Partager via


Infrastructure de protection des données utilisant des stratégies de protection des applications

À mesure que de plus en plus d’organisations implémentent des stratégies d’appareils mobiles pour accéder aux données professionnelles ou scolaires, la protection contre les fuites de données devient primordiale. La solution de gestion des applications mobiles de Intune pour la protection contre les fuites de données est app Protection Policies (APP). LES APPLICATIONS sont des règles qui garantissent que les données d’un organization restent sécurisées ou contenues dans une application managée, que l’appareil soit inscrit ou non. Pour plus d’informations, consultez Protection d'applications vue d’ensemble des stratégies.

Lors de la configuration des stratégies de protection des applications, le nombre de paramètres et d’options différents permet aux organisations d’adapter la protection à leurs besoins spécifiques. En raison de cette flexibilité, il n’est peut-être pas évident de déterminer quelle permutation des paramètres de stratégie est nécessaire pour implémenter un scénario complet. Pour aider les organisations à hiérarchiser les efforts de renforcement des points de terminaison client, Microsoft a introduit une nouvelle taxonomie pour les configurations de sécurité dans Windows 10, et Intune tire parti d’une taxonomie similaire pour son infrastructure de protection des données d’application pour la gestion des applications mobiles.

L’infrastructure de configuration de protection des données des applications est organisée en trois scénarios de configuration distincts :

  • Protection de base des données d’entreprise de niveau 1 : Microsoft recommande cette configuration comme configuration minimale de protection des données pour un appareil d’entreprise.

  • Protection améliorée des données d’entreprise de niveau 2 : Microsoft recommande cette configuration pour les appareils où les utilisateurs accèdent à des informations sensibles ou confidentielles. Cette configuration s’applique à la plupart des utilisateurs mobiles qui accèdent à des données professionnelles ou scolaires. Certains des contrôles peuvent avoir un impact sur l’expérience utilisateur.

  • Protection élevée des données d’entreprise de niveau 3 : Microsoft recommande cette configuration pour les appareils exécutés par un organization avec une équipe de sécurité plus importante ou plus sophistiquée, ou pour des utilisateurs ou des groupes spécifiques qui présentent un risque particulièrement élevé (les utilisateurs qui gèrent des données hautement sensibles lorsque la divulgation non autorisée entraîne une perte matérielle considérable pour le organization). Un organization susceptible d’être ciblé par des adversaires bien financés et sophistiqués devrait aspirer à cette configuration.

Méthodologie de déploiement d’APP Data Protection Framework

Comme pour tout déploiement de nouveaux logiciels, fonctionnalités ou paramètres, Microsoft recommande d’investir dans une méthodologie en anneau pour tester la validation avant de déployer l’infrastructure de protection des données DES APPLICATIONS. La définition d’anneaux de déploiement est généralement un événement unique (ou du moins peu fréquent), mais le service informatique doit revoir ces groupes pour s’assurer que le séquencement est toujours correct.

Microsoft recommande l’approche en anneau de déploiement suivante pour l’infrastructure de protection des données des applications :

Anneau de déploiement Tenant Équipes d’évaluation Sortie Chronologie
Assurance qualité Locataire de préproduction Propriétaires de fonctionnalités mobiles, sécurité, évaluation des risques, confidentialité, expérience utilisateur Validation de scénario fonctionnel, documentation préliminaire 0-30 jours
Aperçu Locataire de production Propriétaires de fonctionnalités mobiles, expérience utilisateur Validation de scénario de l’utilisateur final, documentation utilisateur 7-14 jours après la phase Assurance qualité
Production Locataire de production Propriétaires de fonctionnalités mobiles, support technique informatique S/O De 7 jours à plusieurs semaines après la phase Preview

Comme l’indique le tableau ci-dessus, toutes les modifications apportées aux stratégies de protection des applications doivent d’abord être effectuées dans un environnement de préproduction pour comprendre les implications des paramètres de stratégie. Une fois les tests terminés, les modifications peuvent être déplacées en production et appliquées à un sous-ensemble d’utilisateurs de production, généralement le service informatique et d’autres groupes applicables. Enfin, le déploiement peut être effectué dans le reste de la communauté des utilisateurs mobiles. Le déploiement en production peut prendre plus de temps en fonction de l’ampleur de l’impact concernant la modification. S’il n’y a pas d’impact sur l’utilisateur, la modification doit être déployée rapidement, tandis que, si la modification entraîne un impact sur l’utilisateur, le déploiement peut être plus lent en raison de la nécessité de communiquer les modifications à la population d’utilisateurs.

Lorsque vous testez les modifications apportées à une APPLICATION, tenez compte du délai de remise. La status de remise d’application pour un utilisateur donné peut être surveillée. Pour plus d’informations, consultez Guide pratique pour surveiller les stratégies de protection des applications.

Les paramètres d’application individuels pour chaque application peuvent être validés sur les appareils à l’aide de Microsoft Edge et de l’URL about :Intunehelp. Pour plus d’informations, consultez Passer en revue les journaux de protection des applications clientes et Utiliser Microsoft Edge pour iOS et Android pour accéder aux journaux des applications gérées.

Paramètres de l’infrastructure de protection des données des applications

Les paramètres de stratégie de protection des applications suivants doivent être activés pour les applications applicables et attribués à tous les utilisateurs mobiles. Pour plus d’informations sur chaque paramètre de stratégie, consultez Paramètres de stratégie de protection des applications iOS et Paramètres de stratégie de protection des applications Android.

Microsoft recommande d’examiner et de catégoriser les scénarios d’utilisation, puis de configurer les utilisateurs à l’aide des instructions normatives pour ce niveau. Comme pour n’importe quel framework, les paramètres d’un niveau correspondant peuvent devoir être ajustés en fonction des besoins de l’organization, car la protection des données doit évaluer l’environnement des menaces, l’appétit au risque et l’impact sur la facilité d’utilisation.

Les administrateurs peuvent incorporer les niveaux de configuration ci-dessous dans leur méthodologie de déploiement en anneau à des fins de test et de production en important l’exemple Intune modèles JSON App Protection Policy Configuration Framework avec les scripts PowerShell de Intune.

Remarque

Lorsque vous utilisez GAM pour Windows, consultez Protection d'applications paramètres de stratégie pour Windows.

Stratégies d’accès conditionnel

Pour vous assurer que seules les applications prenant en charge app Protection Poliies accèdent aux données de compte professionnel ou scolaire, Microsoft Entra stratégies d’accès conditionnel sont requises. Ces stratégies sont décrites dans Accès conditionnel : exiger des applications clientes approuvées ou une stratégie de protection des applications.

Consultez Exiger des applications clientes approuvées ou une stratégie de protection des applications avec des appareils mobiles dans Accès conditionnel : Exiger des applications clientes approuvées ou une stratégie de protection des applications pour connaître les étapes d’implémentation des stratégies spécifiques. Enfin, implémentez les étapes décrites dans Bloquer l’authentification héritée pour bloquer les applications iOS et Android compatibles avec l’authentification héritée.

Remarque

Ces stratégies tirent parti des contrôles d’octroi Exiger une application cliente approuvée et Exiger la stratégie de protection des applications.

Applications à inclure dans les stratégies de protection des applications

Pour chaque stratégie de protection des applications, le groupe Core Microsoft Apps est ciblé, qui inclut les applications suivantes :

  • Microsoft Edge
  • Excel
  • Office
  • OneDrive
  • OneNote
  • Outlook
  • PowerPoint
  • SharePoint
  • Teams
  • To Do
  • Word

Les stratégies doivent inclure d’autres applications Microsoft basées sur les besoins de l’entreprise, des applications publiques tierces supplémentaires qui ont intégré le KIT de développement logiciel (SDK) Intune utilisé dans le organization, ainsi que des applications métier qui ont intégré le SDK Intune (ou qui ont été encapsulées).

Protection de base des données d’entreprise de niveau 1

Le niveau 1 est la configuration minimale de protection des données pour un appareil mobile d’entreprise. Cette configuration remplace la nécessité de stratégies d’accès aux appareils Exchange Online de base en exigeant un code confidentiel pour accéder aux données professionnelles ou scolaires, en chiffrant les données de compte professionnel ou scolaire et en fournissant la possibilité de réinitialiser de manière sélective les données scolaires ou professionnelles. Toutefois, contrairement aux stratégies d’accès aux appareils Exchange Online, les paramètres de stratégie de protection des applications ci-dessous s’appliquent à toutes les applications sélectionnées dans la stratégie, garantissant ainsi que l’accès aux données est protégé au-delà des scénarios de messagerie mobile.

Les stratégies du niveau 1 appliquent un niveau d’accès aux données raisonnable tout en réduisant l’impact sur les utilisateurs et miroir les paramètres de protection des données et d’accès par défaut lors de la création d’une stratégie de protection des applications dans Microsoft Intune.

Protection des données

Setting Description du paramètre Valeur Plateforme
Transfert de données Sauvegarder les données de l’organisation sur... Autoriser iOS/iPadOS, Android
Transfert de données Envoyer des données d’organisation à d’autres applications Toutes les applications iOS/iPadOS, Android
Transfert de données Envoyer des données d’organisation à Toutes les destinations Windows
Transfert de données Recevoir des données d’autres applications Toutes les applications iOS/iPadOS, Android
Transfert de données Recevoir des données de Toutes les sources Windows
Transfert de données Restreindre les opérations couper, copier et coller entre les applications N’importe quelle application iOS/iPadOS, Android
Transfert de données Autoriser les opérations couper, copier et coller pour N’importe quelle destination et toute source Windows
Transfert de données Claviers tiers Autoriser iOS/iPadOS
Transfert de données Claviers approuvés Non requis Android
Transfert de données Capture d’écran et Assistant Google Autoriser Android
Chiffrement Chiffrer les données d’organisation Require (Rendre obligatoire) iOS/iPadOS, Android
Chiffrement Chiffrer les données d’organisation sur les appareils inscrits Require (Rendre obligatoire) Android
Les fonctionnalités Synchroniser l’application avec l’application de contacts native Autoriser iOS/iPadOS, Android
Les fonctionnalités Impression de données d’organisation Autoriser iOS/iPadOS, Android, Windows
Les fonctionnalités Limiter le transfert de contenu web avec d'autres applications N’importe quelle application iOS/iPadOS, Android
Les fonctionnalités Notifications de données de l’organisation Autoriser iOS/iPadOS, Android

Condition d’accès

Setting Valeur Plateforme Notes
Accès par code PIN Require (Rendre obligatoire) iOS/iPadOS, Android
Type de code confidentiel Numérique iOS/iPadOS, Android
Code confidentiel simple Autoriser iOS/iPadOS, Android
Sélectionnez Longueur minimale du code confidentiel 4 iOS/iPadOS, Android
Touch ID au lieu du code pin pour l’accès (iOS 8+/iPadOS) Autoriser iOS/iPadOS
Remplacer la biométrie par un code confidentiel après expiration Require (Rendre obligatoire) iOS/iPadOS, Android
Délai d’expiration (minutes d’activité) 1440 iOS/iPadOS, Android
Face ID au lieu du code pin pour l’accès (iOS 11+/iPadOS) Autoriser iOS/iPadOS
Biométrie au lieu du code pin pour l’accès Autoriser iOS/iPadOS, Android
Réinitialisation du code PIN au bout d’un nombre de jours Non iOS/iPadOS, Android
Sélectionner le nombre de valeurs de code confidentiel précédentes à conserver 0 Android
PIN de l'application lorsque le PIN de l'appareil est défini Require (Rendre obligatoire) iOS/iPadOS, Android Si l’appareil est inscrit dans Intune, les administrateurs peuvent envisager de définir ce paramètre sur « Non requis » s’ils appliquent un code pin d’appareil fort via une stratégie de conformité de l’appareil.
Informations d’identification du compte professionnel ou scolaire pour l’accès Non requis iOS/iPadOS, Android
Revérifier les exigences d’accès après (minutes d’inactivité) 30 iOS/iPadOS, Android

Lancement conditionnel

Setting Description du paramètre Valeur /Action Plateforme Notes
Conditions de l’application Tentatives de code PIN maximum 5 / Réinitialiser le code confidentiel iOS/iPadOS, Android
Conditions de l’application Période de grâce hors connexion 10080 / Bloquer l’accès (minutes) iOS/iPadOS, Android, Windows
Conditions de l’application Période de grâce hors connexion 90 / Réinitialiser les données (jours) iOS/iPadOS, Android, Windows
Conditions de l’appareil Appareils jailbreakés/rootés N/A / Bloquer l’accès iOS/iPadOS, Android
Conditions de l’appareil Attestation d’appareil SafetyNet Intégrité de base et appareils certifiés / Bloquer l’accès Android

Ce paramètre configure l’intégrité des appareils google play case activée sur les appareils des utilisateurs finaux. L’intégrité de base valide l’intégrité de l’appareil. Les appareils rootés, les émulateurs, les appareils virtuels et les appareils présentant des signes d’altération échouent aux tests d’intégrité de base.

L’intégrité de base et les appareils certifiés valident la compatibilité de l’appareil avec les services de Google. Seuls les appareils non modifiés qui ont été certifiés par Google peuvent satisfaire à ce contrôle.

Conditions de l’appareil Exiger l’analyse des menaces sur les applications N/A / Bloquer l’accès Android Ce paramètre garantit que l’analyse Vérifier les applications de Google est activée pour les appareils des utilisateurs finaux. Si cette option est configurée, l’accès de l’utilisateur final est bloqué jusqu’à ce qu’il active l’analyse de l’application google sur son appareil Android.
Conditions de l’appareil Niveau de menace maximal autorisé pour l’appareil Accès faible/bloquer Windows
Conditions de l’appareil Exiger le verrouillage de l’appareil Faible/Avertissement Android Ce paramètre garantit que les appareils Android disposent d’un mot de passe d’appareil qui répond aux exigences de mot de passe minimales.

Remarque

Les paramètres de lancement conditionnel Windows sont étiquetés contrôle d’intégrité.

Protection améliorée des données d’entreprise de niveau 2

Le niveau 2 est la configuration de protection des données recommandée en tant que norme pour les appareils où les utilisateurs accèdent à des informations plus sensibles. Ces appareils sont aujourd’hui une cible naturelle au sein des entreprises. Ces recommandations ne supposent pas un grand nombre de professionnels de la sécurité hautement qualifiés et doivent donc être accessibles à la plupart des organisations d’entreprise. Cette configuration s’étend sur la configuration au niveau 1 en limitant les scénarios de transfert de données et en exigeant une version minimale du système d’exploitation.

Importante

Les paramètres de stratégie appliqués au niveau 2 incluent tous les paramètres de stratégie recommandés pour le niveau 1. Toutefois, le niveau 2 répertorie uniquement les paramètres qui ont été ajoutés ou modifiés pour implémenter davantage de contrôles et une configuration plus sophistiquée que le niveau 1. Bien que ces paramètres puissent avoir un impact légèrement plus élevé sur les utilisateurs ou les applications, ils appliquent un niveau de protection des données plus proportionnel aux risques auxquels sont confrontés les utilisateurs ayant accès aux informations sensibles sur les appareils mobiles.

Protection des données

Setting Description du paramètre Valeur Plateforme Notes
Transfert de données Sauvegarder les données de l’organisation sur... Bloquer iOS/iPadOS, Android
Transfert de données Envoyer des données d’organisation à d’autres applications Applications gérées par la stratégie iOS/iPadOS, Android

Avec iOS/iPadOS, les administrateurs peuvent configurer cette valeur pour qu’elle soit « Applications gérées par une stratégie », « Applications gérées par une stratégie avec partage de système d’exploitation » ou « Applications gérées par une stratégie avec filtrage Open-In/Share ».

Les applications gérées par une stratégie avec partage de système d’exploitation sont disponibles lorsque l’appareil est également inscrit avec Intune. Ce paramètre permet le transfert de données vers d’autres applications gérées par une stratégie et les transferts de fichiers vers d’autres applications gérées par Intune.

Les applications gérées par une stratégie avec le filtrage Open-In/Share filtrent les boîtes de dialogue Ouvrir/Partager du système d’exploitation pour afficher uniquement les applications gérées par la stratégie.

Pour plus d’informations, consultez Paramètres de stratégie de protection des applications iOS.

Transfert de données Envoyer des données ou à Aucune destination Windows
Transfert de données Recevoir des données de Aucune source Windows
Transfert de données Sélectionner les applications à exclure Par défaut / skype ; app-settings ; calshow ; itms ; itmss ; itms-apps ; itms-appss ; itms-services ; iOS/iPadOS
Transfert de données Enregistrer des copies des données d’organisation Bloquer iOS/iPadOS, Android
Transfert de données Autoriser les utilisateurs à enregistrer des copies dans les services sélectionnés OneDrive Entreprise, SharePoint Online, Photothèque iOS/iPadOS, Android
Transfert de données Transférer les données de télécommunications vers Toute application de numérotation iOS/iPadOS, Android
Transfert de données Restreindre les opérations couper, copier et coller entre les applications Applications gérées par une stratégie avec collage iOS/iPadOS, Android
Transfert de données Autoriser les opérations couper, copier et coller pour Aucune destination ou source Windows
Transfert de données Capture d’écran et Assistant Google Bloquer Android
Les fonctionnalités Limiter le transfert de contenu web avec d'autres applications Microsoft Edge iOS/iPadOS, Android
Les fonctionnalités Notifications de données de l’organisation Bloquer les données d’organisation iOS/iPadOS, Android Pour obtenir la liste des applications qui prennent en charge ce paramètre, consultez Paramètres de stratégie de protection des applications iOS et Paramètres de stratégie de protection des applications Android.

Lancement conditionnel

Setting Description du paramètre Valeur /Action Plateforme Notes
Conditions de l’application Compte désactivé N/A / Bloquer l’accès iOS/iPadOS, Android, Windows
Conditions de l’appareil Version min. de l’OS Format : Major.Minor.Build
Exemple : 14.8
/ Bloquer l’accès
iOS/iPadOS Microsoft recommande de configurer la version principale iOS minimale pour qu’elle corresponde aux versions iOS prises en charge pour les applications Microsoft. Les applications Microsoft prennent en charge une approche N-1 où N est la version actuelle de la version principale d’iOS. Pour les valeurs de version mineure et de build, Microsoft recommande de s’assurer que les appareils sont à jour avec les mises à jour de sécurité respectives. Consultez les mises à jour de sécurité Apple pour connaître les dernières recommandations d’Apple
Conditions de l’appareil Version min. de l’OS Format : Major.Minor
Exemple : 9.0
/ Bloquer l’accès
Android Microsoft recommande de configurer la version principale Android minimale pour qu’elle corresponde aux versions Android prises en charge pour les applications Microsoft. Les OEM et les appareils qui adhèrent aux spécifications recommandées pour Android Enterprise doivent prendre en charge la version d’expédition actuelle + mise à niveau d’une lettre. Android recommande actuellement Android 9.0 et versions ultérieures pour les travailleurs du savoir. Consultez Les exigences recommandées pour Android Enterprise pour connaître les dernières recommandations d’Android
Conditions de l’appareil Version min. de l’OS Format : Build
Exemple : 10.0.22621.2506
/ Bloquer l’accès
Windows Microsoft recommande de configurer la build Windows minimale pour qu’elle corresponde aux versions de Windows prises en charge pour les applications Microsoft. Actuellement, Microsoft recommande ce qui suit :
Conditions de l’appareil Version minimale du correctif Format : AAAA-MM-JJ
Exemple : 2020-01-01
/ Bloquer l’accès
Android Les appareils Android peuvent recevoir des correctifs de sécurité mensuels, mais la version dépend des OEM et/ou des opérateurs. Les organisations doivent s’assurer que les appareils Android déployés reçoivent des mises à jour de sécurité avant d’implémenter ce paramètre. Consultez les bulletins de sécurité Android pour connaître les dernières versions des correctifs.
Conditions de l’appareil Type d’évaluation SafetyNet requis Clé sauvegardée sur matériel Android L’attestation basée sur le matériel améliore la case activée du service d’intégrité play de Google existant en appliquant un nouveau type d’évaluation appelé Hardware Backed, fournissant une détection racine plus robuste en réponse à des types plus récents d’outils et de méthodes de rootage qui ne peuvent pas toujours être détectés de manière fiable par une solution logicielle uniquement.

Comme son nom l’indique, l’attestation basée sur le matériel utilise un composant matériel, fourni avec les appareils installés avec Android 8.1 et versions ultérieures. Les appareils qui ont été mis à niveau à partir d’une version antérieure d’Android vers Android 8.1 ont peu de chances de disposer des composants basés sur le matériel nécessaires à l’attestation basée sur le matériel. Bien que ce paramètre soit largement pris en charge à partir des appareils livrés avec Android 8.1, Microsoft recommande vivement de tester les appareils individuellement avant d’activer largement ce paramètre de stratégie.

Conditions de l’appareil Exiger le verrouillage de l’appareil Accès intermédiaire/bloqué Android Ce paramètre garantit que les appareils Android disposent d’un mot de passe d’appareil qui répond aux exigences de mot de passe minimales.
Conditions de l’appareil Attestation d’appareil Samsung Knox Bloquer l’accès Android Microsoft recommande de configurer le paramètre d’attestation d’appareil Samsung Knox sur Bloquer l’accès pour garantir que l’accès au compte d’utilisateur est bloqué si l’appareil ne répond pas à la vérification de l’intégrité de l’appareil basée sur le matériel Knox de Samsung. Ce paramètre vérifie que toutes les Intune réponses du client GAM au service Intune ont été envoyées à partir d’un appareil sain.

Ce paramètre s’applique à tous les appareils ciblés. Pour appliquer ce paramètre uniquement aux appareils Samsung, vous pouvez utiliser des filtres d’affectation « Applications gérées ». Pour plus d’informations sur les filtres d’affectation, consultez Utiliser des filtres lors de l’attribution de vos applications, stratégies et profils dans Microsoft Intune.

Conditions de l’application Période de grâce hors connexion 30 / Réinitialiser les données (jours) iOS/iPadOS, Android, Windows

Remarque

Les paramètres de lancement conditionnel Windows sont étiquetés contrôle d’intégrité.

Protection élevée des données d’entreprise de niveau 3

Le niveau 3 est la configuration de protection des données recommandée en tant que norme pour les organisations disposant d’organisations de sécurité de grande taille et sophistiquées, ou pour des utilisateurs et des groupes spécifiques qui seront ciblés de manière unique par des adversaires. Ces organisations sont généralement ciblées par des adversaires bien financés et sophistiqués, et à ce titre méritent les contraintes et les contrôles supplémentaires décrits. Cette configuration s’étend sur la configuration au niveau 2 en limitant les scénarios de transfert de données supplémentaires, en augmentant la complexité de la configuration du code confidentiel et en ajoutant la détection des menaces mobiles.

Importante

Les paramètres de stratégie appliqués au niveau 3 incluent tous les paramètres de stratégie recommandés pour le niveau 2, mais ne répertorient que les paramètres ci-dessous qui ont été ajoutés ou modifiés pour implémenter davantage de contrôles et une configuration plus sophistiquée que le niveau 2. Ces paramètres de stratégie peuvent avoir un impact potentiellement significatif sur les utilisateurs ou les applications, en appliquant un niveau de sécurité proportionnel aux risques auxquels sont confrontées les organisations ciblées.

Protection des données

Setting Description du paramètre Valeur Plateforme Notes
Transfert de données Transférer les données de télécommunications vers N’importe quelle application de numérotation gérée par une stratégie Android Les administrateurs peuvent également configurer ce paramètre pour utiliser une application de numéroteur qui ne prend pas en charge les stratégies de protection des applications en sélectionnant Une application de numéroteur spécifique et en fournissant les valeurs ID du package d’application du numéroteur et Nom de l’application du numéroteur .
Transfert de données Transférer les données de télécommunications vers Une application de numéroteur spécifique iOS/iPadOS
Transfert de données Schéma d’URL de l’application de numéroteur replace_with_dialer_app_url_scheme iOS/iPadOS Sur iOS/iPadOS, cette valeur doit être remplacée par le schéma d’URL de l’application de numérotation personnalisée utilisée. Si le schéma d’URL n’est pas connu, contactez le développeur de l’application pour plus d’informations. Pour plus d’informations sur les schémas d’URL, consultez Définition d’un schéma d’URL personnalisé pour votre application.
Transfert de données Recevoir des données d’autres applications Applications gérées par la stratégie iOS/iPadOS, Android
Transfert de données Ouvrir les données dans les documents d’organisation Bloquer iOS/iPadOS, Android
Transfert de données Permettre aux utilisateurs d'ouvrir les données des services sélectionnés OneDrive Entreprise, SharePoint, Appareil photo, photothèque iOS/iPadOS, Android Pour plus d’informations, consultez Paramètres de stratégie de protection des applications Android et Paramètres de stratégie de protection des applications iOS.
Transfert de données Claviers tiers Bloquer iOS/iPadOS Sur iOS/iPadOS, cela empêche tous les claviers tiers de fonctionner dans l’application.
Transfert de données Claviers approuvés Require (Rendre obligatoire) Android
Transfert de données Sélectionner les claviers à approuver ajouter/supprimer des claviers Android Avec Android, les claviers doivent être sélectionnés pour être utilisés en fonction de vos appareils Android déployés.
Les fonctionnalités Imprimer des données d’organisation Bloquer iOS/iPadOS, Android, Windows

Condition d’accès

Setting Valeur Plateforme
Code confidentiel simple Bloquer iOS/iPadOS, Android
Sélectionnez Longueur minimale du code confidentiel 6 iOS/iPadOS, Android
Réinitialisation du code PIN au bout d’un nombre de jours Oui iOS/iPadOS, Android
Nombre de jours 365 iOS/iPadOS, Android
Biométrie de classe 3 (Android 9.0+) Require (Rendre obligatoire) Android
Remplacer la biométrie par un code confidentiel après les mises à jour biométriques Require (Rendre obligatoire) Android

Lancement conditionnel

Setting Description du paramètre Valeur /Action Plateforme Notes
Conditions de l’appareil Exiger le verrouillage de l’appareil Accès élevé/bloqué Android Ce paramètre garantit que les appareils Android disposent d’un mot de passe d’appareil qui répond aux exigences de mot de passe minimales.
Conditions de l’appareil Niveau de menace maximal autorisé pour l’appareil Accès sécurisé/bloquer Windows
Conditions de l’appareil Appareils jailbreakés/rootés N/A / Réinitialiser les données iOS/iPadOS, Android
Conditions de l’appareil Niveau de menace maximal autorisé Accès sécurisé/bloquer iOS/iPadOS, Android

Les appareils non inscrits peuvent être inspectés pour détecter les menaces à l’aide de Mobile Threat Defense. Pour plus d’informations, consultez Mobile Threat Defense pour les appareils non inscrits.

Si l’appareil est inscrit, ce paramètre peut être ignoré au profit du déploiement de Mobile Threat Defense pour les appareils inscrits. Pour plus d’informations, consultez Protection contre les menaces mobiles pour les appareils inscrits.

Conditions de l’appareil Version maximale du système d'exploitation Format : Major.Minor
Exemple : 11.0
/ Bloquer l’accès
Android Microsoft recommande de configurer la version principale maximale d’Android pour garantir que les versions bêta ou non prises en charge du système d’exploitation ne sont pas utilisées. Consultez Les exigences recommandées pour Android Enterprise pour connaître les dernières recommandations d’Android
Conditions de l’appareil Version maximale du système d'exploitation Format : Major.Minor.Build
Exemple : 15.0
/ Bloquer l’accès
iOS/iPadOS Microsoft recommande de configurer la version principale maximale d’iOS/iPadOS pour garantir que les versions bêta ou non prises en charge du système d’exploitation ne sont pas utilisées. Consultez les mises à jour de sécurité Apple pour connaître les dernières recommandations d’Apple
Conditions de l’appareil Version maximale du système d'exploitation Format : Major.Minor
Exemple : 22631.
/ Bloquer l’accès
Windows Microsoft recommande de configurer la version principale maximale de Windows pour garantir que les versions bêta ou non prises en charge du système d’exploitation ne sont pas utilisées.
Conditions de l’appareil Attestation d’appareil Samsung Knox Réinitialiser les données Android Microsoft recommande de configurer le paramètre d’attestation d’appareil Samsung Knox sur Réinitialiser les données pour s’assurer que les données de l’organisation sont supprimées si l’appareil ne répond pas à la vérification de l’intégrité de l’appareil basée sur le matériel Knox de Samsung. Ce paramètre vérifie que toutes les Intune réponses du client GAM au service Intune ont été envoyées à partir d’un appareil sain.

Ce paramètre s’applique à tous les appareils ciblés. Pour appliquer ce paramètre uniquement aux appareils Samsung, vous pouvez utiliser des filtres d’affectation « Applications gérées ». Pour plus d’informations sur les filtres d’affectation, consultez Utiliser des filtres lors de l’attribution de vos applications, stratégies et profils dans Microsoft Intune.

Conditions de l’application Période de grâce hors connexion 30 / Bloquer l’accès (jours) iOS/iPadOS, Android, Windows

Étapes suivantes

Les administrateurs peuvent incorporer les niveaux de configuration ci-dessus dans leur méthodologie de déploiement en anneau à des fins de test et de production en important l’exemple Intune modèles JSON App Protection Policy Configuration Framework avec les scripts PowerShell de Intune.

Voir aussi