Préparer les applications Android aux stratégies de protection des applications avec le Intune App Wrapping Tool

Utilisez le Microsoft Intune App Wrapping Tool pour Android pour modifier le comportement de vos applications Android internes en restreignant les fonctionnalités de l’application sans modifier le code de l’application elle-même.

L’outil est une application en ligne de commande Windows qui s’exécute dans PowerShell et crée une enveloppe autour de votre application Android. Une fois l’application encapsulée, vous pouvez modifier les fonctionnalités de l’application en configurant des stratégies de gestion des applications mobiles dans Intune.

Avant d’exécuter l’outil, consultez les considérations de sécurité relatives à l’exécution de l’App Wrapping Tool. Pour télécharger l’outil, accédez au Microsoft Intune App Wrapping Tool pour Android sur GitHub.

Remarque

Si vous rencontrez des problèmes liés à l’utilisation du Intune App Wrapping Tool avec vos applications, envoyez une demande d’assistance sur GitHub.

Remplir les conditions préalables à l’utilisation de l’App Wrapping Tool

  • Votre application doit utiliser des bibliothèques à jour

  • Votre application doit être compatible avec les exigences de Google Play

  • Si votre application est complexe, elle doit être intégrée au SDK d’application Intune pour Android

  • Vous devez exécuter l’App Wrapping Tool sur un ordinateur Windows exécutant Windows 10 ou une version ultérieure.

  • Votre application d’entrée doit être un package d’application Android valide avec l’extension de fichier .apk et :

    • Il ne peut pas être chiffré.
    • Il ne doit pas avoir été préalablement enveloppé par le Intune App Wrapping Tool.
    • Il doit être écrit pour Android 9.0 ou version ultérieure.

    Remarque

    Si votre application d’entrée est une offre groupée d’applications Android (.aab), vous devez la convertir en fichier APK avant d’utiliser le Intune App Wrapping Tool. Pour plus d’informations, consultez Convertir une offre groupée d’applications Android (AAB) en APK. Depuis août 2021, les nouvelles applications privées peuvent toujours être publiées sur le Google Play Store en tant qu’APK.

  • L’application doit être développée par ou pour votre entreprise. Vous ne pouvez pas utiliser cet outil sur les applications disponibles dans le Google Play Store. Cela inclut le téléchargement ou l’obtention de l’application à partir du Google Play Store.

  • Pour exécuter l’App Wrapping Tool, vous devez installer la dernière version de l’environnement d’exécution Java, puis vous assurer que la variable de chemin d’accès Java a été définie sur C :\ProgramData\Oracle\Java\javapath dans vos variables d’environnement Windows. Pour plus d’aide, voir la documentation Java.

    Remarque

    Dans certains cas, la version 32 bits de Java peut entraîner des problèmes de mémoire. Il est conseillé d’installer la version 64 bits.

  • Android nécessite la signature de tous les packages d’application (.apk). Pour obtenir des conseils généraux sur la réutilisation des certificats existants et des certificats de signature généraux, consultez Réutilisation des certificats de signature et de l’enveloppement des applications. Une fois que vous avez encapsulé le fichier .apk à l’aide du Intune App Wrapping Tool, il est recommandé d’utiliser l’outil Apksigner fourni par Google. Cela garantit qu’une fois que votre application atteint les appareils des utilisateurs finaux, elle peut être lancée correctement par les normes Android.

  • (Facultatif) Parfois, une application peut atteindre la limite de taille de l’exécutable Dalvik (DEX) en raison des classes du SDK MAM Intune ajoutées lors de l’encapsulation. Les fichiers DEX font partie de la compilation d’une application Android. Le Intune App Wrapping Tool gère automatiquement le dépassement de capacité des fichiers DEX lors de l’encapsulation pour les applications dont le niveau d’API minimal est de 21 ou plus (à partir de la version 1.0.2501.1). Pour les applications dont le niveau d’API minimum est de < 21, la meilleure pratique consiste à augmenter le niveau d’API min à l’aide de l’indicateur du -UseMinAPILevelForNativeMultiDex wrapper. Pour les clients qui ne sont pas en mesure d’augmenter le niveau d’API minimum de l’application, les solutions de contournement DEX suivantes sont disponibles. Dans certaines organisations, cela peut nécessiter de collaborer avec la personne qui compile l’application (c’est-à-dire l’équipe de création de l’application) :

    • Utilisez ProGuard pour éliminer les références de classe inutilisées du fichier DEX principal de l’application.
    • Pour les clients utilisant la version 3.1.0 ou supérieure du plug-in Android Gradle, désactivez le D8 dexer.

À quelle fréquence dois-je réencapsuler mon application Android avec le Intune App Wrapping Tool ?

Les principaux scénarios dans lesquels vous auriez besoin de réencapsuler vos applications sont les suivants :

  • L’application elle-même a publié une nouvelle version. La version précédente de l’application a été encapsulée et téléchargée dans le Centre d’administration Microsoft Intune.

  • Le Intune App Wrapping Tool pour Android a publié une nouvelle version qui active des correctifs de bogues clés ou de nouvelles fonctionnalités spécifiques Intune la stratégie de protection des applications. Cela se produit toutes les 6 à 8 semaines via le référentiel GitHub pour le Microsoft Intune App Wrapping Tool pour Android.

Voici quelques bonnes pratiques pour le réencapsulage :

Installer l’App Wrapping Tool

  1. À partir du référentiel GitHub, téléchargez le fichier d’installation InstallAWT.exe de la Intune App Wrapping Tool pour Android sur un ordinateur Windows. Ouvrez le fichier d’installation.

  2. Acceptez le contrat de licence, puis terminez l’installation.

Notez le dossier dans lequel vous avez installé l’outil. L’emplacement par défaut est le suivant : C :\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool.

Exécuter l’App Wrapping Tool

Importante

Intune publie régulièrement des mises à jour du Intune App Wrapping Tool. Consultez régulièrement le Intune App Wrapping Tool pour Android pour obtenir des mises à jour et intégrez-case activée les à votre cycle de publication de développement logiciel pour vous assurer que vos applications prennent en charge les derniers paramètres de stratégie de protection des applications.

  1. Ouvrez une fenêtre PowerShell sur l’ordinateur Windows sur lequel vous avez installé l’App Wrapping Tool.

  2. À partir du dossier dans lequel vous avez installé l’outil, importez le module PowerShell de l’App Wrapping Tool :

    Import-Module .\IntuneAppWrappingTool.psm1

  3. Exécutez l’outil à l’aide de la commande invoke-AppWrappingTool , dont la syntaxe d’utilisation est la suivante :

    Invoke-AppWrappingTool [-InputPath] <String> [-OutputPath] <String> [<CommonParameters>]

    Le tableau suivant détaille les propriétés de la commande invoke-AppWrappingTool :

Propriété Information
-Chemin< d’entréeChaîne> Chemin d’accès de l’application Android source (.apk).
-Chemin< de sortieChaîne> Chemin d’accès à l’application Android de sortie. S’il s’agit du même chemin d’accès au répertoire qu’InputPath, l’empaquetage échoue.
<CommonParameters> (Facultatif) La commande prend en charge les paramètres PowerShell courants tels que détaillé et déboguer.

  • Pour obtenir la liste des paramètres courants, consultez le Centre de scripts Microsoft.

  • Pour afficher des informations détaillées sur l’utilisation de l’outil, entrez la commande suivante :

    Help Invoke-AppWrappingTool

Exemple :

Importez le module PowerShell.

Import-Module "C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool\IntuneAppWrappingTool.psm1"

Exécutez le App Wrapping Tool sur l’application native HelloWorld.apk.

invoke-AppWrappingTool -InputPath .\app\HelloWorld.apk -OutputPath .\app_wrapped\HelloWorld_wrapped.apk -Verbose

L’application encapsulée et un fichier journal sont générés et enregistrés dans le chemin de sortie que vous avez spécifié.

Réutilisation des certificats de signature et de l’enveloppement des applications

Android exige que toutes les applications soient signées par un certificat valide pour pouvoir être installées sur les appareils Android.

Les applications encapsulées peuvent être signées après l’encapsulation à l’aide de vos outils de signature existants (toutes les informations de signature dans l’application avant l’encapsulation sont ignorées). Dans la mesure du possible, les informations de signature déjà utilisées lors du processus de génération doivent être utilisées lors de l’encapsulation. Dans certaines organisations, cela peut nécessiter de collaborer avec le propriétaire des informations du magasin de clés (l’équipe de création de l’application).

Si le certificat de signature précédent ne peut pas être utilisé ou si l’application n’a pas été déployée auparavant, vous pouvez créer un certificat de signature en suivant les instructions du Guide du développeur Android.

Si l’application a été déployée précédemment avec un certificat de signature différent, l’application ne peut pas être téléchargée dans Intune après la mise à niveau. Les scénarios de mise à niveau d’applications ne fonctionnent pas si votre application est signée avec un certificat différent de celui avec lequel l’application est conçue. Par conséquent, tout nouveau certificat de signature doit être conservé pour les mises à niveau des applications.

Considérations de sécurité pour l’exécution de l’App Wrapping Tool

Pour éviter les attaques potentielles d’usurpation d’identité, de divulgation d’informations et d’élévation de privilèges :

  • Assurez-vous que l’application métier d’entrée et l’application de sortie se trouvent sur le même ordinateur Windows sur lequel l’App Wrapping Tool est exécuté.

  • Importez l’application de sortie dans Intune sur la même machine sur laquelle l’outil est en cours d’exécution. Voir keytool pour plus d’informations sur java.

  • Si l’application de sortie et l’outil suivent un chemin UNC (Universal Naming Convention) et que vous n’exécutez pas l’outil et les fichiers d’entrée sur le même ordinateur, configurez l’environnement de manière à ce qu’il soit sécurisé à l’aide de la sécurité du protocole Internet (IPsec) ou de la signature SMB (Server Message Block).

  • Assurez-vous que l’application provient d’une source approuvée.

  • Sécurisez le répertoire de sortie qui contient l’application encapsulée. Envisagez d’utiliser un répertoire de niveau utilisateur pour la sortie.

Convertir une offre groupée d’applications Android (AAB) en APK

Pour l’instant, le Intune App Wrapping Tool ne prend en charge que les entrées APK. Les offres groupées d’applications Android doivent d’abord être converties en APK pour être utilisées avec l’outil.

Un Android App Bundle peut être converti en fichier APK à l’aide de l’outil en ligne de commande de Google, bundletool. La dernière version de bundle-tool peut être téléchargée à partir de l’outil bundle GitHub de Google.

bundletoolpermet de produire un seul APK universel à utiliser avec le Intune App Wrapping Tool à l’aide de la commande suivante :

bundletool build-apks --bundle=input.aab --mode=universal --output=input.apks

Le .apks fichier de sortie est une archive ZIP contenant un seul fichier APK universel. Décompressez l’archive et utilisez ce fichier APK comme entrée dans le Intune App Wrapping Tool.

Voir aussi

  • Last updated on