Preparare le app Android per i criteri di protezione delle app con il Intune App Wrapping Tool

Usare l'Microsoft Intune App Wrapping Tool per Android per modificare il comportamento delle app Android interne limitando le funzionalità dell'app senza modificare il codice dell'app stessa.

Lo strumento è un'applicazione da riga di comando di Windows che viene eseguita in PowerShell e crea un wrapper per l'app Android. Dopo aver eseguito il wrapping dell'app, è possibile modificarne la funzionalità configurando i criteri di gestione delle applicazioni mobili in Intune.

Prima di eseguire lo strumento, esaminare le considerazioni sulla sicurezza per l'esecuzione dello App Wrapping Tool. Per scaricare lo strumento, passa all'Microsoft Intune App Wrapping Tool per Android su GitHub.

Nota

Se hai problemi a usare il Intune App Wrapping Tool con le tue app, invia una richiesta di assistenza su GitHub.

Soddisfano i prerequisiti per l'uso di App Wrapping Tool

  • L'app deve usare raccolte aggiornate

  • L'app deve essere compatibile con i requisiti di Google Play

  • Se l'app è complessa, deve essere integrata con l'SDK app Intune per Android

  • È necessario eseguire lo App Wrapping Tool in un computer Windows che esegue Windows 10 o versioni successive.

  • L'app di input deve essere un pacchetto di applicazione Android valido con l'estensione file .apk e:

    • Non può essere crittografato.
    • Non deve essere stato precedentemente incapsulato dal Intune App Wrapping Tool.
    • Deve essere scritto per Android 9.0 o versione successiva.

    Nota

    Se l'app di input è un Android App Bundle (.aab), sarà necessario convertirla in un APK prima di utilizzare l'Intune App Wrapping Tool. Per informazioni dettagliate, vedi Convertire Android App Bundle (AAB) in APK. A partire da agosto 2021, le nuove app private possono ancora essere pubblicate in Google Play Store come APK.

  • L'app deve essere sviluppata da o per la tua azienda. Non puoi usare questo strumento sulle app disponibili in Google Play Store. Ciò include il download o l'ottenimento dell'app da Google Play Store.

  • Per eseguire App Wrapping Tool, è necessario installare la versione più recente di Java Runtime Environment e quindi verificare che la variabile di percorso Java sia stata impostata su C:\ProgramData\Oracle\Java\javapath nelle variabili di ambiente di Windows. Per ulteriore assistenza, vedere la documentazione di Java.

    Nota

    In alcuni casi, la versione a 32 bit di Java può causare problemi di memoria. È consigliabile installare la versione a 64 bit.

  • Android richiede che tutti i pacchetti dell'app (.apk) siano firmati. Per il riutilizzo dei certificati esistenti e le indicazioni generali sui certificati di firma, vedere Riutilizzo dei certificati di firma e wrapping delle app. Dopo aver avvolto il file .apk utilizzando il Intune App Wrapping Tool, la raccomandazione è di utilizzare lo strumento Apksigner fornito da Google. In questo modo, una volta che l'app raggiunge i dispositivi degli utenti finali, potrà essere avviata correttamente per gli standard Android.

  • (Facoltativo) A volte un'app può raggiungere il limite di dimensioni del file eseguibile Dalvik (DEX) a causa delle classi Intune MAM SDK aggiunte durante il wrapping. I file DEX fanno parte della compilazione di un'app Android. Il Intune App Wrapping Tool gestisce automaticamente l'overflow dei file DEX durante il wrapping per le app con un livello API minimo di 21 o superiore (a partire dalla versione 1.0.2501.1). Per le app con un livello API min pari < a 21, la procedura consigliata consiste nell'aumentare il livello API min usando il flag del -UseMinAPILevelForNativeMultiDex wrapper. Per i clienti che non sono in grado di aumentare il livello API minimo dell'app, sono disponibili le seguenti soluzioni alternative per l'overflow DEX. In alcune organizzazioni, ciò può richiedere di collaborare con chiunque compili l'app (ad esempio il team di compilazione dell'app):

    • Usa ProGuard per eliminare i riferimenti di classe inutilizzati dal file DEX primario dell'app.
    • Per i clienti che utilizzano la versione 3.1.0 o successiva del plug-in Android Gradle, disabilitare il dexer D8.

Con quale frequenza devo reavvolgere la mia applicazione Android con il Intune App Wrapping Tool?

Gli scenari principali in cui sarebbe necessario eseguire il rewrapping delle applicazioni sono i seguenti:

  • L'applicazione stessa ha rilasciato una nuova versione. La versione precedente dell'app è stata incapsulata e caricata nell'interfaccia di amministrazione di Microsoft Intune.

  • Il Intune App Wrapping Tool per Android ha rilasciato una nuova versione che consente di correggere bug chiave o nuove funzionalità specifiche per i criteri di protezione delle applicazioni Intune. Questo accade ogni 6-8 settimane tramite il repository GitHub per il Microsoft Intune App Wrapping Tool per Android.

Alcune procedure consigliate per il rewrapping includono:

Installare lo App Wrapping Tool

  1. Dal repository GitHub scarica il file di installazione InstallAWT.exe per Intune App Wrapping Tool per Android in un computer Windows. Apri il file di installazione.

  2. Accettare il contratto di licenza, quindi completare l'installazione.

Prendere nota della cartella in cui è stato installato lo strumento. Il percorso predefinito è: C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool.

Eseguire lo App Wrapping Tool

Importante

Intune rilascia regolarmente aggiornamenti per il Intune App Wrapping Tool. Controllare regolarmente la Intune App Wrapping Tool per Android per gli aggiornamenti da incorporare nel ciclo di rilascio dello sviluppo software per assicurarsi che le app supportino le impostazioni più recenti dei criteri di protezione delle app.

  1. Nel computer Windows in cui è stato installato lo App Wrapping Tool aprire una finestra di PowerShell.

  2. Dalla cartella in cui è stato installato lo strumento, importare il modulo PowerShell di App Wrapping Tool:

    Import-Module .\IntuneAppWrappingTool.psm1

  3. Eseguire lo strumento usando il comando invoke-AppWrappingTool , che ha la seguente sintassi di utilizzo:

    Invoke-AppWrappingTool [-InputPath] <String> [-OutputPath] <String> [<CommonParameters>]

    La tabella seguente illustra in dettaglio le proprietà del comando invoke-AppWrappingTool :

Proprietà Informazioni
- Percorso di< inputStringa> Percorso dell'app Android di origine (.apk).
- Percorso di uscita<Stringa> Percorso dell'app Android di output. Se questo è lo stesso percorso di directory di InputPath, la creazione del pacchetto avrà esito negativo.
<CommonParameters> (Facoltativo) Il comando supporta parametri comuni di PowerShell, ad esempio verbose e debug.

  • Per un elenco dei parametri comuni, vedere Microsoft Script Center.

  • Per visualizzare informazioni dettagliate sull'uso dello strumento, immetti il comando:

    Help Invoke-AppWrappingTool

Esempio:

Importare il modulo PowerShell.

Import-Module "C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool\IntuneAppWrappingTool.psm1"

Esegui il App Wrapping Tool nell'app nativa HelloWorld.apk.

invoke-AppWrappingTool -InputPath .\app\HelloWorld.apk -OutputPath .\app_wrapped\HelloWorld_wrapped.apk -Verbose

L'app di cui è stato eseguito il wrapping e un file di log vengono generati e salvati nel percorso di output specificato.

Riutilizzo dei certificati di firma e wrapping delle app

Android richiede che tutte le app debbano essere firmate da un certificato valido per poter essere installate sui dispositivi Android.

Le app di cui è stato eseguito il wrapping possono essere firmate dopo il wrapping usando gli strumenti di firma esistenti (tutte le informazioni di firma nell'app prima del wrapping vengono eliminate). Se possibile, le informazioni di firma già usate durante il processo di compilazione dovrebbero essere usate durante il wrapping. In alcune organizzazioni, ciò può richiedere di collaborare con chiunque sia proprietario delle informazioni dell'archivio chiavi (ad esempio il team di compilazione dell'app).

Se non è possibile usare il certificato di firma precedente o se l'app non è stata distribuita prima, puoi creare un nuovo certificato di firma seguendo le istruzioni nella Guida per sviluppatori Android.

Se l'app è stata distribuita in precedenza con un certificato di firma diverso, l'app non può essere caricata in Intune dopo l'aggiornamento. Gli scenari di aggiornamento dell'app verranno interrotti se l'app è firmata con un certificato diverso da quello con cui è stata creata l'app. Di conseguenza, tutti i nuovi certificati di firma devono essere mantenuti per gli aggiornamenti delle app.

Considerazioni sulla sicurezza per l'esecuzione dello App Wrapping Tool

Per prevenire potenziali attacchi di spoofing, divulgazione di informazioni e elevazione dei privilegi:

  • Verificare che l'applicazione line-of-business (LOB) di input e l'applicazione di output si trovino nello stesso computer Windows in cui è in esecuzione lo App Wrapping Tool.

  • Importare l'applicazione di output in Intune nello stesso computer in cui è in esecuzione lo strumento. Vedi keytool per ulteriori informazioni su Java keytool.

  • Se l'applicazione di output e lo strumento si trovano su un percorso UNC (Universal Naming Convention) e lo strumento e i file di input non vengono eseguiti nello stesso computer, configurare l'ambiente in modo che sia sicuro utilizzando la firma IPsec (Internet Protocol Security) o SMB (Server Message Block).

  • Assicurarsi che l'applicazione provenga da un'origine attendibile.

  • Proteggere la directory di output con l'app di cui è stato eseguito il wrapping. È consigliabile usare una directory a livello di utente per l'output.

Converti Android App Bundle (AAB) in APK

Attualmente il Intune App Wrapping Tool supporta solo input APK. I bundle di app Android devono prima essere convertiti in un APK per poter essere utilizzati con lo strumento.

Un bundle di app Android può essere convertito in un APK utilizzando lo strumento da riga di comando di Google, bundletool. L'ultima versione di può essere scaricata dal repository GitHub bundletool di bundle-tool Google.

bundletoolpuò essere utilizzato per produrre un singolo APK universale da utilizzare con il Intune App Wrapping Tool utilizzando il seguente comando:

bundletool build-apks --bundle=input.aab --mode=universal --output=input.apks

Il .apks file di output è un archivio ZIP contenente un singolo file APK universale. Decomprimi l'archivio e usa il file APK come input per il Intune App Wrapping Tool.

Vedere anche

  • Last updated on