Paramètres de stratégie de protection d’application iOS

  • Article
  • 34 minutes de lecture

Cet article décrit les paramètres de la stratégie de protection des applications pour les appareils iOS/iPadOS. Vous pouvez configurer les paramètres décrits pour une stratégie de protection d’application dans le volet Paramètres du portail lorsque vous créez une nouvelle stratégie.

Il existe trois catégories de paramètres de stratégie : la relocalisation des données, les conditions d'accès et le lancement conditionnel. Dans cet article, le terme applications gérées par une stratégie fait référence aux applications configurées avec des stratégies de protection des applications.

Importante

La solution Intune Managed Browser a été retirée. Utilisez Microsoft Edge pour votre expérience de navigation Intune protégée.

Protection des données

Transfert de données

Setting Comment utiliser Valeur par défaut
Sauvegarder les données d’organisation sur les sauvegardes iTunes et iCloud Sélectionnez Bloquer pour empêcher cette application de sauvegarder les données professionnelles ou scolaires sur iTunes et iCloud. Sélectionnez Autoriser pour permettre à cette application de sauvegarder les données professionnelles ou scolaires sur iTunes et iCloud. Allow
Envoyer les données d’organisation à d’autres applications Spécifiez quelles applications peuvent recevoir des données de cette application :
  • Toutes les applications : autoriser le transfert vers n’importe quelle application. L'application réceptrice aura la possibilité de lire et de modifier les données.
  • Aucune : N'autorisez pas le transfert de données vers n'importe quelle application, y compris les autres applications gérées par des stratégies. Si l'utilisateur exécute une fonction d'ouverture gérée et transfère un document, les données seront cryptées et illisibles.
  • Applications gérées par la stratégie : autoriser le transfert uniquement vers d’autres applications gérées par la stratégie.

    Remarque :Les utilisateurs peuvent être en mesure de transférer du contenu via des extensions Open-in ou Partager vers des applications non managées sur des appareils non inscrits ou des appareils inscrits qui autorisent le partage avec des applications non gérées. Les données transférées sont chiffrées par Intune et illisibles par les applications non managées.

  • Applications gérées par règles avec partage du système d'exploitation : permet uniquement le transfert de données vers d'autres applications gérées par règles, ainsi que le transfert de fichiers vers d'autres applications gérées par MDM sur les appareils inscrits.

    Remarque :Les applications gérées par la stratégie avec la valeur de partage de système d’exploitation s’appliquent uniquement aux appareils inscrits à la gestion des appareils mobiles. Si ce paramètre est destiné à un utilisateur sur un appareil non inscrit, le comportement de la valeur Applications gérées par la stratégie s’applique. Les utilisateurs pourront transférer du contenu non chiffré via les extensions Open-in ou Share vers n’importe quelle application autorisée par le paramètre gpm iOS allowOpenFromManagedtoUnmanaged, en supposant que l’application émettrice dispose d’IntuneMAMUPN et IntuneMAMOID configurés . Pour plus d’informations, consultez Guide pratique pour gérer le transfert de données entre des applications iOS dans Microsoft Intune. Pour plus d’informations sur ce paramètre GPM iOS/iPadOS, consultez https://developer.apple.com/business/documentation/Configuration-Profile-Reference.pdf .

  • Applications gérées par stratégie avec filtrage de l'ouverture et du partage : n'autorisez le transfert que vers d'autres applications gérées par stratégie et filtrez les boîtes de dialogue d'ouverture et de partage du système d'exploitation pour n'afficher que les applications gérées par stratégie. Pour configurer le filtrage de la boîte de dialogue Open-In/Share, il faut que la ou les applications agissant comme source du fichier/document et la ou les applications pouvant ouvrir ce fichier/document disposent du kit SDK Intune pour iOS version 8.1.1 ou supérieure.

    Remarque :Les utilisateurs peuvent être en mesure de transférer du contenu via des extensions Open-in ou Partager vers des applications non managées si Intune type de données privées est pris en charge par l’application. Les données transférées sont chiffrées par Intune et illisibles par les applications non managées.


En outre, lorsqu'elles sont définies sur les applications gérées par la stratégie ou sur Aucune, les fonctions iOS de recherche Spotlight (qui permet de rechercher des données dans les applications) et de raccourcis Siri sont bloquées.

Cette stratégie peut également s'appliquer aux liens universels iOS/iPadOS. Les liens Web généraux sont gérés par le paramètre de stratégie Ouvrir des liens d'application dans le navigateur géré par Intune.

Il existe quelques applications et services exonérés vers lesquels Intune peut autoriser le transfert de données par défaut. En outre, vous pouvez créer vos propres exemptions si vous devez autoriser le transfert de données vers une application qui ne prend pas en charge Intune APP. Voir les exemptions de transfert de données pour plus d'informations.

 Toutes les applications
    Sélectionner les applications à exclure
 Cette option est disponible lorsque vous sélectionnez les applications gérées par la stratégie pour l'option précédente.
    Sélectionnez les liens universels à exempter
 Indiquez quels liens universels iOS/iPadOS doivent s'ouvrir dans l'application non gérée spécifiée au lieu du navigateur protégé indiqué par le paramètre Restriction du transfert de contenu Web avec d'autres applications. Vous devez contacter le développeur de l'application pour déterminer le format de lien universel correct pour chaque application.
    Sélectionner les liens universels gérés
 Indiquez quels liens universels iOS/iPadOS doivent s'ouvrir dans l'application gérée spécifiée au lieu du navigateur protégé indiqué par le paramètre Restriction du transfert de contenu Web avec d'autres applications. Vous devez contacter le développeur de l'application pour déterminer le format de lien universel correct pour chaque application.
    Enregistrer des copies des données d’organisation
 Choisissez Bloquer pour interdire l’utilisation de l’option Enregistrer sous dans cette application. Choisissez Autoriser pour autoriser l’utilisation de l’option Enregistrer sous. Quand il est défini sur Bloquer, vous pouvez configurer le paramètre Autoriser l’utilisateur à enregistrer des copies dans une sélection de services.

Remarque :
  • Ce paramètre est pris en charge pour Microsoft Excel, OneNote, Outlook, PowerPoint, Word et Edge. Il peut également être pris en charge par des applications tierces et métier.
  • Ce paramètre est configurable seulement si le paramètre Envoyer les données d’organisation à d’autres applications est défini sur Applications gérées par la stratégie, Applications gérées par une stratégie avec partage du système d’exploitation ou Applications gérées par une stratégie avec filtrage d’ouverture et de partage.
  • Ce paramètre sera « Autoriser » quand le paramètre Envoyer les données d’organisation à d’autres applications est défini sur Toutes les applications.
  • Ce paramètre sera « Bloquer » sans emplacements de service autorisés quand le paramètre Envoyer les données d’organisation à d’autres applications est défini sur Aucune.
Allow
      Autoriser l’utilisateur à enregistrer des copies dans une sélection de services
 Les utilisateurs peuvent enregistrer dans les services sélectionnés (OneDrive Entreprise, SharePoint, Photothèque et stockage local). Tous les autres services sont bloqués. OneDrive for Business : vous pouvez enregistrer des fichiers dans OneDrive for Business et SharePoint Online. SharePoint : vous pouvez enregistrer des fichiers dans SharePoint local. Photothèque : vous pouvez enregistrer des fichiers dans la bibliothèque de photos localement. Stockage local : les applications gérées peuvent enregistrer localement des copies des données d'org. Cela n'inclut PAS l'enregistrement de fichiers dans des emplacements locaux non gérés tels que l'application Fichiers sur l'appareil. 0 sélectionné
    Transférer les données de télécommunications vers
 En règle générale, lorsqu’un utilisateur sélectionne un numéro de téléphone dans une application, une application de numéroteur s’ouvre avec le numéro de téléphone prérempli et prêt à appeler. Pour ce paramètre, choisissez comment traiter ce type de transfert de contenu lorsqu'il est initié par une application gérée par des règles :
  • Aucun, ne pas transférer ces données entre les applications : Ne pas transférer les données de communication lorsqu'un numéro de téléphone est détecté.
  • Une application de numérotation spécifique : Autorisez une application de numérotation spécifique à initier un contact lorsqu'un numéro de téléphone est détecté.
  • N'importe quelle application de numérotation: Permet d'utiliser n'importe quelle application de numérotation pour initier un contact lorsqu'un numéro de téléphone est détecté.

Remarque : Ce paramètre nécessite Intune SDK 12.7.0 ou une version ultérieure. Si vos applications s'appuient sur la fonctionnalité de numérotation et n'utilisent pas la version correcte d' Intune SDK, vous pouvez envisager d'ajouter "tel;telprompt" comme exemption de transfert de données. Une fois que les applications prennent en charge la version correcte d' Intune SDK, l'exemption peut être supprimée.

 Toute application de numérotation
      Schéma d’URL de l’application de numéroteur
 Quand vous sélectionnez une application de numéroteur, vous devez fournir le schéma d’URL permettant de la lancer sur les appareils iOS. Pour plus d'informations, consultez la documentation d'Apple sur les liens téléphoniques. Blank
Recevoir des données d’autres applications Spécifiez quelles applications peuvent transférer des données à cette application :
  • Toutes les applications : autoriser le transfert de données à partir de n’importe quelle application.
  • Aucune : N'autorisez pas le transfert de données depuis n'importe quelle application, y compris les autres applications gérées par des stratégies.
  • Applications gérées par la stratégie : autoriser le transfert uniquement à partir d’autres applications gérées par la stratégie.
  • Toutes les applications avec des données Org entrantes : Autoriser le transfert de données depuis n'importe quelle application. Les données entrantes sans identité d’utilisateur sont traitées comme des données issues de votre organisation. Les données seront marquées avec l'identité de l'utilisateur inscrit au MDM, tel que défini par le paramètreIntuneMAMUPN.

    Remarque :La valeur Toutes les applications avec des données d’organisation entrantes s’applique uniquement aux appareils inscrits à la gestion des appareils mobiles. Si ce paramètre est destiné à un utilisateur sur un appareil non inscrit, le comportement de la valeur Toutes les applications s’applique.

Les applications MAM multi-identités tentent de basculer vers un compte non géré lors de la réception de données non gérées si ce paramètre est configuré sur Aucune ou Applications gérées par la stratégie. Si aucun compte non géré n’est connecté à l’application ou si l’application ne peut pas basculer, les données entrantes sont bloquées.

 Toutes les applications
    Ouvrir les données dans les documents d’organisation
 Sélectionnez Bloquer pour désactiver l’utilisation de l’option Ouvrir ou d’autres options pour partager les données entre les comptes de cette application. Sélectionnez Autoriser si vous voulez autoriser l’utilisation de l’option Ouvrir.

Quand la valeur Bloquer est sélectionnée, vous pouvez configurer le paramètre Autoriser les utilisateurs à ouvrir des données à partir des services sélectionnés pour spécifier les services autorisés pour les emplacements de données d’organisation.

Remarque :
  • Ce paramètre peut être configuré uniquement quand le paramètre Recevoir des données d’autres applications est défini sur Applications gérées par la stratégie.
  • Ce paramètre est « Autoriser » quand le paramètre Recevoir des données d’autres applications est défini sur Toutes les applications ou Toutes les applications avec des données d’organisation entrantes.
  • Ce paramètre est « Bloquer » sans emplacement de service autorisé quand le paramètre Recevoir des données d’autres applications est défini sur Aucune.
  • Les applications suivantes prennent en charge ce paramètre :
    • OneDrive 11.45.3 ou version ultérieure.
    • Outlook pour iOS 4.60.0 ou version ultérieure.
    • (Teams pour iOS 3.17.0 ou une version ultérieure).
 Allow
      Permettre aux utilisateurs d'ouvrir les données des services sélectionnés
 Sélectionnez les services de stockage d’applications à partir desquels les utilisateurs peuvent ouvrir des données. Tous les autres services sont bloqués. Le fait de ne sélectionner aucun service empêchera les utilisateurs d’ouvrir les données d’emplacements externes.

Services pris en charge :
  • OneDrive Entreprise
  • SharePoint Online
  • Appareil photo
  • Photothèque
Remarque : l’appareil photo n’inclut pas les Photos ou l’accès à la Galerie de photos. Lorsque vous sélectionnez Photothèque dans le paramètre Autoriser les utilisateurs à ouvrir des données à partir des services sélectionnés dans Intune, vous pouvez autoriser les comptes gérés à autoriser les données entrantes de la bibliothèque de photos de leur appareil vers leurs applications gérées.		 Tous sélectionnés
Restreindre les opérations de coupe, de copie et de collage entre d'autres applications Indiquez quand les actions couper, copier et coller peuvent être utilisées avec cette application. Sélectionnez parmi :
  • Bloqué : n’autorisez pas les actions couper, copier et coller entre cette application et toute autre application.
  • Applications gérées par des stratégies : permet de couper, copier et coller des actions entre cette application et d'autres applications gérées par des stratégies.
  • Applications gérées par la stratégie avec Coller dans : autoriser les actions couper et copier entre cette application et les autres applications gérées par la stratégie. Autoriser le collage dans cette application de données à partir de n'importe quelle application.
  • N’importe quelle application : Aucune restriction pour couper, copier et coller depuis et vers cette application.
 N’importe quelle application
    Limite du nombre de caractères à couper/copier pour toutes les applications
 Spécifiez le nombre de caractères qui peuvent être coupés ou copiés des données et des comptes Org. Cela permet de partager le nombre spécifié de caractères avec toutes les applications, sans considération du paramètre de Restreindre les opérations couper, copier et coller avec d’autres applications.

Valeur par défaut = 0

Note: L'application doit être équipée du kit SDK Intune version 9.0.14 ou ultérieure.

 0
Claviers tiers Choisissez Bloquer pour empêcher l’utilisation de claviers tiers dans les applications gérées.

Lorsque ce paramètre est activé, l'utilisateur reçoit un message unique indiquant que l'utilisation de claviers tiers est bloquée. Ce message apparaît la première fois qu'un utilisateur interagit avec des données organisationnelles qui nécessitent l'utilisation d'un clavier. Seul le clavier iOS/iPadOS standard est disponible lors de l’utilisation d’applications gérées, et toutes les autres options de clavier sont désactivées. Ce paramètre affectera à la fois l'organisation et les comptes personnels des applications multi-identités. Ce paramètre n'affecte pas l'utilisation de claviers tiers dans les applications non gérées.

Remarque : cette fonctionnalité nécessite que l'application utilise le kit SDK Intune version 12.0.16 ou ultérieure. Les applications dont la version du SDK va de 8.0.14 à 12.0.15 inclus ne pourront pas appliquer correctement cette fonctionnalité pour les applications multi-identités. Pour plus de détails, voir la section Problème connu : Les claviers tiers ne sont pas bloqués dans iOS/iPadOS pour les comptes personnels.

 Allow

Remarque

Une stratégie de protection des applications est requise avec IntuneMAMUPN pour les appareils gérés. Cela s’applique également à tous les paramètres qui nécessitent des appareils inscrits.

Chiffrement

Setting Comment utiliser Valeur par défaut
Chiffrer les données de l 'Org Choisissez Exiger pour activer le cryptage des données professionnelles ou scolaires dans cette application. Intune applique le chiffrement iOS/iPadOS au niveau de l’appareil pour protéger les données d’application lorsque l’appareil est verrouillé. De plus, les applications peuvent chiffrer les données des applications à l’aide du chiffrement du kit SDK d’applications Intune. Intune APP SDK utilise des méthodes de cryptographie iOS/iPadOS pour appliquer un cryptage AES 256 bits aux données des applications.

Quand vous activez ce paramètre, l’utilisateur peut être invité à définir et à utiliser un code PIN d’appareil pour accéder à son appareil. S'il n'y a pas de code PIN pour l'appareil et que le cryptage est requis, l'utilisateur est invité à définir un code PIN avec le message « Votre organisation vous a demandé d'activer d'abord un code PIN pour l'appareil pour accéder à cette application».

Accédez à la documentation apple officielle pour en savoir plus sur leurs classes de protection des données, dans le cadre de la sécurité de leur plateforme Apple.		 Require (Rendre obligatoire)

Les fonctionnalités

Setting Comment utiliser Valeur par défaut
Synchronisation des données des applications gérées par stratégie avec des applications natives ou des compléments Choisissez Bloquer pour empêcher les applications gérées par une stratégie d’enregistrer des données dans les applications natives de l’appareil (contacts, calendrier et widgets) et pour empêcher l’utilisation de compléments dans les applications gérées par la stratégie. S’il n’est pas pris en charge par l’application, l’enregistrement des données dans les applications natives et l’utilisation de compléments sont autorisés.

Si vous choisissez Autoriser, l’application gérée par la stratégie peut enregistrer des données dans les applications natives ou utiliser des compléments, si ces fonctionnalités sont prises en charge et activées dans l’application gérée par la stratégie.

Les applications peuvent fournir des contrôles supplémentaires pour personnaliser le comportement de synchronisation des données sur des applications natives spécifiques ou ne pas respecter ce contrôle.

Remarque : Lorsque vous effectuez une réinitialisation sélective pour supprimer des données professionnelles ou scolaires de l’application, les données synchronisées directement de l’application gérée par la stratégie vers l’application native sont supprimées. Toutes les données synchronisées de l’application native vers une autre source externe ne sont pas réinitialisées.

Remarque : Les applications suivantes prennent en charge cette fonctionnalité :		 Allow
Impression des données de l'Org Sélectionnez Bloquer pour empêcher l’application d’imprimer des données professionnelles ou scolaires. Si vous conservez ce paramètre Autoriser (valeur par défaut), les utilisateurs peuvent exporter et imprimer toutes les données de l’organisation. Allow
Limiter le transfert de contenu web avec d'autres applications Spécifiez comment le contenu web (liens http/https) est ouvert à partir d’applications gérées par la stratégie. Choisissez parmi les autorisations suivantes :
  • N’importe quelle application : Autorisez les liens web dans toutes les applications.
  • Intune Managed Browser: permet au contenu web de s'ouvrir uniquement dans l' Intune Managed Browser. Ce navigateur est un navigateur géré par des stratégies.
  • Microsoft Edge: Autorisez le contenu Web à s'ouvrir uniquement dans Microsoft Edge. Ce navigateur est un navigateur géré par des stratégies.
  • Navigateur non géré : permet au contenu web de s'ouvrir uniquement dans le navigateur non géré défini par le paramètre de protocole de navigateur non géré. Le contenu web ne sera pas géré dans le navigateur cible.
    Remarque : L'application doit disposer du kit SDK Intune version 11.0.9 ou ultérieure.
Si vous utilisez Intune pour gérer vos appareils, voir Gérer l'accès à Internet à l'aide de stratégies de navigateur gérées avec Microsoft Intune.

Si un navigateur géré par des règles est requis mais n'est pas installé, vos utilisateurs finaux seront invités à installer le Microsoft Edge.

Quand un navigateur géré par une stratégie est nécessaire, les liens universels iOS/iPadOS sont gérés par le paramètre de stratégie Autoriser l’application à transférer des données vers d’autres applications.

Inscription d’appareils dans Intune
Si vous utilisez Intune pour gérer vos appareils, consultez Gérer l’accès à Internet à l’aide de stratégies Managed Browser avec Microsoft Intune.

Microsoft Edge géré par une stratégie
Le navigateur Microsoft Edge pour les appareils mobiles (iOS/iPadOS et Android) prend en charge les stratégies de protection des applications Intune. Les utilisateurs qui se connectent avec leurs comptes Azure AD d'entreprise dans l'application de navigateur Microsoft Edge seront protégés par Intune. Le navigateur Microsoft Edge intègre le SDK Intune et prend en charge toutes ses stratégies de protection des données, à l'exception de la prévention :

  • Enregistrer sous : Le navigateur Microsoft Edge ne permet pas à un utilisateur d'ajouter des connexions directes, dans l'application, à des fournisseurs de stockage en cloud (tels que OneDrive).
  • Synchronisation des contacts : Le navigateur Microsoft Edge n'enregistre pas dans les listes de contacts natives.

Remarque: Le SDK Intune ne peut pas déterminer si une application cible est un navigateur. Sur les appareils iOS/iPadOS, aucune autre application de navigateur gérée n'est autorisée.		 Non configuré
    Protocole de navigateur non géré
 Entrez le protocole d’un seul navigateur non géré. Le contenu Web (liens http/https) des applications gérées par des stratégies s'ouvrira dans toute application prenant en charge ce protocole. Le contenu web ne sera pas géré dans le navigateur cible.

Cette fonctionnalité doit être utilisée uniquement si vous souhaitez partager du contenu protégé avec un navigateur spécifique qui n’est pas activé à l’aide de stratégies de protection des applications Intune. Vous devez contacter le fournisseur de votre navigateur pour déterminer le protocole pris en charge par votre navigateur.

Remarque: N'incluez que le préfixe du protocole. Si votre navigateur exige des liens de la formemybrowser://www.microsoft.com , entrezmybrowser.
Les liens seront traduits comme suit :
  • http://www.microsoft.com > mybrowser://www.microsoft.com
  • https://www.microsoft.com > mybrowsers://www.microsoft.com
 Blank
Notifications de données de l’organisation Spécifiez comment les données d’organisation sont partagées par le biais des notifications du système d’exploitation pour les comptes d’organisation. Ce paramètre de stratégie aura un impact sur l'appareil local et tous les appareils connectés tels que les wearables et les enceintes intelligentes. Les applications peuvent fournir des contrôles supplémentaires pour personnaliser le comportement en matière de notifications ou choisir de ne pas honorer toutes les valeurs. Sélectionnez parmi :
  • Bloqué : Ne pas partager les notifications.
    • S'il n'est pas pris en charge par l'application, les notifications seront autorisées.
  • Bloquer les données d' org : Ne pas partager les données d' org dans les notifications, par exemple.
    • « Vous avez un nouveau message » ou « Vous avez une réunion ».
    • S'il n'est pas pris en charge par l'application, les notifications seront autorisées.
  • Autoriser : Partage des données Org dans les notifications.

Remarque : Ce paramètre nécessite la prise en charge de l’application :

  • Outlook pour iOS 4.34.0 ou version ultérieure
  • Teams pour iOS 2.0.22 ou version ultérieure.
 Allow

Remarque

Aucun des paramètres de protection des données ne contrôle la fonction d'ouverture gérée par Apple sur les appareils iOS/iPadOS. Pour gérer la fonctionnalité « Ouvrir dans » d’Apple, consultez Gérer les transferts de données entre applications iOS/iPadOS avec Microsoft Intune.

Exemptions pour le transfert de données

La stratégie de protection des applications Intune peut autoriser le transfert de données à destination et à partir d’applications et de services de plateforme exemptés dans certains scénarios. Cette liste est susceptible d'être modifiée et reflète les services et les applications considérés comme utiles pour une productivité sécurisée.

Des applications tierces non gérées peuvent être ajoutées à la liste des exemptions qui peut autoriser des exceptions de transfert de données. Pour plus d’informations et des exemples, consultez Guide pratique pour créer des exceptions à la stratégie de transfert de données Intune App Protection (APP). L’application non gérée exemptée doit être appelée selon le protocole d’URL iOS. Par exemple, quand l’exemption de transfert de données est ajoutée pour une application non gérée, elle empêche les utilisateurs d’effectuer des opérations couper, copier et coller, si elles sont restreintes par la stratégie. Ce type d'exemption empêcherait également les utilisateurs d'utiliser l'action Ouvrir dans une application gérée pour partager ou enregistrer des données dans l'application exemptée, car elle n'est pas basée sur le protocole URL d'iOS. Pour plus d’informations sur Ouvrir dans, consultez Utiliser la protection des applications avec les applications iOS.

Nom(s) de l'application/du service Description
skype Skype
app-settings Paramètres de l’appareil
itms; itmss; itms-apps; itms-appss; itms-services App Store
calshow Calendrier natif

Importante

Les stratégies de protection des applications créées avant le 15 juin 2020 incluent le schéma d’URL tel et telprompt dans le cadre des exemptions de transfert de données par défaut. Ces schémas d’URL permettent aux applications gérées de lancer le numéroteur. Le paramètre de stratégie de protection des applications Transférer les données de télécommunications vers a remplacé cette fonctionnalité. Les administrateurs doivent supprimer tel;telprompt ; des exemptions de transfert de données et s'appuyer sur le paramètre de stratégie de protection des applications, à condition que les applications gérées qui lancent la fonctionnalité de numérotation comprennent le SDK Intune 12.7.0 ou une version ultérieure.

Importante

Dans Intune SDK 14.5.0 ou ultérieur, l'inclusion des schémas d'URL sms et mailto dans les exemptions de transfert de données permettra également le partage des données Org vers les contrôleurs de vue MFMessageCompose (pour les sms) et MFMailCompose (pour les mailto) dans les applications gérées par stratégie.

Les liens universels permettent à l'utilisateur de lancer directement une application associée au lien au lieu d'un navigateur protégé spécifié par le paramètre Restriction du transfert de contenu web avec d'autres applications. Vous devez contacter le développeur de l'application pour déterminer le format de lien universel correct pour chaque application.

En ajoutant des liens universels aux applications non gérées, vous pouvez lancer l'application spécifiée. Pour ajouter l'application, vous devez ajouter le lien à la liste d'exemption.

Attention

Les applications cibles de ces liens universels ne sont pas gérées et l'ajout d'une exemption peut entraîner des fuites de sécurité des données.

Les exemptions par défaut de l'application Universal Link sont les suivantes :

Lien universel de l'application Description
http://maps.apple.com; https://maps.apple.com Cartes Application
http://facetime.apple.com; https://facetime.apple.com Application FaceTime

Si vous ne souhaitez pas autoriser les exemptions de lien universel par défaut, vous pouvez les supprimer. Vous pouvez également ajouter des liens universels pour les applications tierces ou LOB. Les liens universels exemptés autorisent les caractères génériques tels que http://*.sharepoint-df.com/* .

En ajoutant des liens universels aux applications gérées, vous pouvez lancer l'application spécifiée en toute sécurité. Pour ajouter l'application, vous devez ajouter le lien à la liste gérée. Si une stratégie de protection des applications est appliquée à l'application cible, la sélection du lien lancera l'application. Si l'application cible n'a pas de stratégie de protection des applications appliquée, la sélection du lien lancera le navigateur protégé.

Les liens universels gérés par défaut sont les suivants :

Lien universel d’application gérée Description
http://*.onedrive.com/*; https://*.onedrive.com/*; OneDrive
http://*.appsplatform.us/*; http://*.powerapps.cn/*; http://*.powerapps.com/*; http://*.powerapps.us/*; https://*.powerbi.com/*; https://app.powerbi.cn/*; https://app.powerbigov.us/*; https://app.powerbi.de/*; PowerApps
http://*.powerbi.com/*; http://app.powerbi.cn/*; http://app.powerbigov.us/*; http://app.powerbi.de/*; https://*.appsplatform.us/*; https://*.powerapps.cn/*; https://*.powerapps.com/*; https://*.powerapps.us/*; Power BI
http://*.service-now.com/*; https://*.service-now.com/*; ServiceNow
http://*.sharepoint.com/*; http://*.sharepoint-df.com/*; https://*.sharepoint.com/*; https://*.sharepoint-df.com/*; SharePoint
http://web.microsoftstream.com/video/*; http://msit.microsoftstream.com/video/*; https://web.microsoftstream.com/video/*; https://msit.microsoftstream.com/video/*; Flux
http://*teams.microsoft.com/l/*; http://*devspaces.skype.com/l/*; http://*teams.live.com/l/*; http://*collab.apps.mil/l/*; http://*teams.microsoft.us/l/*; http://*teams-fl.microsoft.com/l/*; https://*teams.microsoft.com/l/*; https://*devspaces.skype.com/l/*; https://*teams.live.com/l/*; https://*collab.apps.mil/l/*; https://*teams.microsoft.us/l/*; https://*teams-fl.microsoft.com/l/*; Équipes
http://tasks.office.com/*; https://tasks.office.com/*; http://to-do.microsoft.com/sharing*; https://to-do.microsoft.com/sharing*; ToDo
http://*.yammer.com/*; https://*.yammer.com/*; Yammer
http://*.zoom.us/*; https://*.zoom.us/*; Zoom

Si vous ne souhaitez pas autoriser les liens universels gérés par défaut, vous pouvez les supprimer. Vous pouvez également ajouter des liens universels pour les applications tierces ou LOB.

Condition d’accès

Setting Comment utiliser Valeur par défaut
Accès par code PIN Sélectionnez Exiger pour imposer l’utilisation d’un code PIN avec cette application. L'utilisateur est invité à configurer ce code PIN la première fois qu'il utilise l'application dans un contexte professionnel ou scolaire. Le code PIN est appliqué lorsque l'on travaille en ligne ou hors ligne.

Vous pouvez configurer la puissance du code confidentiel à l’aide des paramètres disponibles dans la section Accès par code PIN.		 Require (Rendre obligatoire)
    Type de code confidentiel
 Imposez l'utilisation de codes PIN numériques ou de codes de passe avant d'accéder à une application à laquelle des stratégies de protection des applications sont appliquées. Les exigences numériques ne concernent que des chiffres, tandis qu'un code de passe peut être défini avec au moins une lettre alphabétique ou au moins un caractère spécial.

Remarque :Pour configurer le type de code secret, l’application doit avoir Intune SDK version 7.1.12 ou ultérieure. Le type numérique n’a aucune restriction de version Intune SDK. Les caractères spéciaux autorisés incluent les caractères spéciaux et les symboles du clavier iOS/iPadOS en langue anglaise.		 Numérique
    Code confidentiel simple
 Sélectionnez Autoriser pour permettre aux utilisateurs d’utiliser des séquences de code PIN simples comme 1234, 1111, abcd ou aaaa. Sélectionnez Bloquer pour les empêcher d'utiliser des séquences simples. Les séquences simples sont vérifiées dans des fenêtres coulissantes de 3 caractères. Si Bloquer est configuré, 1235 ou 1112 ne seraient pas acceptés comme PIN défini par l'utilisateur final, mais 1122 serait autorisé.

Remarque: Si le code PIN de type Passcode est configuré et que l'option autorisée pour le code PIN simple est définie sur Oui, l'utilisateur doit avoir au moins une lettre ou au moins un caractère spécial dans son code PIN. Si le code PIN de type Passcode est configuré et que l'option autorisée pour le code PIN simple est définie sur Non, l'utilisateur doit avoir au moins un chiffre, une lettre et au moins un caractère spécial dans son code PIN		 Allow
    Sélectionner la longueur minimale du code confidentiel
 Spécifiez le nombre minimum de chiffres dans une séquence PIN. 4
    Accès par Touch ID plutôt que par code confidentiel (iOS 8+)
 Sélectionnez Autoriser pour autoriser l’utilisateur à se servir de Touch ID plutôt qu’un code PIN pour accéder à l’application. Allow
      Remplacer Touch ID par le code PIN au terme du délai d’attente
 Pour utiliser ce paramètre, sélectionnez Exiger, puis configurez un délai d'inactivité. Require (Rendre obligatoire)
        Délai d’expiration (minutes d’inactivité)
 spécifiez une durée en minutes au terme de laquelle un code secret ou un code PIN numérique (configuré) remplace l’utilisation d’une empreinte digitale ou du visage comme méthode d’accès. Ce délai doit être supérieur à la valeur spécifiée dans le paragraphe «Revérifier les conditions d'accès après (minutes d'inactivité)». 30
      Face ID au lieu du code PIN pour l'accès (iOS 11+)
 Sélectionnez Autoriser pour autoriser l’utilisateur à utiliser la technologie de reconnaissance faciale pour authentifier les utilisateurs sur les appareils iOS/iPadOS. Si elle est autorisée, Face ID doit être utilisée pour accéder à l'application sur un appareil compatible avec Face ID. Allow
    Réinitialisation du code PIN au bout d’un nombre de jours
 Sélectionnez Oui pour demander aux utilisateurs de changer le code PIN de l'application après une période déterminée, en jours.

Quand la valeur définie est Oui, vous devez alors configurer le nombre de jours au-delà duquel la réinitialisation est exigée.		 Non
      Nombre de jours
 Configurez le nombre de jours avant que la réinitialisation du code PIN soit nécessaire. 90
    PIN de l'application lorsque le PIN de l'appareil est défini
 Sélectionnez Désactiver pour désactiver le code PIN de l'application lorsqu'un verrouillage de l'appareil est détecté sur un appareil inscrit avec le portail de l'entreprise configuré.

Remarque :Nécessite que l’application ait Intune SDK version 7.0.1 ou ultérieure. Le paramètre IntuneMAMUPN doit être configuré pour que les applications détectent l’état d’inscription.

Sur les appareils iOS/iPadOS, vous pouvez laisser l'utilisateur prouver son identité en utilisant Touch ID ou de Face ID au lieu d’un code PIN. Intune utilise l'API LocalAuthentication pour authentifier les utilisateurs à l'aide de Touch ID et Face ID. Pour en savoir plus sur Touch ID et Face ID, consultez le Guide de sécurité iOS.

Lorsque l'utilisateur tente d'utiliser cette application avec son compte professionnel ou scolaire, il est invité à fournir son identité par empreinte digitale ou par visage au lieu de saisir un code PIN. Lorsque ce paramètre est activé, l'image d'aperçu de l'App-switcher sera floue lors de l'utilisation d'un compte professionnel ou scolaire. Si un changement est apporté à la base de données biométrique de l’appareil, Intune invite l’utilisateur à entrer un code PIN la prochaine fois que le délai d’attente d’inactivité est atteint. Les changements apportés aux données biométriques incluent l’ajout et la suppression d’une empreinte digitale ou d’un visage pour l’authentification. Si l'utilisateur d'Intune n'a pas de code PIN défini, il est invité à en créer un.		 Enable
Informations d’identification du compte professionnel ou scolaire pour l’accès Sélectionnez Exiger pour contraindre l’utilisateur à se connecter avec son compte professionnel ou scolaire au lieu d’entrer un code PIN pour accéder à l’application. Si vous définissez cette option sur Oui et que les invites de code PIN ou de données biométriques sont activées, les invites d’informations d’identification d’entreprise et les invites de code PIN ou de données biométriques s’affichent. Non requis
Revérifier les exigences d’accès après (minutes d’inactivité) Configurez le nombre de minutes d’inactivité qui doivent s’écouler avant que l’application contraigne l’utilisateur à spécifier à nouveau les conditions d’accès.

Par exemple, un administrateur active l'option PIN et bloque les appareils enracinés dans la politique, un utilisateur ouvre une application gérée par Intune, doit saisir un PIN et doit utiliser l'application sur un appareil non enraciné. En utilisant ce paramètre, l'utilisateur n'aura pas à saisir de code PIN ou à se soumettre à un autre contrôle de détection de racine sur toute application gérée par Intune pendant une période de temps égale à la valeur configurée.

Remarque :Sur iOS/iPadOS, le code confidentiel est partagé entre toutes les applications gérées par Intune du même éditeur. Le minuteur de code confidentiel d’un code confidentiel spécifique est réinitialisé une fois que l’application quitte le premier plan sur l’appareil. L’utilisateur n’a pas besoin d’entrer un code confidentiel sur une application gérée par Intune qui partage son code confidentiel pendant la durée du délai d’expiration défini dans ce paramètre. Ce format de paramètre de stratégie prend en charge un nombre entier positif.		 30

Remarque

Pour plus d’informations sur la façon dont plusieurs paramètres de protection d’application Intune configurés dans la section Accès pour le même ensemble d’applications et d’utilisateurs fonctionnent sur iOS/iPadOS, consultez Forum aux questions sur la gestion des applications mobiles Intune et Réinitialisation sélective des données à l’aide d’actions d’accès de stratégie de protection des applications dans Intune.

Lancement conditionnel

Configurez les paramètres de lancement conditionnel afin de définir les exigences de sécurité de la connexion pour votre stratégie de protection d’accès.

Par défaut, plusieurs paramètres sont fournis avec des valeurs et des actions préconfigurées. Vous pouvez supprimer certains d’entre eux, tels que la Version minimale de l’OS. Vous pouvez également sélectionner des paramètres supplémentaires dans la liste déroulante Sélectionner un.

Setting Comment utiliser
Version maximale du système d'exploitation Spécifiez une version maximale du système d’exploitation iOS/iPadOS pour utiliser cette application. Les actions comprennent :
  • Avertir : une notification s’affiche à l’intention de l’utilisateur si la version d’iOS/iPadOS sur l’appareil ne répond pas à la condition. Cette notification peut être rejetée.
  • Bloquer l’accès : l’accès de l’utilisateur est bloqué si la version d’iOS/iPadOS sur l’appareil ne répond pas à cette condition.
  • Effacer les données – Le compte utilisateur associé à l'application est effacé de l'appareil.

Cette entrée peut apparaître plusieurs fois, chaque fois à l'appui d'une action différente.

Ce format de paramètre de stratégie prend en charge soit major.minor, major.minor.build, major.minor.build.revision.

Remarque :nécessite que l’application ait Intune sdk version 14.4.0 ou ultérieure.
Version min. de l’OS Spécifiez une version minimale du système d’exploitation iOS/iPadOS pour utiliser cette application. Les actions comprennent :
  • Avertir : une notification s’affiche à l’intention de l’utilisateur si la version d’iOS/iPadOS sur l’appareil ne répond pas à la condition. Cette notification peut être rejetée.
  • Bloquer l’accès : l’accès de l’utilisateur est bloqué si la version d’iOS/iPadOS sur l’appareil ne répond pas à cette condition.
  • Effacer les données – Le compte utilisateur associé à l'application est effacé de l'appareil.
Cette entrée peut apparaître plusieurs fois, chaque fois à l'appui d'une action différente.

Ce format de paramètre de stratégie prend en charge soit major.minor, major.minor.build, major.minor.build.revision.

Remarque :Nécessite que l’application ait Intune SDK version 7.0.1 ou ultérieure.
Tentatives de code PIN maximum Indiquez le nombre d'essais que l'utilisateur doit effectuer pour réussir à saisir son code PIN avant que l'action configurée ne soit exécutée. Si l'utilisateur ne parvient pas à saisir son code PIN après le nombre maximal de tentatives de saisie, il doit réinitialiser son code PIN après s'être connecté avec succès à son compte et avoir effectué une authentification multifactorielle (AMF) si nécessaire. Ce format de définition de stratégie prend en charge un nombre entier positif. Les actions comprennent :
  • Réinitialiser le code PIN : l’utilisateur doit réinitialiser son code PIN.
  • Effacer les données – Le compte utilisateur associé à l'application est effacé de l'appareil.
Valeur par défaut = 5
Période de grâce hors connexion Nombre de minutes pendant lesquelles les applications gérées par une stratégie peuvent s’exécuter en mode hors connexion. Indiquez le délai (en minutes) avant que les conditions d'accès à l'application ne soient vérifiées à nouveau. Les actions comprennent :
  • Bloquer l’accès (minutes) : nombre de minutes pendant lesquelles les applications gérées par une stratégie peuvent s’exécuter en mode hors connexion. Indiquez le délai (en minutes) avant que les conditions d'accès à l'application ne soient vérifiées à nouveau. Après l'expiration de la période configurée, l'application bloque l'accès aux données professionnelles ou scolaires jusqu'à ce qu'un accès au réseau soit disponible. Le minuteur de la période de grâce hors connexion pour le blocage de l’accès est partagé entre toutes les applications dans le trousseau de l’éditeur d’applications. Ce format de définition des stratégies prend en charge un nombre entier positif.

    Valeur par défaut = 720 minutes (12 heures)

    Note: La configuration du minuteur de période de grâce hors connexion pour bloquer l’accès à une valeur inférieure à la valeur par défaut peut entraîner des interruptions utilisateur plus fréquentes à mesure que la stratégie est actualisée. Le choix d’une valeur inférieure à 30 minutes n’est pas recommandé, car il peut entraîner des interruptions utilisateur à chaque lancement ou reprise de l’application.
  • Effacer les données (jours)– Après ce nombre de jours (défini par l'administrateur) de fonctionnement hors ligne, l'application demandera à l'utilisateur de se connecter au réseau et de se réauthentifier. Si l'utilisateur s'authentifie avec succès, il peut continuer à accéder à ses données et l'intervalle hors ligne sera réinitialisé. Si l’utilisateur ne parvient pas à s’authentifier, l’application effectue une réinitialisation sélective du compte et des données de l’utilisateur. Voir Comment effacer uniquement les données d'entreprise des applications gérées par Intune pour plus d'informations sur les données qui sont supprimées avec un effacement sélectif. Le minuteur de la période de grâce hors connexion pour l’effacement des données est calculé individuellement pour chaque application en fonction du dernier check-in avec le service Intune. Ce format de définition de stratégie prend en charge un nombre entier positif.

    Valeur par défaut = 90 jours
Cette entrée peut apparaître plusieurs fois, chaque fois à l'appui d'une action différente.
Appareils jailbreakés/rootés Il n’existe pas de valeur à définir pour ce paramètre. Les actions comprennent :
  • Bloquer l'accès – Empêcher cette application de fonctionner sur les appareils jailbreakés ou enracinés. L’utilisateur peut encore utiliser cette application pour des tâches personnelles, mais il doit utiliser un autre appareil pour accéder aux données professionnelles ou scolaires dans cette application.
  • Effacer les données – Le compte utilisateur associé à l'application est effacé de l'appareil.
Compte désactivé Il n'y a pas de valeur à définir pour ce paramètre. Les actions comprennent :
  • Bloquer l’accès : lorsqu’il est confirmé que l’utilisateur a été désactivé dans Azure Active Directory, l’application bloque l’accès aux données professionnelles ou scolaires.
  • Réinitialiser les données : lorsque nous avons confirmé que l’utilisateur a été désactivé dans Azure Active Directory, l’application effectue une réinitialisation sélective du compte et des données de l’utilisateur.
Version minimale de l'application Spécifiez une valeur pour la valeur minimale de la version de l’application. Les actions comprennent :
  • Avertissement – L'utilisateur reçoit une notification si la version de l'application sur l'appareil ne répond pas aux exigences. Cette notification peut être rejetée.
  • Bloquer l'accès – L'accès de l'utilisateur est bloqué si la version de l'application sur l'appareil ne répond pas aux exigences.
  • Effacer les données – Le compte utilisateur associé à l'application est effacé de l'appareil.
Comme les applications ont souvent des schémas de version distincts, créez une stratégie avec une version d'application minimale ciblant une application (par exemple, la stratégie de version d'Outlook).

Cette entrée peut apparaître plusieurs fois, chaque fois à l'appui d'une action différente.

Ce paramètre de stratégie prend en charge les formats de version d’ensemble d’applications iOS correspondants (major.minor ou major.minor.patch).

Remarque :Nécessite que l’application ait Intune SDK version 7.0.1 ou ultérieure.

En outre, vous pouvez configurer l'endroit où vos utilisateurs finaux peuvent obtenir une version mise à jour d'une application de ligne d'affaires (LOB). Les utilisateurs finaux le verront dans la boîte de dialogue de lancement conditionnel de la version minimale de l'application, qui les invitera à mettre à jour la version minimale de l'application LOB. Sur iOS/iPadOS, cette fonctionnalité nécessite que l’application soit intégrée (ou encapsulée à l’aide de l’outil d’habillage) avec le KIT de développement logiciel (SDK) Intune pour iOS v. 10.0.7 ou version ultérieure. Pour configurer l'endroit où un utilisateur final doit mettre à jour une application LOB, l'application a besoin d'une stratégie de configuration des applications gérées qui lui est envoyée avec la clé,com.microsoft.intune.myappstore . La valeur envoyée définira le magasin à partir duquel l'utilisateur final téléchargera l'application. Si l’application est déployée via le Portail d’entreprise, la valeur doit être CompanyPortal. Pour tout autre magasin, vous devez saisir une URL complète.
Version min. du SDK Spécifiez une valeur minimale pour la version du kit de développement logiciel (SDK) Intune. Les actions comprennent :
  • Bloquer l’accès : l’accès de l’utilisateur est bloqué si la version du SDK de stratégie de protection des applications Intune de l’application ne remplit pas la condition.
  • Effacer les données – Le compte utilisateur associé à l'application est effacé de l'appareil.
Pour en savoir plus sur le SDK de stratégie de protection des applications Intune, voir la section Présentation du SDK d'applications Intune. Comme les applications ont souvent des versions différentes du kit SDK Intune, créez une stratégie avec une version minimale du kit SDK Intune ciblant une application (par exemple, Stratégie de version du kit SDK Intune pour Outlook).

Cette entrée peut apparaître plusieurs fois, chaque fois à l'appui d'une action différente.
Modèle(s) d’appareil Spécifiez une liste d'identifiants de modèles séparés par des points-virgules. Ces valeurs ne sont pas sensibles à la casse. Les actions comprennent :
  • Autoriser spécifié (bloquer non spécifié) : seuls les appareils qui correspondent au modèle d’appareil spécifié peuvent utiliser l’application. Tous les autres modèles d’appareil sont bloqués.
  • Autorisé spécifié (Effacer non spécifié) – Le compte d'utilisateur associé à l'application est effacé de l'appareil.
Pour plus d'informations sur l'utilisation de ce paramètre, voir Actions de lancement conditionnel.
Niveau de menace maximal autorisé pour l’appareil Les stratégies de protection d’applications peuvent tirer parti du connecteur Intune-MTD. Spécifiez un niveau de menace maximal acceptable pour utiliser cette application. Les menaces sont déterminées par l’application de fournisseur Mobile Threat Defense (MTD) que vous avez choisie sur l’appareil de l’utilisateur final. Spécifiez Sécurisé, Faible, Moyen ou Élevé. L’option Sécurisé ne requiert aucune menace sur l’appareil et constitue la valeur configurable la plus restrictive, tandis que l’option Élevé requiert une connexion active d’Intune à MTD. Les actions comprennent :
  • Bloquer l’accès - L’accès à l’utilisateur sera bloqué si le niveau de menace déterminé par l’application fournisseur Mobile Threat Defense (MTD) que vous avez choisie sur l’appareil de l’utilisateur final n’est pas conforme à cette exigence.
  • Effacer les données – Le compte utilisateur associé à l'application est effacé de l'appareil.
Remarque :Nécessite que l’application ait Intune sdk version 12.0.15 ou ultérieure.

Pour plus d'informations sur l'utilisation de ce paramètre, voir Activer MTD pour les appareils non inscrits.
Service MTD principal Si vous avez configuré plusieurs connecteurs Intune-MTD, spécifiez l’application fournisseur MTD principale qui doit être utilisée sur l’appareil de l’utilisateur final.

Les valeurs sont les suivantes :

  • Microsoft Defender pour point de terminaison : si le connecteur MTD est configuré, spécifiez Microsoft Defender pour point de terminaison fournira les informations sur le niveau de menace de l’appareil.
  • Mobile Threat Defense (Non-Microsoft) : si le connecteur MTD est configuré, spécifiez que le MTD non-Microsoft fournira les informations sur le niveau de menace de l’appareil.

Vous devez configurer le paramètre « Niveau maximal de menace d’appareil autorisé » pour utiliser ce paramètre.

Il n’existe aucune action pour ce paramètre.

Si vous souhaitez en savoir plus