Adición de directivas de configuración de aplicaciones para dispositivos Android Enterprise administrados

Artículo
10/05/2023

Las directivas de configuración de aplicaciones de Microsoft Intune proporcionan la configuración a las aplicaciones de Google Play administradas en dispositivos Android Enterprise administrados. El desarrollador de aplicaciones expone la configuración de la aplicación administrada por Android. Intune usa esta configuración expuesta para permitir que el administrador configure las características de la aplicación. La directiva de configuración de la aplicación se asigna a los grupos de usuarios. La configuración de directiva se usa cuando la aplicación las comprueba, normalmente la primera vez que se ejecuta la aplicación.

No todas las aplicaciones admiten la configuración de la aplicación. Compruebe con el desarrollador de la aplicación si su aplicación admite directivas de configuración de aplicaciones.

Nota:

Intune requiere Android 8.x o una versión posterior para los escenarios de inscripción de dispositivos y la configuración de aplicaciones entregada a través de las directivas de configuración de aplicaciones de los dispositivos administrados. Este requisito no se aplica a dispositivos Android de Microsoft Teams, ya que estos dispositivos seguirán siendo compatibles.

Para las directivas de protección de la aplicación Intune y la configuración de aplicaciones entregadas a través de directivas de configuración de aplicaciones administradas, Intune requiere Android 9.0 o una versión superior.

Aplicaciones de correo electrónico

Android Enterprise tiene varios métodos de inscripción. El tipo de inscripción depende de cómo se configure el correo electrónico en el dispositivo:

En Perfiles de trabajo totalmente administrados, dedicados y corporativos de Android Enterprise, use una directiva de configuración de aplicaciones y los pasos de este artículo. Las directivas de configuración de aplicaciones admiten aplicaciones de correo electrónico de Gmail y Nine Work.
En dispositivos de propiedad personal de Android Enterprise con un perfil de trabajo, cree un perfil de configuración de dispositivo de correo electrónico de Android Enterprise. Al crear el perfil, puede configurar los valores de los clientes de correo electrónico que admiten directivas de configuración de aplicaciones. Cuando se usa el diseñador de configuración, Intune incluye opciones de correo electrónico específicas de las aplicaciones Gmail y Nine Work.

Crear una directiva de configuración de aplicaciones

Inicie sesión en el Centro de administración de Microsoft Intune.
Elija las directivas> deconfiguración> de aplicacionesAgregar>dispositivos administrados. Tenga en cuenta que puede elegir entre dispositivos administrados y aplicaciones administradas. Para obtener más información, consulte Aplicaciones que admiten la configuración de aplicaciones.
En la página Aspectos básicos , establezca los detalles siguientes:
- Nombre : nombre del perfil que aparece en el portal.
- Descripción : la descripción del perfil que aparece en el portal.
- Tipo de inscripción de dispositivos: esta configuración se establece en Dispositivos administrados.
Seleccione Android Enterprise como plataforma.
Haga clic en Seleccionar aplicación junto a Aplicación de destino. Se muestra el panel Aplicación asociada .
En el panel Aplicación asociada , elija la aplicación administrada para asociarla a la directiva de configuración y haga clic en Aceptar.
Haga clic en Siguiente para mostrar la página Configuración.
Haga clic en Agregar para mostrar el panel Agregar permisos .
Haga clic en los permisos que desea invalidar. Los permisos concedidos invalidarán la directiva "Permisos de aplicación predeterminados" para las aplicaciones seleccionadas.
Establezca el estado Permiso para cada permiso. Puede elegir entre Preguntar, Conceder automáticamente o Denegar automáticamente.
Si la aplicación administrada admite opciones de configuración, el cuadro desplegable Formato de configuración está visible. Seleccione uno de los métodos siguientes para agregar información de configuración:
- Uso del diseñador de configuración
- Especificar datos JSON
Para obtener más información sobre cómo usar el diseñador de configuración, consulte Uso del diseñador de configuración. Para obtener más información sobre cómo escribir datos XML, consulte Especificar datos JSON.
Si necesita permitir que los usuarios conecten la aplicación de destino en los perfiles profesionales y personales, seleccione Habilitado junto a Aplicaciones conectadas.

Nota:

Esta configuración solo funciona para los dispositivos de perfil de trabajo de propiedad personal y de perfil de trabajo corporativo.

Al cambiar la opción Aplicaciones conectadas a No configurada no se quitará la directiva de configuración del dispositivo. Para quitar la funcionalidad aplicaciones conectadas de un dispositivo, debe anular la asignación de la directiva de configuración relacionada.
Haga clic en Siguiente para mostrar la página Etiquetas de ámbito.
[Opcional] Puede configurar etiquetas de ámbito para la directiva de configuración de la aplicación. Para más información sobre las etiquetas de ámbito, consulte Usar control de acceso basado en roles (RBAC) y etiquetas de ámbito para TI distribuida.
Haga clic en Siguiente para mostrar la página Asignaciones .
En el cuadro desplegable situado junto a Asignar a, seleccione Agregar grupos, Agregar todos los usuarios o Agregar todos los dispositivos para asignar la directiva de configuración de la aplicación. Una vez que haya seleccionado un grupo de asignación, puede seleccionar un filtro para refinar el ámbito de asignación al implementar directivas de configuración de aplicaciones para dispositivos administrados.
Seleccione Todos los usuarios en el cuadro desplegable.
[Opcional] Haga clic en Editar filtro para agregar un filtro y refinar el ámbito de asignación.
Haga clic en Seleccionar grupos para excluir para mostrar el panel relacionado.
Elija los grupos que desea excluir y, a continuación, haga clic en Seleccionar.

Nota:

Al agregar un grupo, si ya se ha incluido algún otro grupo para un tipo de asignación determinado, se preselecciona e inmutable para otros tipos de asignación de inclusión. Por lo tanto, ese grupo que se ha usado no se puede usar como grupo excluido.
Haga clic en Siguiente para mostrar la página Revisar + crear.
Haga clic en Crear para agregar la directiva de configuración de aplicaciones a Intune.

Uso del diseñador de configuración

Puede usar el diseñador de configuración para aplicaciones de Google Play administradas cuando la aplicación está diseñada para admitir la configuración. La configuración se aplica a los dispositivos inscritos en Intune. El diseñador le permite configurar valores de configuración específicos para los valores expuestos por la aplicación.

Seleccione Agregar. Elija la lista de opciones de configuración que desea especificar para la aplicación.

Si usa aplicaciones de correo electrónico de Gmail o Nine Work, la configuración del dispositivo Android Enterprise para configurar el correo electrónico tiene más información sobre esta configuración específica.
Para cada clave y valor de la configuración, establezca:
- Tipo de valor: tipo de datos del valor de configuración. Para los tipos de valor String, opcionalmente puede elegir una variable o un perfil de certificado como tipo de valor.
- Valor de configuración: valor de la configuración. Si selecciona variable o certificado para el tipo de valor, elija entre una lista de variables o perfiles de certificado. Si elige un certificado, el alias de certificado del certificado implementado en el dispositivo se rellena en tiempo de ejecución.

Variables admitidas para los valores de configuración

Puede elegir las siguientes opciones si elige variable como tipo de valor:

Opción	Ejemplo
Microsoft Entra id. de dispositivo	dc0dc142-11d8-4b12-bfea-cae2a8514c82
Account ID	fc0dc142-71d8-4b12-bbea-bae2a8514c81
Identificador de dispositivo de Intune	b9841cd9-9843-405f-be28-b2265c59ef97
Dominio	contoso.com
Correo	john@contoso.com
UPN parcial	John
Id. de usuario	3ec2c00f-b125-4519-acf0-302ac3761822
Nombre de usuario	John Doe
Nombre principal de usuario	john@contoso.com

Permitir solo cuentas de organización configuradas en aplicaciones

Como administrador de Microsoft Intune, puede controlar qué cuentas profesionales o educativas se agregan a las aplicaciones de Microsoft en dispositivos administrados. Puede limitar el acceso solo a las cuentas de usuario de la organización permitidas y bloquear las cuentas personales en los dispositivos inscritos. Para dispositivos Android, use los siguientes pares clave-valor en una directiva de configuración de aplicaciones de dispositivos administrados:

Clave	com.microsoft.intune.mam.AllowedAccountUPNs
Valores	Uno o varios `;` UPN delimitados. Solo se permiten las cuentas de usuario administradas definidas por esta clave. En el caso de los dispositivos inscritos en Intune, el `{{userprincipalname}}` token se puede usar para representar la cuenta de usuario inscrita.

Nota:

Las siguientes aplicaciones procesan la configuración de la aplicación anterior y solo permiten cuentas de organización:

Edge para Android (42.0.4.4048 y versiones posteriores)
Office, Word, Excel, PowerPoint para Android (16.0.9327.1000 y versiones posteriores)
OneDrive para Android (5.28 y versiones posteriores)
OneNote para Android (16.0.13231.20222 o posterior)
Outlook para Android (2.2.222 y versiones posteriores)
Teams para Android (1416/1.0.0.2020073101 y versiones posteriores)

Especificar datos JSON

Algunas opciones de configuración de las aplicaciones (como las aplicaciones con tipos de agrupación) no se pueden configurar con el diseñador de configuración. Use el editor JSON para esos valores. La configuración se proporciona a las aplicaciones automáticamente cuando se instala la aplicación.

En Formato de configuración, seleccione Entrar editor JSON.
En el editor, puede definir valores JSON para los valores de configuración. Puede elegir Descargar plantilla JSON para descargar un archivo de ejemplo que, a continuación, puede configurar.
Elija Aceptar y, a continuación, agregar.

La directiva se crea y se muestra en la lista.

Cuando la aplicación asignada se ejecuta en un dispositivo, se ejecuta con la configuración que configuró en la directiva de configuración de la aplicación.

Habilitación de aplicaciones conectadas

Se aplica a:
Android 11+

Los usuarios de perfil de trabajo de propiedad personal deben tener Portal de empresa versión 5.0.5291.0 o posterior. Los usuarios del perfil de trabajo de propiedad corporativa no necesitan una versión específica de la aplicación Microsoft Intune para obtener soporte técnico.

Puede permitir que los usuarios que usan perfiles de trabajo de propiedad personal y corporativa de Android activen las experiencias de aplicaciones conectadas para las aplicaciones admitidas. Esta configuración de la aplicación permite que las aplicaciones se conecten e integren los datos de la aplicación en las instancias de aplicaciones profesionales y personales.

Para que una aplicación proporcione esta experiencia, la aplicación debe integrarse con el SDK de aplicaciones conectadas de Google, por lo que solo las aplicaciones limitadas la admiten. Puede activar la configuración de aplicaciones conectadas de forma proactiva y, cuando las aplicaciones agreguen compatibilidad, los usuarios podrán habilitar la experiencia de las aplicaciones conectadas.

Al cambiar la opción Aplicaciones conectadas a No configurada no se quitará la directiva de configuración del dispositivo. Para quitar la funcionalidad aplicaciones conectadas de un dispositivo, debe anular la asignación de la directiva de configuración relacionada.

Advertencia

Si habilita la funcionalidad de aplicaciones conectadas para una aplicación, los datos de trabajo de las aplicaciones personales no estarán protegidos por una directiva de protección de aplicaciones.

Además, independientemente de la configuración de las aplicaciones conectadas, es posible que algunos OEM conecten automáticamente determinadas aplicaciones o que puedan solicitar la aprobación del usuario para conectar las aplicaciones que no configuró. Un ejemplo de una aplicación en este caso podría ser la aplicación de teclado del OEM.

Los usuarios pueden conectar aplicaciones personales y profesionales de dos maneras después de habilitar la configuración de aplicaciones conectadas:

Una aplicación compatible puede optar por pedir a un usuario que apruebe la conexión entre perfiles.
Los usuarios pueden abrir la aplicación Configuración y ir a la sección Trabajo conectado & aplicaciones personales, donde verán todas las aplicaciones admitidas en la lista.

Importante

Si se asignan varias directivas de configuración de aplicaciones para la misma aplicación que tiene como destino el mismo dispositivo y una directiva establece Aplicaciones conectadas en Enabled mientras que la otra directiva no, la configuración de la aplicación notificará un conflicto y el comportamiento resultante aplicado en el dispositivo será no permitir las aplicaciones conectadas.

Preconfigurar el estado de concesión de permisos para las aplicaciones

También puede preconfigurar los permisos de aplicación para acceder a las características de dispositivos Android. De forma predeterminada, las aplicaciones Android que requieren permisos de dispositivo, como el acceso a la ubicación o a la cámara del dispositivo, solicitan a los usuarios que acepten o denieguen permisos.

Por ejemplo, una aplicación usa el micrófono del dispositivo. Se pide al usuario que conceda permiso a la aplicación para usar el micrófono.

En el centro de administración de Microsoft Intune, seleccione Directivas> deconfiguración> de aplicacionesAgregar>dispositivos administrados.
Agregue las propiedades siguientes:
- Nombre: escriba un nombre descriptivo para la directiva. Asígnele un nombre a las directivas para que pueda identificarlas de manera sencilla más adelante. Por ejemplo, un buen nombre de directiva es la directiva de aplicación de permisos de solicitud de Android Enterprise para toda la empresa.
- Descripción. Escriba una descripción para el perfil. Esta configuración es opcional pero recomendada.
- Tipo de inscripción de dispositivos: esta configuración se establece en Dispositivos administrados.
- Plataforma: seleccione Android Enterprise.
Seleccione Tipo de perfil:
Seleccione Aplicación de destino. Elija la aplicación a la que desea asociar una directiva de configuración. Seleccione una de las aplicaciones de perfil de trabajo totalmente administradas de Android Enterprise que ha aprobado y sincronizado con Intune.
Seleccione Permisos>Agregar. En la lista, seleccione los permisos > de aplicación disponibles Aceptar.
Seleccione una opción para cada permiso que se conceda con esta directiva:
- Símbolo del sistema. Pida al usuario que acepte o deniegue.
- Concesión automática. Aprobar automáticamente sin notificar al usuario.
- Denegación automática. Denegar automáticamente sin notificar al usuario.
Para asignar la directiva de configuración de la aplicación, seleccione la directiva deconfiguración > de la aplicación Asignación >Seleccionar grupos. Elija los grupos de usuarios para asignar Seleccionar>.
Elija Guardar para asignar la directiva.

Información adicional

Pasos siguientes

Siga asignando y supervisando la aplicación.