Configuración de directivas de protección de aplicaciones Android en Microsoft Intune
En este artículo se describe la configuración de la directiva de protección de aplicaciones para dispositivos Android. La configuración de directiva que se describe se puede configurar para una directiva de protección de aplicaciones en el panel Configuración del portal. Hay tres categorías de configuración de directiva: configuración de protección de datos, requisitos de acceso e inicio condicional. En este artículo, el término aplicaciones administradas por directivas hace referencia a las aplicaciones que están configuradas con directivas de protección de aplicaciones.
Importante
El Portal de empresa de Intune es necesario en el dispositivo para recibir directivas de protección de aplicaciones para dispositivos Android.
Intune Managed Browser se ha retirado. Use Microsoft Edge para la experiencia de explorador de Intune protegida.
Protección de datos
Transferencia de datos
| Configuración | Cómo se usa | Valor predeterminado |
|---|---|---|
| Copia de seguridad de datos de la organización en servicios de copia de seguridad de Android | Seleccione Bloquear para evitar que esta aplicación realice copias de seguridad de datos profesionales o educativos en el servicio De copia de seguridad de Android. Seleccione Permitir para permitir que esta aplicación realice una copia de seguridad de datos profesionales o educativos. |
Permitir |
| Envío de datos de la organización a otras aplicaciones | Especifique qué aplicaciones pueden recibir datos de esta aplicación:
Hay aplicaciones y servicios exentos a los que Intune puede permitir la transferencia de datos de forma predeterminada. Además, puede crear sus propias excepciones si necesita permitir que los datos se transfieran a una aplicación que no admita las directivas de protección de aplicaciones de Intune. Para obtener más información, consulte Exenciones de transferencia de datos. Esta directiva también se puede aplicar a vínculos de aplicaciones de Android. Los vínculos web generales se administran mediante la configuración de directiva Abrir vínculos a aplicaciones en Intune Managed Browser. Nota: Intune no admite actualmente la característica Aplicaciones instantáneas de Android. Intune bloqueará cualquier conexión de datos hacia o desde la aplicación. Para obtener más información, consulte Aplicaciones instantáneas de Android en la documentación de Android Developer. Si Send org data to other apps (Enviar datos de la organización a otras aplicaciones ) está configurado en Todas las aplicaciones, es posible que los datos de texto se sigan transfiriendo mediante el uso compartido del sistema operativo al Portapapeles. |
Todas las aplicaciones |
|
Esta opción está disponible si selecciona Aplicaciones administradas por directivas en la opción anterior. | |
|
Elija Bloquear para deshabilitar el uso de la opción Guardar como en esta aplicación. Elija Permitir si quiere permitir el uso de Guardar como. Cuando se establece en Bloquear, puede configurar la opción Permitir al usuario guardar copias en los servicios seleccionados. Nota:
|
Permitir |
|
Los usuarios pueden guardar en los servicios seleccionados (OneDrive para la Empresa, SharePoint, Biblioteca de fotos, Box y Almacenamiento local). Todos los demás servicios se bloquearán. | 0 seleccionados |
|
Normalmente, cuando un usuario selecciona un número de teléfono hipervinculado en una aplicación, se abre una aplicación de marcador con el número de teléfono previamente rellenado y lista para llamar. Para esta configuración, elija cómo controlar este tipo de transferencia de contenido cuando se inicia desde una aplicación administrada por directivas:
|
Cualquier de aplicación de marcador |
|
Cuando se haya seleccionado una aplicación de marcador específica, debe proporcionar el identificador del paquete de la aplicación. | Blank |
|
Cuando se haya seleccionado una aplicación de marcador específica, debe proporcionar el nombre de la aplicación de marcado. | Blank |
|
Normalmente, cuando un usuario selecciona un número de teléfono hipervinculado en una aplicación, se abre una aplicación de marcador con el número de teléfono previamente rellenado y lista para llamar. Para esta configuración, elija cómo controlar este tipo de transferencia de contenido cuando se inicia desde una aplicación administrada por directivas. Para esta configuración, elija cómo controlar este tipo de transferencia de contenido cuando se inicia desde una aplicación administrada por directivas:
|
Cualquier aplicación de mensajería |
|
Cuando se haya seleccionado una aplicación de mensajería específica, debe proporcionar el identificador del paquete de la aplicación. | Blank |
|
Cuando se haya seleccionado una aplicación de mensajería específica, debe proporcionar el nombre de la aplicación de mensajería. | Blank |
| Recibir datos de otras aplicaciones | Especifique qué aplicaciones pueden transferir datos a esta aplicación:
Hay algunas aplicaciones y servicios exentos desde los que Intune pueden permitir la transferencia de datos. Consulte Exenciones de transferencia de datos para obtener una lista completa de aplicaciones y servicios. |
Todas las aplicaciones |
|
Seleccione Bloquear para deshabilitar el uso de la opción Abrir u otras opciones para compartir datos entre cuentas de esta aplicación. Seleccione Permitir si quiere permitir el uso de Abrir. Cuando se establece en Bloquear, puede configurar el valor Permitir a los usuarios abrir datos de los servicios seleccionados a fin de especificar los servicios permitidos para las ubicaciones de datos de la organización. Nota:
|
Permitir |
|
Seleccione los servicios de almacenamiento de aplicaciones desde los que los usuarios pueden abrir datos. El resto de servicios se bloquean. La selección de ningún servicio impedirá que los usuarios abran datos. Servicios compatibles:
|
Todos los seleccionados |
| Restringir cortar, copiar y pegar entre otras aplicaciones | Especifique cuándo pueden usarse las acciones de cortar, copiar y pegar con esta aplicación. Elija entre:
|
Cualquier aplicación |
|
Especifique el número de caracteres que se pueden cortar o copiar de los datos y cuentas de la organización. Esto permitirá compartir el número especificado de caracteres cuando, de lo contrario, se bloquearía mediante la configuración "Restringir cortar, copiar y pegar con otras aplicaciones". Valor predeterminado = 0 Nota: Requiere Portal de empresa de Intune versión 5.0.4364.0 o posterior. |
0 |
| Captura de pantalla y Google Assistant | Seleccione Bloquear para bloquear la captura de pantalla, bloquear el círculo para buscar y bloquear el acceso de Google Assistant a los datos de la organización en el dispositivo al usar esta aplicación. Al elegir Bloquear , también se desenfocará la imagen de vista previa del conmutador de aplicaciones al usar esta aplicación con una cuenta profesional o educativa. Nota: Google Assistant puede ser accesible para los usuarios en escenarios que no tienen acceso a los datos de la organización. |
Bloquear |
| Teclados aprobados | Seleccione Requerir y especifique una lista de teclados aprobados para esta directiva. Los usuarios que no usan un teclado aprobado reciben un mensaje para descargar e instalar un teclado aprobado antes de poder usar la aplicación protegida. Esta configuración requiere que la aplicación tenga el SDK de Intune para Android versión 6.2.0 o posterior. |
No requerida |
|
Esta opción está disponible al seleccionar Requerir para la opción anterior. Elija Seleccionar para administrar la lista de teclados y métodos de entrada que se pueden usar con aplicaciones protegidas por esta directiva. Puede agregar teclados adicionales a la lista y quitar cualquiera de las opciones predeterminadas. Debe tener al menos un teclado aprobado para guardar la configuración. Con el tiempo, Microsoft puede agregar teclados adicionales a la lista para las nuevas directivas de Protección de aplicaciones, lo que requerirá que los administradores revisen y actualicen las directivas existentes según sea necesario. Para agregar un teclado, especifique lo siguiente:
Nota: Se permitirá a un usuario asignado varias directivas de Protección de aplicaciones usar solo los teclados aprobados comunes a todas las directivas. |
Cifrado
| Configuración | Cómo se usa | Valor predeterminado |
|---|---|---|
| Cifrado de datos de la organización | Elija Requerir para habilitar el cifrado de datos profesionales o educativos en esta aplicación. Intune usa un esquema de cifrado AES wolfSSL de 256 bits junto con el sistema Android Keystore para cifrar de forma segura los datos de la aplicación. Los datos se cifran sincrónicamente durante las tareas de E/S de archivos. El contenido del almacenamiento del dispositivo siempre está cifrado y solo lo pueden abrir las aplicaciones que admiten las directivas de protección de aplicaciones de Intune y que tienen asignada la directiva. Los nuevos archivos se cifrarán con claves de 256 bits. Los archivos cifrados de 128 bits existentes se someterán a un intento de migración a claves de 256 bits, pero el proceso no está garantizado. Los archivos cifrados con claves de 128 bits seguirán siendo legibles. El método de cifrado se valida con FIPS 140-2; Para obtener más información, vea wolfCrypt FIPS 140-2 y FIPS 140-3. |
Obligatoria |
|
Seleccione Requerir para aplicar el cifrado de datos de la organización con Intune cifrado de la capa de aplicación en todos los dispositivos. Seleccione No necesario para no aplicar el cifrado de datos de la organización con Intune cifrado de capa de aplicación en dispositivos inscritos. | Obligatoria |
Funcionalidad
| Configuración | Cómo se usa | Valor predeterminado |
|---|---|---|
| Sincronizar datos de aplicaciones administradas por directivas con aplicaciones o complementos nativos | Elija Bloquear para evitar que las aplicaciones administradas por directivas guarden datos en las aplicaciones nativas del dispositivo (contactos, calendario y widgets) y para evitar el uso de complementos dentro de las aplicaciones administradas por directivas. Si no es compatible con la aplicación, se permitirá guardar datos en aplicaciones nativas y usar complementos. Si elige Permitir, la aplicación administrada por directivas puede guardar datos en las aplicaciones nativas o usar complementos, si esas características se admiten y habilitan dentro de la aplicación administrada por directivas. Las aplicaciones pueden proporcionar controles adicionales para personalizar el comportamiento de sincronización de datos en aplicaciones nativas específicas o no respetan este control. Nota: Al realizar un borrado selectivo para quitar datos profesionales o educativos de la aplicación, se quitan los datos sincronizados directamente desde la aplicación administrada por la directiva a la aplicación nativa. No se borrarán los datos sincronizados desde la aplicación nativa con otro origen externo. Nota: Las siguientes aplicaciones admiten esta característica: |
Permitir |
| Impresión de datos de la organización | Elija Bloquear para evitar que la aplicación imprima datos profesionales o educativos. Si dejas esta configuración establecida en Permitir, que es el valor predeterminado, los usuarios podrán exportar e imprimir todos los datos de la organización. | Permitir |
| Restringir la transferencia de contenido web con otras aplicaciones | Especifique cómo se debe abrir el contenido web (vínculos http/https) en las aplicaciones administradas por directivas. Elija entre:
Exploradores administrados por directivas En Android, los usuarios finales pueden elegir entre otras aplicaciones administradas por directivas que admiten vínculos http/https si no Intune Managed Browser ni Microsoft Edge están instalados. Si se necesita un explorador administrado por directivas pero no está instalado, se pedirá a los usuarios finales que instalen Microsoft Edge. Si se requiere un explorador administrado por directivas, los vínculos de aplicación de Android se administran mediante la configuración de directiva Permitir que la aplicación transfiera datos a otras aplicaciones .
Inscripción de dispositivos de Intune
Microsoft Edge administrado por directivas |
Sin configurar |
|
Escriba el identificador de aplicación para un único explorador. El contenido web (vínculos http/https) de las aplicaciones administradas por directivas se abrirá en el explorador especificado. No se administrará el contenido web en el explorador de destino. | Blank |
|
Escriba el nombre de la aplicación para el explorador asociado al identificador de explorador no administrado. Este nombre se mostrará a los usuarios si el explorador especificado no está instalado. | Blank |
| Notificaciones de datos de la organización | Especifique la cantidad de datos de la organización que se comparten a través de las notificaciones del sistema operativo para las cuentas de la organización. Esta configuración de directiva afectará al dispositivo local y a todos los dispositivos conectados, como ponibles y altavoces inteligentes. Las aplicaciones pueden proporcionar controles adicionales para personalizar el comportamiento de las notificaciones o pueden optar por no respetar todos los valores. Seleccionar desde:
Nota: Esta configuración requiere compatibilidad con la aplicación:
|
Permitir |
Exenciones de transferencia de datos
Hay algunas aplicaciones y servicios de plataforma exentos que Intune directivas de protección de aplicaciones permiten la transferencia de datos hacia y desde. Por ejemplo, todas las aplicaciones administradas por Intune en Android deben poder transferir datos hacia y desde google text-to-speech, de modo que el texto de la pantalla del dispositivo móvil se pueda leer en voz alta. Esta lista está sujeta a cambios y refleja los servicios y las aplicaciones que se consideran útiles para una productividad segura.
Exenciones completas
Estas aplicaciones y servicios están totalmente permitidos para la transferencia de datos hacia y desde aplicaciones administradas por Intune.
| Nombre de aplicación o servicio | Descripción |
|---|---|
| com.android.phone | Aplicación de teléfono nativa |
| com.android.vending | Google Play Store |
| com.google.android.webview | WebView, que es necesario para muchas aplicaciones, incluido Outlook. |
| com.android.webview | Webview, que es necesario para muchas aplicaciones, incluido Outlook. |
| com.google.android.tts | Texto a voz de Google |
| com.android.providers.settings | Configuración del sistema Android |
| com.android.settings | Configuración del sistema Android |
| com.azure.authenticator | Aplicación Azure Authenticator, que es necesaria para la autenticación correcta en muchos escenarios. |
| com.microsoft.windowsintune.companyportal | Portal de empresa de Intune |
| com.android.providers.contacts | Aplicación de contactos nativos |
Exenciones condicionales
Estas aplicaciones y servicios solo se permiten para la transferencia de datos hacia y desde aplicaciones administradas por Intune en determinadas condiciones.
| Nombre de aplicación o servicio | Descripción | Condición de exención |
|---|---|---|
| com.android.chrome | Explorador Google Chrome | Chrome se usa para algunos componentes de WebView en Android 7.0+ y nunca se oculta de la vista. Sin embargo, el flujo de datos hacia y desde la aplicación siempre está restringido. |
| com.skype.raider | Skype | La aplicación de Skype solo se permite para determinadas acciones que dan lugar a una llamada telefónica. |
| com.android.providers.media | Proveedor de contenido multimedia de Android | El proveedor de contenido multimedia solo se permite para la acción de selección de tono. |
| com.google.android.gms; com.google.android.gsf | Paquetes de Google Play Services | Estos paquetes se permiten para acciones de Google Cloud Messaging, como notificaciones push. |
| com.google.android.apps.maps | Google Maps | Las direcciones se permiten para la navegación. |
| com.android.documentsui | Selector de documentos de Android | Se permite al abrir o crear un archivo. |
| com.google.android.documentsui | Selector de documentos de Android (Android 10+) | Se permite al abrir o crear un archivo. |
Para obtener más información, consulte Excepciones de directivas de transferencia de datos para aplicaciones.
Requisitos de acceso
| Configuración | Cómo se usa |
|---|---|
| PIN para acceder | Seleccione Requerir para exigir un PIN para usar esta aplicación. Se pedirá al usuario que configure este PIN la primera vez que ejecute la aplicación en un contexto profesional o educativo. Valor predeterminado = Requerir Puede configurar la seguridad del PIN con la configuración disponible en la sección PIN para acceder. Nota: Los usuarios finales a los que se les permite acceder a la aplicación pueden restablecer el PIN de la aplicación. Es posible que esta configuración no esté visible en algunos casos en dispositivos Android. Los dispositivos Android tienen una limitación máxima de cuatro accesos directos disponibles. Cuando se alcanza el máximo, el usuario final debe quitar los accesos directos personalizados (o acceder al acceso directo desde una vista de aplicación administrada diferente) para ver el acceso directo del PIN de la aplicación de restablecimiento. Como alternativa, el usuario final podría anclar el acceso directo a su página principal. |
Tipo de PIN |
Establezca un requisito de PIN numérico o de tipo contraseña antes de acceder a una aplicación en la que se empleen directivas de protección de aplicaciones. Los requisitos numéricos solo implican números, mientras que una contraseña se puede definir con al menos 1 letra o 1 carácter especial. Valor predeterminado = Numérico Nota: Los caracteres especiales permitidos incluyen los caracteres y símbolos especiales en el teclado en inglés de Android. |
|
Seleccione Permitir para permitir que los usuarios usen secuencias de PIN simples como 1234, 1111, abcd o aaaa. Seleccione Bloques para evitar que usen secuencias simples. Las secuencias simples se comprueban en ventanas deslizantes de tres caracteres. Si block está configurado, el usuario final no aceptaría 1235 o 1112 como PIN establecido por el usuario final, pero se permitiría 1122. Valor predeterminado = Permitir Nota: Si se configura el PIN de tipo código de acceso y el PIN simple se establece en Permitir, el usuario necesita al menos una letra o al menos un carácter especial en su PIN. Si se configura el PIN de tipo código de acceso y el PIN simple se establece en Bloquear, el usuario necesita al menos un número y una letra y al menos un carácter especial en su PIN. |
|
Especifique el número mínimo de dígitos en una secuencia de PIN. Valor predeterminado = 4 |
|
Seleccione Permitir para permitir que el usuario use la biometría para autenticar a los usuarios en dispositivos Android. Si se permite, la biometría se usa para acceder a la aplicación en dispositivos Android 10 o posteriores. |
|
Para usar esta configuración, seleccione Requerir y, después, configure un tiempo de espera de inactividad. Valor predeterminado = Requerir |
|
Especifique un tiempo en minutos después del cual un código de acceso o un PIN numérico (configurado) invalidarán el uso de una biométrica. Este valor de tiempo de espera debe ser mayor que el valor especificado en "Volver a comprobar los requisitos de acceso tras (minutos de inactividad)". Valor predeterminado = 30 |
|
Seleccione Requerir para requerir que el usuario inicie sesión con la biometría de clase 3. Para obtener más información sobre la biometría de clase 3, consulte Biometría en la documentación de Google. |
|
Seleccione Requerir para invalidar el uso de biometría con PIN cuando se detecte un cambio en la biometría.
NOTA: |
|
Seleccione Sí para requerir que los usuarios cambien el PIN de la aplicación después de un período de tiempo establecido en días. Si se establece en Sí, configure el número de días antes de que se solicite el restablecimiento del PIN. Valor predeterminado = No |
|
Configure el número de días antes de que se solicite el restablecimiento del PIN. Valor predeterminado = 90 |
|
Esta configuración especifica el número de PIN anteriores que Intune mantendrá. Los PIN nuevos deben ser diferentes de los que Intune mantienen. Valor predeterminado = 0 |
|
Seleccione No necesario para deshabilitar el PIN de la aplicación cuando se detecte un bloqueo de dispositivo en un dispositivo inscrito con Portal de empresa configurado. Valor predeterminado = Requerir. |
| Credenciales de cuenta profesional o educativa para el acceso | Elija Requerir para requerir que el usuario inicie sesión con su cuenta profesional o educativa en lugar de escribir un PIN para el acceso a la aplicación. Cuando se establece en Requerir y se activan las solicitudes de PIN o biométricas, se muestran tanto las credenciales corporativas como el PIN o las solicitudes biométricas. Valor predeterminado = No obligatorio |
| Volver a comprobar los requisitos de acceso tras (minutos de inactividad) | Configure el siguiente valor:
|
Nota:
Para obtener más información sobre cómo funcionan varias Intune configuración de protección de aplicaciones configurada en la sección Acceso al mismo conjunto de aplicaciones y usuarios en Android, consulte Intune preguntas más frecuentes sobre MAM y Borrado selectivo de datos mediante acciones de acceso a directivas de protección de aplicaciones en Intune.
Lanzamiento condicional
Configure los valores de inicio condicional para establecer los requisitos de seguridad de inicio de sesión para la directiva de protección de aplicaciones.
De forma predeterminada, se proporcionan varias configuraciones con acciones y valores preconfigurados. Puede eliminar algunas opciones, como la versión mínima del sistema operativo. También puede seleccionar una configuración adicional en la lista desplegable Seleccionar una.
Condiciones de la aplicación
| Configuración | Cómo se usa |
|---|---|
| N.º máximo de intentos de PIN | Especifique el número de intentos que tiene el usuario para escribir correctamente el PIN antes de que se lleve a cabo la acción configurada. Si el usuario no puede escribir correctamente su PIN después de los intentos de PIN máximos, el usuario debe restablecer su pin después de iniciar sesión correctamente en su cuenta y completar un desafío de Multi-Factor Authentication (MFA) si es necesario. Este formato de configuración de directiva admite un número entero positivo. Las acciones incluyen:
|
| Período de gracia sin conexión | El número de minutos que las aplicaciones administradas pueden ejecutarse sin conexión. Especifique el tiempo (en minutos) que debe transcurrir antes de que se vuelvan a comprobar los requisitos de acceso de la aplicación. Las acciones incluyen:
|
| Versión mínima de la aplicación | Especifique un valor para el valor de versión mínima de la aplicación. Las acciones incluyen:
Esta entrada puede aparecer varias veces y cada instancia admite una acción diferente. Este formato de configuración de directiva admite major.minor, major.minor.build, major.minor.build.revision. Además, puede configurar dónde los usuarios finales pueden obtener una versión actualizada de una aplicación de línea de negocio (LOB). Los usuarios finales verán esta característica en el cuadro de diálogo de inicio condicional Versión mínima de la aplicación, que le pedirá a los usuarios finales que actualicen a una versión mínima de la aplicación de LOB. En Android, esta característica usa el Portal de empresa. Para configurar dónde un usuario final debería actualizar una aplicación de LOB, la aplicación necesita que se le envíe una directiva de configuración de aplicación administrada con la clave com.microsoft.intune.myappstore. El valor enviado definirá desde qué tienda descargará la aplicación el usuario final. Si la aplicación se implementa a través de Portal de empresa, el valor debe ser CompanyPortal. En el caso de cualquier otra tienda, debe escribir una dirección URL completa. |
| Cuenta deshabilitada | No se puede establecer ningún valor para esta configuración. Las acciones incluyen:
|
| Tiempo no laborable | No se puede establecer ningún valor para esta configuración. Las acciones incluyen:
Las siguientes aplicaciones admiten esta característica con Portal de empresa v5.0.5849.0 o posterior:
|
Condiciones del dispositivo
| Configuración | Cómo se usa |
|---|---|
| Dispositivos con jailbreak o rooting | Especifique si desea bloquear el acceso al dispositivo o borrar los datos del dispositivo para los dispositivos con jailbreak o rooteados. Las acciones incluyen:
|
| Versión mínima del sistema operativo | Especifique un sistema operativo Android mínimo necesario para usar esta aplicación. Las versiones del sistema operativo inferiores a la versión mínima del sistema operativo especificada desencadenarán las acciones. Las acciones incluyen:
|
| Versión máxima del sistema operativo | Especifique un sistema operativo Android máximo necesario para usar esta aplicación. Las versiones del sistema operativo inferiores a la versión máxima del sistema operativo especificada desencadenarán las acciones. Las acciones incluyen:
|
| Versión de revisión mínima | Requerir que los dispositivos tengan una revisión de seguridad mínima de Android publicada por Google.
|
| Fabricantes de dispositivos | Especifique una lista separada por punto y coma de fabricantes. Estos valores no distinguen entre mayúsculas y minúsculas. Las acciones incluyen:
|
| Veredicto de integridad de juego | Protección de aplicaciones directivas admiten algunas de las API de integridad de Google Play. En concreto, esta configuración configura la comprobación de play integrity de Google en los dispositivos de usuario final para validar la integridad de esos dispositivos. Especifique la integridad básica o la integridad básica y la integridad del dispositivo. La integridad básica le indica la integridad general del dispositivo. Los dispositivos arraigados, los emuladores, los dispositivos virtuales y los dispositivos con signos de manipulación fallan en la integridad básica. La integridad básica & dispositivos certificados le indica la compatibilidad del dispositivo con los servicios de Google. Sólo los dispositivos no modificados que han sido certificados por Google pueden pasar esta comprobación. Si selecciona Reproducir veredicto de integridad según sea necesario para el inicio condicional, puede especificar que se use una comprobación de integridad segura como tipo de evaluación. La presencia de una comprobación de integridad segura, ya que el tipo de evaluación indicará una mayor integridad de un dispositivo. La directiva MAM bloqueará los dispositivos que no admitan comprobaciones de integridad seguras si están destinados a esta configuración. La comprobación de integridad sólida proporciona una detección raíz más sólida en respuesta a los tipos más recientes de herramientas y métodos de rooteo que no siempre se pueden detectar de forma confiable mediante una solución de solo software. En APP, la atestación de hardware se habilitará estableciendo El tipo de evaluación de veredicto de integridad de Play en Comprobar la integridad segura una vez configurado el veredicto de integridad de Play y el tipo de evaluación de SafetyNet requerido para comprobar la integridad fuerte una vez configurada la comprobación de integridad del dispositivo . La atestación respaldada por hardware aprovecha un componente basado en hardware que se incluye con dispositivos instalados con Android 8.1 y versiones posteriores. Es poco probable que los dispositivos que se actualizaron desde una versión anterior de Android a Android 8.1 tengan los componentes basados en hardware necesarios para la atestación basada en hardware. Aunque esta configuración debe ser ampliamente compatible a partir de los dispositivos que se suministran con Android 8.1, Microsoft recomienda encarecidamente probar los dispositivos individualmente antes de habilitar esta configuración de directiva en general. Importante: Los dispositivos que no admiten este tipo de evaluación se bloquearán o borrarán en función de la acción Comprobación de integridad del dispositivo. Las organizaciones que quieran usar esta funcionalidad deberán asegurarse de que los usuarios tengan dispositivos compatibles. Para obtener más información sobre los dispositivos recomendados de Google, consulte Requisitos recomendados de Android Enterprise. Las acciones incluyen:
|
| Requerir examen de amenazas en aplicaciones | Protección de aplicaciones directivas admiten algunas de las API de Google Play Protect. Esta configuración, en particular, garantiza que el examen Comprobar aplicaciones de Google esté activado para los dispositivos del usuario final. Si se ha configurado, se bloqueará el acceso al usuario hasta que se active el examen de aplicaciones de Google en su dispositivo Android. Las acciones incluyen:
|
| Tipo de evaluación SafetyNet requerido | La atestación respaldada por hardware mejora la comprobación del servicio de atestación SafetyNet existente. Puede establecer el valor en Clave respaldada por hardware después de establecer la atestación del dispositivo SafteyNet. |
| Requerir bloqueo de dispositivo | Esta configuración determina si el dispositivo Android tiene un PIN de dispositivo que cumple el requisito mínimo de contraseña. La directiva de Protección de aplicaciones puede tomar medidas si el bloqueo del dispositivo no cumple el requisito mínimo de contraseña.
Entre los valores se incluyen:
Este valor de complejidad está destinado a Android 12+. En el caso de los dispositivos que funcionan en Android 11 y versiones anteriores, si se establece un valor de complejidad bajo, medio o alto, el comportamiento esperado será bajo. Para obtener más información, consulte la documentación para desarrolladores de Google getPasswordComplexity, PASSWORD_COMPLEXITY_LOW, PASSWORD_COMPLEXITY_MEDIUM y PASSWORD_COMPLEXITY_HIGH. Las acciones incluyen:
|
| Versión mínima Portal de empresa | Mediante el uso de la versión min Portal de empresa, puede especificar una versión definida mínima específica de la Portal de empresa que se aplica en un dispositivo de usuario final. Esta configuración de inicio condicional permite establecer valores en Bloquear acceso, Borrar datos y Advertir como posibles acciones cuando no se cumple cada valor. Los formatos posibles para este valor siguen el patrón [Principal].[ Minor], [Major].[ Menor]. [Compilación], o [Principal].[ Menor]. [Compilación]. [Revisión]. Dado que es posible que algunos usuarios finales no prefieran una actualización forzada de aplicaciones en el lugar, la opción "advertir" puede ser ideal al configurar esta configuración. Google Play Store hace un buen trabajo de enviar solo los bytes delta para las actualizaciones de la aplicación, pero esto puede seguir siendo una gran cantidad de datos que el usuario puede no desear utilizar si se encuentran en los datos en el momento de la actualización. Forzar una actualización y, por tanto, descargar una aplicación actualizada podría dar lugar a cargos de datos inesperados en el momento de la actualización. Para obtener más información, consulte Configuración de directivas de Android. |
| Antigüedad máxima de la versión Portal de empresa (días) | Puede establecer un número máximo de días como la antigüedad de la versión de Portal de empresa (CP) para dispositivos Android. Esta configuración garantiza que los usuarios finales se encuentren dentro de un determinado intervalo de versiones de CP (en días). El valor debe estar entre 0 y 365 días. Cuando no se cumple la configuración de los dispositivos, se desencadena la acción de esta configuración. Entre las acciones se incluyen Bloquear acceso, Borrar datos o Advertir. Para obtener información relacionada, consulte Configuración de directivas de Android. Nota: La antigüedad de la compilación de Portal de empresa la determina Google Play en el dispositivo del usuario final. |
| Atestación de dispositivos Samsung Knox | Especifique si se requiere la comprobación de atestación del dispositivo Samsung Knox. Solo los dispositivos sin modificar comprobados por Samsung pueden pasar esta comprobación. Para obtener la lista de dispositivos compatibles, consulte samsungknox.com. Con esta configuración, Microsoft Intune también comprobará la comunicación desde el Portal de empresa al servicio Intune que se envió desde un dispositivo en buen estado. Las acciones incluyen:
Nota: El usuario debe aceptar los términos de Samsung Knox antes de que se pueda realizar la comprobación de atestación del dispositivo. Si el usuario no acepta los términos de Samsung Knox, se producirá la acción especificada. Nota: Esta configuración se aplicará a todos los dispositivos de destino. Para aplicar esta configuración solo a dispositivos Samsung, puede usar filtros de asignación "Aplicaciones administradas". Para obtener más información sobre los filtros de asignación, consulte Uso de filtros al asignar aplicaciones, directivas y perfiles en Microsoft Intune. |
| Nivel máximo de amenazas de dispositivo permitido | Las directivas de protección de aplicaciones pueden aprovechar el conector de MTD de Intune. Especifique un nivel de amenaza máximo aceptable para usar esta aplicación. Las amenazas vienen determinadas por la aplicación de proveedor de Mobile Threat Defense (MTD) que se haya seleccionado en el dispositivo del usuario final. Especifique Protegido, Bajo, Medio o Alto. El nivel Protegido no requiere ninguna amenaza en el dispositivo y es el valor configurable más restrictivo, mientras que Alto requiere básicamente una conexión activa de Intune a MTD. Las acciones incluyen:
|
| Servicio MTD principal | Si ha configurado varios conectores Intune-MTD, especifique la aplicación de proveedor de MTD principal que se debe usar en el dispositivo del usuario final.
Entre los valores se incluyen:
Debe configurar la opción "Nivel máximo de amenaza de dispositivo permitido" para usar esta configuración. No hay ninguna acción para esta configuración. |