Vorbereiten von Android-Apps für App-Schutzrichtlinien mit dem Intune App Wrapping Tool

Verwenden Sie die Microsoft Intune App Wrapping Tool für Android, um das Verhalten Ihrer internen Android-Apps zu ändern, indem Sie Features der App einschränken, ohne den Code der App selbst zu ändern.

Das Tool ist eine Windows-Befehlszeilenanwendung, die in PowerShell ausgeführt wird und einen Wrapper um Ihre Android-App erstellt. Nachdem die App umschlossen wurde, können Sie die Funktionalität der App ändern, indem Sie Richtlinien für die mobile Anwendungsverwaltung in Intune konfigurieren.

Lesen Sie vor dem Ausführen des Tools die Sicherheitsüberlegungen zum Ausführen des App Wrapping Tool. Um das Tool herunterzuladen, wechseln Sie zur Microsoft Intune App Wrapping Tool für Android auf GitHub.

Hinweis

Wenn Sie Probleme bei der Verwendung des Intune App Wrapping Tool mit Ihren Apps haben, senden Sie eine Hilfeanfrage auf GitHub.

Erfüllen Sie die Voraussetzungen für die Verwendung des App Wrapping Tool

  • Ihre App muss aktuelle Bibliotheken verwenden

  • Ihre App muss mit den Google Play-Anforderungen kompatibel sein.

  • Wenn Ihre App komplex ist, muss sie in das Intune App SDK für Android integriert werden

  • Sie müssen das App Wrapping Tool auf einem Windows-Computer ausführen, auf dem Windows 10 oder höher ausgeführt wird.

  • Ihre Eingabe-App muss ein gültiges Android-Anwendungspaket mit der Dateierweiterung .apk sein und:

    • Sie kann nicht verschlüsselt werden.
    • Er darf zuvor nicht von der Intune App Wrapping Tool umschlossen worden sein.
    • Es muss für Android 9.0 oder höher geschrieben sein.

    Hinweis

    Wenn es sich bei Ihrer Eingabe-App um ein Android-App-Bundle (.aab) handelt, müssen Sie es in ein APK konvertieren, bevor Sie das Intune App Wrapping Tool verwenden können. Weitere Informationen finden Sie unter Konvertieren von Android App Bundle (AAB) in APK. Ab August 2021 können neue private Apps weiterhin als APKs im Google Play Store veröffentlicht werden.

  • Die App muss von Ihrem Unternehmen oder für Ihr Unternehmen entwickelt worden sein. Sie können dieses Tool nicht für Apps verwenden, die im Google Play Store verfügbar sind. Dies umfasst das Herunterladen oder Abrufen der App aus dem Google Play Store.

  • Um das App Wrapping Tool auszuführen, müssen Sie die neueste Version der Java Runtime Environment installieren und dann sicherstellen, dass die Java-Pfadvariable in Ihren Windows-Umgebungsvariablen auf C:\ProgramData\Oracle\Java\javapath gesetzt wurde. Weitere Hilfe finden Sie in der Java-Dokumentation.

    Hinweis

    In einigen Fällen kann die 32-Bit-Version von Java zu Arbeitsspeicherproblemen führen. Es empfiehlt sich, die 64-Bit-Version zu installieren.

  • Bei Android müssen alle App-Pakete (.apk) signiert werden. Informationen zur Wiederverwendung vorhandener Zertifikate und zum allgemeinen Leitfaden zum Signieren von Zertifikaten finden Sie unter Wiederverwenden von Signaturzertifikaten und Umschließen von Apps. Nachdem Sie die .apk Datei mit dem Intune App Wrapping Tool umschlossen haben, wird empfohlen, das von Google bereitgestellte Apksigner-Tool zu verwenden. Dadurch wird sichergestellt, dass Ihre App, sobald sie auf Endbenutzergeräten ist, gemäß Android-Standards ordnungsgemäß gestartet werden kann.

  • (Optional) Manchmal erreicht eine App aufgrund der Intune MAM SDK-Klassen, die während des Umbruchs hinzugefügt werden, möglicherweise das Dalvik Executable(DEX)-Größenlimit. DEX-Dateien sind Teil der Kompilierung einer Android-App. Die Intune App Wrapping Tool behandelt automatisch einen DEX-Dateiüberlauf während des Umbruchs für Apps mit einer API-Mindeststufe von 21 oder höher (ab Version 1.0.2501.1). Für Apps mit einer minimalen API-Ebene von < 21 besteht die bewährte Methode darin, die minimale API-Ebene mithilfe des Wrapper-Flags -UseMinAPILevelForNativeMultiDex zu erhöhen. Für Kunden, die die minimale API-Stufe der App nicht erhöhen können, stehen die folgenden DEX-Überlaufumgehungen zur Verfügung. In bestimmten Organisationen erfordert dies möglicherweise, dass mit demjenigen zusammengearbeitet wird, der die App kompiliert (d. h. dem App-Buildteam):

    • Verwenden Sie ProGuard, um nicht verwendete Klassenverweise aus der primären DEX-Datei der App zu entfernen.
    • Für Kunden, die v3.1.0 oder höher des Android Gradle-Plug-Ins verwenden, deaktivieren Sie den D8 dexer.

Wie oft sollte ich meine Android-Anwendung mit dem Intune App Wrapping Tool umschließen?

Die wichtigsten Szenarien, in denen Sie Ihre Anwendungen neu umschließen müssen, sind die folgenden:

  • Die Anwendung selbst hat eine neue Version veröffentlicht. Die vorherige Version der App wurde umschlossen und in das Microsoft Intune Admin Center hochgeladen.

  • Die Intune App Wrapping Tool für Android hat eine neue Version veröffentlicht, die wichtige Fehlerbehebungen oder neue, spezifische Features Intune Anwendungsschutzrichtlinien ermöglicht. Dies geschieht alle 6-8 Wochen über das GitHub-Repository für die Microsoft Intune App Wrapping Tool für Android.

Einige bewährte Methoden für das Umbrechen sind:

Installieren des App Wrapping Tool

  1. Laden Sie aus dem GitHub-Repository die Installationsdatei InstallAWT.exe für die Intune App Wrapping Tool für Android auf einen Windows-Computer herunter. Öffnen Sie die Installationsdatei.

  2. Akzeptieren Sie den Lizenzvertrag, und schließen Sie dann die Installation ab.

Notieren Sie sich den Ordner, in dem Sie das Tool installiert haben. Der Standardspeicherort ist: C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool.

Ausführen des App Wrapping Tool

Wichtig

Intune veröffentlicht regelmäßig Updates für die Intune App Wrapping Tool. Überprüfen Sie regelmäßig die Intune App Wrapping Tool für Android auf Updates, und integrieren Sie sie in den Veröffentlichungszyklus Ihrer Softwareentwicklung, um sicherzustellen, dass Ihre Apps die neuesten App-Schutzrichtlinieneinstellungen unterstützen.

  1. Öffnen Sie auf dem Windows-Computer, auf dem Sie das App Wrapping Tool installiert haben, ein PowerShell-Fenster.

  2. Importieren Sie aus dem Ordner, in dem Sie das Tool installiert haben, das PowerShell-Modul App Wrapping Tool:

    Import-Module .\IntuneAppWrappingTool.psm1

  3. Führen Sie das Tool mit dem Befehl invoke-AppWrappingTool aus, der die folgende Verwendungssyntax aufweist:

    Invoke-AppWrappingTool [-InputPath] <String> [-OutputPath] <String> [<CommonParameters>]

    In der folgenden Tabelle sind die Eigenschaften des Befehls invoke-AppWrappingTool aufgeführt:

Eigenschaft Information
-InputPath<Zeichenfolge> Pfad der Android-Quell-App (.apk).
-OutputPath<Zeichenfolge> Pfad zur Android-Ausgabe-App. Wenn dies derselbe Verzeichnispfad wie InputPath ist, schlägt das Verpacken fehl.
<CommonParameters> (Optional) Der Befehl unterstützt gängige PowerShell-Parameter wie ausführlich und debug.

  • Eine Liste der allgemeinen Parameter finden Sie im Microsoft Script Center.

  • Geben Sie den folgenden Befehl ein, um detaillierte Verwendungsinformationen für das Tool anzuzeigen:

    Help Invoke-AppWrappingTool

Beispiel:

Importieren Sie das PowerShell-Modul.

Import-Module "C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool\IntuneAppWrappingTool.psm1"

Führen Sie die App Wrapping Tool in der nativen App HelloWorld.apk aus.

invoke-AppWrappingTool -InputPath .\app\HelloWorld.apk -OutputPath .\app_wrapped\HelloWorld_wrapped.apk -Verbose

Die umschlossene App und eine Protokolldatei werden generiert und in dem von Ihnen angegebenen Ausgabepfad gespeichert.

Wiederverwenden von Signaturzertifikaten und Umschließen von Apps

Android erfordert, dass alle Apps mit einem gültigen Zertifikat signiert sein müssen, um auf Android-Geräten installiert werden zu können.

Umschlossene Apps können nach dem Umschließen mit Ihren vorhandenen Signaturtools signiert werden (alle Signaturinformationen in der App vor dem Umbruch werden verworfen). Wenn möglich, sollten die Signaturinformationen, die bereits während des Buildprozesses verwendet wurden, beim Umbruch verwendet werden. In bestimmten Organisationen erfordert dies möglicherweise die Zusammenarbeit mit dem Besitzer der Keystore-Informationen (d. h. dem App-Buildteam).

Wenn das vorherige Signaturzertifikat nicht verwendet werden kann oder die App noch nicht bereitgestellt wurde, können Sie ein neues Signaturzertifikat erstellen, indem Sie den Anweisungen im Android-Entwicklerhandbuch folgen.

Wenn die App zuvor mit einem anderen Signaturzertifikat bereitgestellt wurde, kann sie nach dem Upgrade nicht in Intune hochgeladen werden. App-Upgradeszenarien werden unterbrochen, wenn Ihre App mit einem anderen Zertifikat signiert ist als das, mit dem die App erstellt wurde. Daher sollten alle neuen Signaturzertifikate für App-Upgrades beibehalten werden.

Sicherheitsaspekte beim Ausführen des App Wrapping Tool

So verhindern Sie potenzielle Spoofing, die Offenlegung von Informationen und Angriffe auf Rechteerweiterungen:

  • Stellen Sie sicher, dass sich die LOB-Eingabeanwendung (Input Line-of-Business) und die Ausgabeanwendung auf demselben Windows-Computer befinden, auf dem das App Wrapping Tool ausgeführt wird.

  • Importieren Sie die Ausgabeanwendung in Intune auf demselben Computer, auf dem das Tool ausgeführt wird. Siehe keytool für mehr über das Java-Keytool.

  • Wenn sich die Ausgabeanwendung und das Tool auf einem UNC-Pfad (Universal Naming Convention) befinden und Sie das Tool und die Eingabedateien nicht auf demselben Computer ausführen, richten Sie die Umgebung mit IPsec (Internet Protocol Security) oder SMB (Server Message Block) sicher ein.

  • Stellen Sie sicher, dass die Anwendung aus einer vertrauenswürdigen Quelle stammt.

  • Sichern Sie das Ausgabeverzeichnis mit der umschlossenen App. Erwägen Sie, ein Verzeichnis auf Benutzerebene für die Ausgabe zu verwenden.

Android App Bundle (AAB) in APK konvertieren

Die Intune App Wrapping Tool unterstützt derzeit nur APK-Eingaben. Android-App-Bundles müssen zuerst zur Verwendung mit dem Tool in ein APK konvertiert werden.

Ein Android App Bundle kann mit dem Befehlszeilentool von Google in ein APK konvertiert werden. bundletool Die neueste Version von bundle-tool kann von Googles Bundletool GitHub Repo heruntergeladen werden.

bundletoolkönnen verwendet werden, um mit dem folgenden Befehl ein einzelnes universelles APK für die Verwendung mit dem Intune App Wrapping Tool zu erstellen:

bundletool build-apks --bundle=input.aab --mode=universal --output=input.apks

Die .apks Ausgabedatei ist ein ZIP-Archiv, das eine einzelne universelle APK-Datei enthält. Entpacken Sie das Archiv und verwenden Sie diese APK-Datei als Eingabe für die Intune App Wrapping Tool.

Siehe auch

  • Last updated on