrappingTool

Příklad:

Importujte modul PowerShellu.

Import-Module "C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool\IntuneAppWrappingTool.psm1"

Spusťte App Wrapping Tool na HelloWorld.apk nativní aplikace.

invoke-AppWrappingTool -InputPath .\app\HelloWorld.apk -OutputPath .\app_wrapped\HelloWorld_wrapped.apk -Verbose

Vygenerují se zabalená aplikace a soubor protokolu a uloží se do zadané výstupní cesty.

Opakované použití podpisových certifikátů a balení aplikací

Android vyžaduje, aby všechny aplikace byly před instalací na zařízení s Androidem podepsané platným certifikátem.

Zabalené aplikace můžete po zabalení podepsat pomocí stávajících nástrojů pro podepisování (všechny informace o podpisu v aplikaci před zabalením se zahodí). Pokud je to možné, podpisové informace, které již byly použity během procesu sestavení, by měly být použity během zabalení. V některých organizacích to může vyžadovat spolupráci s tím, kdo vlastní informace o úložišti klíčů (tj. s týmem pro vytváření aplikací).

Pokud předchozí podpisový certifikát nejde použít nebo aplikace zatím nebyla nasazená, můžete vytvořit nový podpisový certifikát podle pokynů v Dokumentaci pro vývojáře Androidu.

Pokud byla aplikace nasazena dříve s jiným podpisovým certifikátem, nelze aplikaci po upgradu nahrát do Intune. Scénáře upgradu aplikace budou přerušené, pokud je vaše aplikace podepsaná jiným certifikátem, než se kterým je aplikace vytvořená. Proto by se všechny nové podpisové certifikáty měly pro upgrady aplikací zachovat.

Co je nutné zvážit z hlediska bezpečnosti při spuštění nástroje App Wrapping Tool

Zabránění potenciálnímu falšování identity, zpřístupnění informací a útokům na zvýšení oprávnění:

  • Ujistěte se, že vstupní obchodní aplikace a výstupní aplikace jsou na stejném počítači s Windows, kde je spuštěný nástroj App Wrapping Tool.

  • Naimportujte výstupní aplikaci do protokolu Intune na stejném počítači, na kterém je nástroj spuštěný. Další informace o nástroji Java keytool naleznete v tématu keytool .

  • Pokud se výstupní aplikace a nástroj nacházejí v cestě UNC (Universal Naming Convention) a nepoužíváte nástroj a vstupní soubory ve stejném počítači, nastavte prostředí tak, aby bylo zabezpečené pomocí podepisování protokolu IPsec (Internet Protocol Security) nebo podepisování protokolu SMB (Server Message Block).

  • Ujistěte se, že aplikace pochází z důvěryhodného zdroje.

  • Zabezpečte výstupní adresář obsahující zabalenou aplikaci. Zvažte použití adresáře na úrovni uživatele pro výstup.

Převést Android App Bundle (AAB) na APK

Intune App Wrapping Tool aktuálně podporuje pouze vstupy APK. Balíčky aplikací pro Android je nutné nejprve převést na soubor APK, který lze s tímto nástrojem používat.

Balíček aplikací pro Android lze převést na soubor APK pomocí nástroje příkazového řádku Google, bundletool. Nejnovější verzi si bundle-tool můžete stáhnout z úložiště GitHub bundletool společnosti Google.

bundletoollze použít k vytvoření jednoho univerzálního souboru APK pro použití s Intune App Wrapping Tool pomocí následujícího příkazu:

bundletool build-apks --bundle=input.aab --mode=universal --output=input.apks

Výstupní .apks soubor je archiv ZIP obsahující jeden univerzální soubor APK. Rozbalte archiv a použijte tento soubor APK jako vstup do Intune App Wrapping Tool.

Viz také

  • Poslední aktualizace v