Microsoft Tunnel pour la gestion des applications mobiles pour Android

Cette fonctionnalité nécessite Microsoft Intune Plan 2 ou un abonnement supplémentaire. Pour connaître les options de licence, consultez Plans et tarifs Microsoft Intune et Plans Microsoft 365 Security Entreprise.

Lorsque vous ajoutez Microsoft Tunnel pour la gestion des applications mobiles (MAM) à votre client, vous pouvez utiliser la passerelle VPN Microsoft Tunnel avec des appareils Android non inscrits pour prendre en charge les scénarios MAM. Avec la prise en charge de la gestion des applications mobiles, vos appareils non inscrits peuvent utiliser Tunnel pour se connecter en toute sécurité à votre organisation, ce qui permet aux utilisateurs et aux applications d’accéder en toute sécurité à vos données organisationnelles.

S’applique à :

• Android Entreprise

Pour étendre votre configuration de tunnel Microsoft existante afin de prendre en charge la gestion des applications mobiles, créez et déployez trois profils qui configurent cette prise en charge sur vos appareils non inscrits :

• Stratégie de configuration d’application pour Microsoft Defender. Cette stratégie configure Microsoft Defender pour point de terminaison sur un appareil en tant qu’application cliente de tunnel VPN.
• Stratégie de configuration d’application pour Microsoft Edge. Cette stratégie configure Microsoft Edge pour prendre en charge le commutateur d’identité, qui connecte et déconnecte automatiquement le tunnel VPN lors du basculement d’un compte « professionnel ou scolaire » Microsoft vers un « compte personnel » Microsoft dans Microsoft Edge.
• Stratégie de protection d’applications pour démarrer automatiquement la connexion à Microsoft Tunnel lorsque l’application MAM activée sur l’appareil accède aux ressources de l’entreprise.

Une fois ces stratégies en place, vos configurations Site et Serveur existantes pour Tunnel prennent en charge l’accès à partir d’appareils qui ne sont pas inscrits dans Intune. En outre, vous pouvez choisir de déployer vos configurations pour le tunnel GAM sur les appareils inscrits au lieu d’utiliser des configurations de tunnel GPM. Toutefois, un appareil inscrit doit utiliser uniquement les configurations de tunnel GPM ou GAM, mais pas les deux. Par exemple, les appareils inscrits ne peuvent pas avoir d’application comme Microsoft Edge qui utilise des configurations de tunnel MAM alors que d’autres applications utilisent des configurations de tunnel GPM.

Essayez la démonstration interactive : La démonstration interactive [Microsoft Tunnel pour la gestion des applications mobiles pour Android](/https :/regale.cloud/Microsoft/viewer/1896/microsoft-tunnel-for-mobile-application-management-for-android/index.html#/0/0) montre comment Tunnel pour la gestion des applications Microsoft étend le passerelle VPN Microsoft Tunnel pour prendre en charge les appareils Android non inscrits auprès de Intune.

Configuration requise

Infrastructure et locataire :

Tunnel pour la gestion des applications mobiles nécessite les mêmes considérations et conditions préalables que l’utilisation de Tunnel pour les appareils inscrits. Pour plus d’informations, consultez Conditions préalables pour Tunnel.

Après avoir configuré Microsoft Tunnel, vous serez prêt à ajouter les deux stratégies de configurationd’application et la stratégie de protection d’applications qui permet aux appareils non inscrits d’utiliser Tunnel. La configuration de ces stratégies est détaillée dans les sections suivantes.

Appareils:

Les utilisateurs d’appareils qui ne sont pas inscrits auprès d’Intune doivent installer les applications suivantes sur leur appareil Android avant de pouvoir utiliser le scénario Tunnel pour la gestion des applications mobiles. Ces applications peuvent toutes être installées manuellement à partir du Google Play Store :

1. Microsoft Defender – Obtenez-le à partir de Microsoft Defender – Applications sur Google Play. Microsoft Defender inclut l’application client de tunnel que l’appareil utilise pour se connecter à Microsoft Tunnel. Pour prendre en charge Tunnel pour MAM, Microsoft Defender pour point de terminaison doit être la version 1.0.4722.0101 ou ultérieure.

2. Microsoft Edge : l’obtenir à partir de Microsoft Edge : Navigateur web - Applications sur Google Play.

3. Portail d’entreprise - Obtenez-le sur Portail d’entreprise Intune - Applications sur Google Play. Les appareils doivent installer l’application Portail d'entreprise, même si les utilisateurs n’ont pas besoin de se connecter à l’application ou d’inscrire leur appareil sur Intune.

Applications métier :

Pour vos applications métier, intégrez-les au SDK GAM. Plus tard, vous pourrez ajouter vos applications métier à votre stratégie de protection des applications et à vos stratégies de configuration d’application pour le tunnel GAM. Voir Prise en main de GAM pour Android.

Remarque

Assurez-vous que vos applications métier Android prennent en charge le proxy direct ou l’autoconfiguration de proxy (PAC) pour GPM et la gestion des applications mobiles.

Version du SDK GAM :

Pour utiliser la fonctionnalité Android Trusted Roots pour Microsoft Tunnel pour la GAM nécessite une version SDK MAM 9.5.0 ou ultérieure, accédez à la version 9.5.0 · msintuneappsdk/ms-intune-app-sdk-android sur github.com.

Support du cloud secteur public

Microsoft Tunnel pour MAM sur Android est pris en charge avec les environnements de cloud souverain suivants :

• Cloud de la communauté du gouvernement américain (GCC) High
• Département de la Défense des États-Unis (DoD)

Microsoft Tunnel pour GAM sur Android n’est pas pris en charge sur Microsoft Azure géré par 21Vianet.

Microsoft Tunnel pour la GAM sur Android ne prend pas en charge le Standard FIPS (Federal Information Processing ).

Pour plus d’informations, voir Microsoft Intune pour le gouvernement américain Description du service GCC.

Configurer des stratégies pour prendre en charge Microsoft Tunnel pour la GAM

Pour prendre en charge l’utilisation de Tunnel pour la gestion des applications mobiles, créez et déployez les trois profils décrits en détail dans les sections suivantes. Ces stratégies peuvent être créées dans n’importe quel ordre :

• Stratégie de configuration d’application pour Microsoft Edge
• Stratégie de configuration d’application pour Microsoft Defender
• Stratégie de protection d’applications pour Microsoft Edge

Lorsque tous les trois sont configurés et déployés dans les mêmes groupes, la stratégie de protection des applications déclenche automatiquement la connexion de Tunnel au VPN chaque fois que Microsoft Edge est lancé.

Vous pouvez également configurer un profil de certificat approuvé à utiliser avec Microsoft Edge et vos applications cœur de métier lorsqu’ils doivent se connecter à des ressources locales et sont protégés par un certificat SSL/TLS émis par une autorité de certification locale ou privée. Par défaut, Microsoft Edge prend en charge les certificats racines approuvés. Pour les applications métier, vous utilisez le SDK GAM pour ajouter une prise en charge des certificats racines approuvés.

Stratégie de configuration d’application pour Microsoft Defender

Créez une stratégie de configuration d’application pour configurer Microsoft Defender pour point de terminaison sur l’appareil pour l’utiliser comme application client de tunnel.

Remarque

Assurez-vous qu’une seule stratégie de configuration d’application Defender cible l’appareil non inscrit. Le ciblage de plus d’une stratégie de configuration d’application avec des paramètres de tunnel différents pour Defender pour point de terminaison crée des problèmes de connexion de tunnel sur l’appareil.

1. Connectez-vous au Centre d’administration Microsoft Intune et accédez à Configuration des applications>>Créer des>applications gérées.

2. Sous l’onglet Informations de base :

   1. Entrez un nom pour cette stratégie, et une description (facultatif).
   2. Cliquez sur Sélectionner les applications publiques, sélectionnez Point de terminaison Microsoft Microsoft Defender pour Android, puis cliquez sur Sélectionner.

   Lorsque le point de terminaison Microsoft Defender est répertorié pour les applications publiques, sélectionnez Suivant.

   

3. Dans l’onglet Paramètres , ignorez la catégorie Paramètres de configuration générale , qui n’est pas utilisée pour cette stratégie. Pour la catégorie de paramètres de Microsoft Tunnel , effectuez les configurations suivantes :

   • Définissez Utiliser le tunnel VPN Microsoft surOui.
   • Pour Nom de connexion, spécifiez le nom de connexion de votre VPN.

   Ensuite, cliquez sur Sélectionner un site :

   • Pour Nom du site, sélectionnez un site disponible, puis cliquez sur OK.

   • Le VPN par application (Android uniquement) est un paramètre facultatif. Sélectionnez des applications publiques ou personnalisées pour restreindre l’utilisation de la connexion VPN de tunnel à ces applications spécifiées.

     Importante

     Pour garantir un changement d’identité transparent et des notifications de tunnel précises dans Microsoft Edge, il est essentiel d’inclure Edge dans votre liste VPN par application.

     

     Importante

     Tunnel GAM pour Android ne prend pas en charge l’utilisation du VPN Toujours actif. Lorsque le VPN toujours actif est défini sur Activer, Tunnel ne se connecte pas correctement et envoie des notifications d’échec de connexion à l’utilisateur de l’appareil.

     Pour bloquer le trafic réseau lorsque la connexion du tunnel GAM n’est pas disponible, configurez le mode tunnel strict via la stratégie de configuration de l’application Microsoft Edge au lieu du VPN permanent.

   • Le proxy est un paramètre facultatif. Configurez les paramètres proxy pour répondre aux exigences de votre réseau local.

     Remarque

     Les configurations de serveur proxy ne sont pas prises en charge avec les versions d’Android antérieures à la version 10. Pour plus d’informations, consultez VpnService.Builder dans cette documentation pour les développeurs Android.

   Quand vous êtes prêt, sélectionnez Suivant pour continuer.

   

4. Sous l’onglet Devoirs, sélectionnez Ajouter des groupes, puis sélectionnez les mêmes groupes Microsoft Entra auxquels vous avez déployé le profil de configuration d’application Microsoft Edge, puis sélectionnez Suivant.

5. Dans l’onglet Vérifier + créer , sélectionnez Créer pour terminer la création de la stratégie et déployer la stratégie aux groupes affectés.

La nouvelle stratégie apparaît dans la liste des stratégies de configuration d’application.

Stratégie de configuration d’application pour Microsoft Edge

Créez une stratégie de configuration d’application pour Microsoft Edge. Cette stratégie configure Microsoft Edge pour prendre en charge le changement d’identité, offrant la possibilité de connecter automatiquement le tunnel VPN lors de la connexion ou du basculement vers un compte « professionnel ou scolaire » Microsoft, et de déconnecter automatiquement le tunnel VPN lorsque vous basculez vers un compte personnel Microsoft.

1. Connectez-vous au Centre d’administration Microsoft Intune et accédez à Configuration des applications>>Créer des>applications gérées.

2. Sous l’onglet Informations de base :

   1. Entrez un nom pour la stratégie et une description (facultatif).
   2. Cliquez sur Sélectionner les applications publiques, sélectionnez Microsoft Edge pour Android, puis cliquez sur Sélectionner.

   Une fois Microsoft Edge répertorié pour les applications publiques, sélectionnez Suivant.

   

3. Sous l’onglet Paramètres , configurez la paire Nom et Valeur dans la catégorie Paramètres de configuration généraux comme suit :

   Nom	Description
   com.microsoft.intune.mam.managedbrowser.StrictTunnelMode Valeur : True	Lorsqu’il est défini sur True, il fournit une prise en charge du mode tunnel strict à Edge. Lorsque les utilisateurs se connectent à Edge avec un compte d’organisation, si le VPN n’est pas connecté, le mode tunnel strict bloque le trafic Internet. Lorsque le VPN se reconnecte, la navigation sur Internet est à nouveau disponible.
   com.microsoft.intune.mam.managedbrowser.TunnelAvailable.IntuneMAMOnly Valeur : True	Lorsque la valeur est , Trueelle fournit la prise en charge du commutateur d’identité à Edge. Lorsque les utilisateurs se connectent avec un compte professionnel ou scolaire, Edge se connecte automatiquement au VPN. Lorsque les utilisateurs activent la navigation en mode privé, Edge bascule vers un compte personnel et déconnecte le VPN.

   Remarque

   La StrictTunnelMode clé de configuration de l’application s’applique aux scénarios MAM pour les appareils non inscrits, où elle bloque le trafic Internet Edge lorsque la connexion du tunnel MAM n’est pas disponible. Pour les appareils inscrits, le mode tunnel strict est configuré en tant que paramètre au niveau de l’appareil dans le profil VPN Microsoft Tunnel et s’applique à tout le trafic réseau sur l’appareil, pas seulement à Edge.

   L’image suivante montre le Identity switch paramètre dans une stratégie de configuration d’application pour Microsoft Edge :

   

   Remarque

   Assurez-vous qu’il n’y a aucun espace à la fin du paramètre de configuration Général.

   Vous pouvez utiliser cette même stratégie pour configurer d’autres configurations Microsoft Edge dans la catégorie des paramètres de configuration Microsoft Edge . Une fois que toutes les configurations supplémentaires pour Microsoft Edge sont prêtes, sélectionnez Suivant.

4. Sous l’onglet Devoirs, sélectionnez Ajouter des groupes, puis sélectionnez un ou plusieurs groupes Microsoft Entra qui recevront cette stratégie. Après avoir configuré les groupes, sélectionnez Suivant.

5. Dans l’onglet Vérifier + créer , sélectionnez Créer pour terminer la création de la stratégie et déployer la stratégie aux groupes affectés.

La nouvelle stratégie apparaît dans la liste des stratégies de configuration d’application.

Stratégie de protection d’applications pour Microsoft Edge

Créez une stratégie de protection des applications pour démarrer automatiquement la connexion VPN Microsoft Tunnel au lancement de l’application.

Remarque

Lorsque l’application est démarrée, la connexion Tunnel VPN tente de démarrer. Une fois démarrée, l’appareil a accès aux itinéraires réseau locaux disponibles via Microsoft Tunnel Gateway. Si vous souhaitez limiter l’accès du réseau de tunnel à des applications spécifiques, configurez les paramètres VPN par application (Android uniquement).

1. Connectez-vous au Centre d’administration de Microsoft Intune et accédez à Protection des applications>>Créer un>Android.

2. Sous l’onglet Informations de base , entrez un nom pour cette stratégie et une description (facultatif), puis sélectionnez Suivant.

3. Sous l’onglet Applications , cliquez sur Sélectionner les applications publiques, Microsoft Edge, puis cliquez sur Sélectionner.

   Lorsque Microsoft Edge est répertorié pour les applications publiques, sélectionnez Suivant.

   

4. Sous l’onglet Protection des données , faites défiler l’écran vers le bas et définissez Démarrer la connexion Microsoft Tunnel au lancement de l’application sur Oui, puis sélectionnez Suivant.

   

5. Continuez au-delà des onglets Conditions d’accès et Lancement conditionnel .

6. Sous l’onglet Devoirs, sélectionnez Ajouter des groupes, puis sélectionnez les mêmes groupes Microsoft Entra auxquels vous avez déployé les deux profils de configuration d’application, puis sélectionnez Suivant.

7. Dans l’onglet Vérifier + créer , sélectionnez Créer pour terminer la création de la stratégie et déployer la stratégie aux groupes affectés.

La nouvelle stratégie apparaît dans la liste des stratégies de configuration d’application.

Configurer les applications métier

Si vous avez intégré vos applications métier au SDK GAM, vous pouvez les utiliser avec Microsoft Tunnel en les ajoutant en tant qu’applications personnalisées aux trois stratégies de tunnel GAM que vous avez créées précédemment.

Pour plus d’informations sur l’ajout d’applications personnalisées aux stratégies, consultez les articles suivants pour les deux types de stratégie :

• Stratégies de configuration des applications pour les applications gérées par le SDK d’application Intune
• Guide pratique pour créer et affecter des stratégies de protection des applications

Pour prendre en charge les applications métier sur vos appareils non inscrits, les applications doivent se déployer en tant qu’applications disponibles à partir du Centre d’administration Microsoft Intune. Vous ne pouvez pas utiliser Intune pour déployer des applications en tant qu’applications requises sur des appareils non inscrits.

Utiliser un profil de certificat approuvé

Les applications métier qui utilisent le tunnel Gestion des applications mobiles sur Android doivent s’intégrer au kit de développement logiciel (SDK) d’application Intune et doivent utiliser le nouveau Tunnel pour le gestionnaire d’approbation de gestion des applications pour utiliser la prise en charge des certificats racines approuvés pour leurs applications métier. Pour prendre en charge les certificats racines approuvés, vous devez utiliser la version minimale du Kit de développement logiciel (SDK) (ou une version ultérieure) comme indiqué dans la section Conditions préalables de cet article.

Gestion des certificats racines de confiance :

Si votre application nécessite des certificats SSL/TLS émis par une autorité de certification locale ou privée pour fournir un accès sécurisé aux sites web et applications internes, le kit de développement logiciel (SDK) d’application Intune a ajouté la prise en charge de la gestion de l’approbation de certificat à l’aide des classes d’API MAMTrustedRootCertsManager et MAMCertTrustWebViewClient.

Configuration requise :

• Formats de certificat pris en charge par Tunnel pour MAM Android :

  • X.509 binaire encodé DER
  • PEM

• MAMCertTrustWebViewClient prend en charge :

  • Android 11 ou version ultérieure

• MAMTrustedRootCertsManager prend en charge :

  • SSLContext
  • SSLSocketFactory
  • Gestionnaire d’approbation
  • Affichage web

Lors de la configuration du profil de configuration d’application pour une application qui utilisera Tunnel pour la gestion des applications mobiles, sélectionnez le profil de certificat à utiliser :

1. Sous l’onglet Paramètres de votre profil de configuration d’application, développez Paramètres de gestion des applications mobiles de Microsoft Tunnel.

2. Configurez les options suivantes :

   1. Définissez le paramètre Utiliser Microsoft Tunnel pour la GAM sur Oui.
   2. Pour Nom de la connexion, spécifiez un nom d’utilisateur pour cette connexion, comme mam-tunnel-vpn.
   3. Ensuite, sélectionnez Sélectionner un site, puis choisissez l’un de vos sites Microsoft Tunnel Gateway. Si vous n’avez pas configuré de site Tunnel Gateway, consultez Configurer Microsoft Tunnel.
   4. Si votre application nécessite un certificat approuvé, sélectionnez Certificat racine pour ouvrir le volet Sélectionner les certificats racines , puis sélectionnez un profil de certificat approuvé à utiliser.

   

   Pour plus d’informations sur la configuration des profils de certificat racine, voir Profils de certificat racine de confiance pour Microsoft Intune.

3. Après avoir configuré les paramètres de Tunnel MAM, sélectionnez suivant pour ouvrir l’onglet Devoirs .

Problèmes connus

Voici les problèmes ou limitations connus de Tunnel GAM pour Android.

Tunnel pour la gestion des applications mobiles ne prend pas en charge Microsoft Defender en mode Profil personnel

Pour plus d’informations sur Microsoft Defender en mode profil personnel, voir Microsoft Defender en profil personnel sur Android Enterprise en mode BYOD.

Solution de contournement : aucune.

Tunnel GAM non pris en charge lors de l’utilisation du tunnel GPM

Vous pouvez choisir d’utiliser le tunnel GAM avec des appareils inscrits au lieu d’utiliser des configurations de tunnel GPM. Toutefois, un appareil inscrit doit utiliser uniquement les configurations de tunnel GPM ou GAM, mais pas les deux. Par exemple, les appareils inscrits ne peuvent pas avoir d’application comme Microsoft Edge qui utilise des configurations de tunnel MAM alors que d’autres applications utilisent des configurations de tunnel GPM.

Solution de contournement : aucune.

Application métier basée sur WebView et le SDK Intune pour la prise en charge de la racine approuvée, les points de terminaison internes ne peuvent pas être affichés

Solution de contournement : déployez et installez manuellement le certificat racine approuvé sur les appareils Android non inscrits qui utilisent des applications métier avec WebView sur Tunnel.

Android ne parvient pas à générer la chaîne de certificats lorsque vous utilisez une autorité de certification privée

Lorsque vous utilisez WebView avec MAMCertTrustWebViewClient dans MAM pour valider les certificats, MAM délègue à Android la création d’une chaîne de certificats à partir des certificats fournis par les administrateurs et le serveur. Si un serveur qui utilise des certificats privés fournit la chaîne complète au WebView de connexion, mais que l’administrateur déploie uniquement le certificat racine, Android peut ne pas générer la chaîne de certificats et échouer lors de la vérification de l’approbation du serveur. Ce problème se produit, car Android nécessite des certificats intermédiaires pour générer la chaîne à un niveau acceptable.

Solution de contournement : pour garantir une validation correcte du certificat, les administrateurs doivent déployer le certificat racine et tous les certificats intermédiaires dans Intune. Si le certificat racine ainsi que tous les certificats intermédiaires ne sont pas déployés, Android peut ne pas générer la chaîne de certificats et ne pas approuver le serveur.

Erreur de certificat Defender pour point de terminaison lors de l’utilisation d’un certificat TLS/SSL d’une autorité de certification privée

Lorsque le serveur Microsoft Tunnel Gateway utilise un certificat TLS/SSL émis par une autorité de certification privée (sur site), Microsoft Defender pour point de terminaison génère une erreur de certificat lors de la tentative de connexion.

Solution : installez manuellement le certificat racine de confiance correspondant de l’autorité de certification privée sur l’appareil Android. Une prochaine mise à jour de l’application Defender pour point de terminaison fournira une prise en charge et supprimera la nécessité d’installer manuellement le certificat racine approuvé.

Microsoft Edge ne peut pas atteindre les ressources internes pendant une courte période après son lancement

Immédiatement après l’ouverture de Microsoft Edge, le navigateur tente de se connecter aux ressources internes avant de se connecter à Tunnel. En conséquence, le navigateur signale que la ressource ou l’URL de destination n’est pas disponible.

Solution de contournement : Actualisez la connexion du navigateur sur l’appareil. La ressource devient disponible une fois la connexion au tunnel établie.

Les trois applications requises pour prendre en charge Tunnel pour les appareils non inscrits ne sont pas visibles dans l’application du Portail d’entreprise sur un appareil

Une fois que Microsoft Edge, Microsoft Defender pour point de terminaison et le Portail d'entreprise sont attribués à un appareil disponible avec ou sans inscription, l’utilisateur ciblé ne peut pas trouver les applications dans le Portail d'entreprise ou au portal.manage.microsoft.com.

Solution de contournement : Installez les trois applications manuellement à partir du Google Play Store. Vous pouvez trouver des liens vers les trois applications sur Google Play dans la section Conditions préalables de cet article.

Erreur : « Échec du démarrage du VPN MSTunnel, contactez votre administrateur informatique pour obtenir de l’aide »

Ce message d’erreur peut s’afficher même si le tunnel est connecté.

Solution : ce message peut être ignoré.

Erreur : Licence non valide, contactez l’administrateur

Cette erreur se produit lorsque la version de Microsoft Defender pour point de terminaison ne prend pas en charge Tunnel.

Solution de contournement : installez la version prise en charge de Defender pour point de terminaison à partir de Microsoft Defender : applications sur Google Play.

L’utilisation de plusieurs stratégies pour Defender pour configurer différents sites de tunnel pour différentes applications n’est pas prise en charge

L’utilisation d’au moins deux stratégies de configuration d’application pour Microsoft Defender spécifiant différents sites de tunnel n’est pas prise en charge et peut entraîner une condition de concurrence empêchant l’utilisation réussie du tunnel.

Solution de contournement : ciblez chaque appareil avec une stratégie de configuration d’application unique pour Microsoft Defender, en vous assurant que chaque appareil non inscrit est configuré pour utiliser un seul site.

Déconnexion automatique avec les applications métier

La déconnexion automatique n’est pas prise en charge dans les scénarios métier.

Si Edge est la seule application répertoriée dans la configuration VPN par application, la fonctionnalité de déconnexion automatique fonctionne correctement. Si d’autres applications sont incluses dans la configuration VPN par application, la fonctionnalité de déconnexion automatique ne fonctionnera pas. Dans ce cas, les utilisateurs doivent se déconnecter manuellement pour s’assurer que toutes les connexions sont interrompues.

Solution de contournement : Les utilisateurs doivent déconnecter manuellement les connexions dans les scénarios LOB.

Étapes suivantes

• Vue d’ensemble de Microsoft Tunnel pour la gestion des applications mobiles
• Tunnel GAM pour iOS

Consulter également :

• Configurer Microsoft Tunnel
• Surveiller Microsoft Tunnel