Guida alla distribuzione: Gestire i dispositivi Android in Microsoft Intune

  • Articolo

Intune supporta la gestione dei dispositivi mobili (MDM) dei dispositivi Android per consentire agli utenti l'accesso sicuro alla posta elettronica aziendale, ai dati e alle app. Questa guida fornisce risorse specifiche di Android per configurare la registrazione in Intune e distribuire app e criteri a utenti e dispositivi.

Prerequisiti

Prima di iniziare, completare questi prerequisiti per abilitare la gestione dei dispositivi Android in Intune. Per informazioni più dettagliate su come configurare, eseguire l'onboarding o passare a Intune, vedere la guida alla distribuzione della configurazione di Intune.

Pianificare la distribuzione

Usare la guida alla pianificazione Microsoft Intune per informazioni sulla pianificazione, la progettazione e l'implementazione di Microsoft Intune nell'organizzazione. La guida fornisce informazioni utili per:

  • Determinare obiettivi, scenari di casi d'uso e requisiti.
  • Creare piani di implementazione e comunicazione.
  • Creare piani di supporto, test e convalida.

Importante

Microsoft Intune termina il supporto per la gestione degli amministratori di dispositivi Android nei dispositivi con accesso a Google Mobile Services (GMS) il 30 agosto 2024. Dopo tale data, la registrazione del dispositivo, il supporto tecnico, le correzioni di bug e le correzioni di sicurezza non saranno disponibili. Se attualmente si usa la gestione dell'amministratore dei dispositivi, è consigliabile passare a un'altra opzione di gestione Android in Intune prima della fine del supporto. Per altre informazioni, vedere Supporto finale per l'amministratore di dispositivi Android nei dispositivi GMS.

Creare regole di conformità

Usare i criteri di conformità per definire le regole e le condizioni che utenti e dispositivi devono soddisfare per accedere alle risorse protette dell'organizzazione. È anche possibile creare criteri di accesso condizionale, che funzionano insieme ai risultati di conformità del dispositivo per bloccare l'accesso alle risorse da dispositivi non conformi. Per una spiegazione dettagliata sui criteri di conformità e su come iniziare, vedere Usare i criteri di conformità per impostare le regole per i dispositivi gestiti con Intune.

Le attività seguenti si applicano sia alle piattaforme android enterprise che agli amministratori di dispositivi Android.

Attività Dettagli
Creare i criteri di conformità Istruzioni dettagliate su come creare e assegnare criteri di conformità a gruppi di utenti e dispositivi.
Aggiungere azioni per la mancata conformità Scegliere cosa accade quando i dispositivi non soddisfano più le condizioni dei criteri di conformità. È possibile aggiungere azioni per la non conformità quando si configurano un criterio di conformità dei dispositivi o in un secondo momento modificando il criterio.
Creare criteri di accesso condizionale basati su dispositivi o app . Specificare l'app o i servizi da proteggere e definire le condizioni per l'accesso.
Bloccare l'accesso alle app che non usano l'autenticazione moderna Creare criteri di accesso condizionale basati su app per bloccare le app che usano metodi di autenticazione diversi da OAuth2. Ad esempio, è possibile bloccare le app che usano l'autenticazione di base e basata su moduli. Prima di bloccare qualsiasi accesso, accedere a Microsoft Entra ID ed esaminare il report attività sui metodi di autenticazione per verificare se gli utenti usano l'autenticazione di base per accedere a elementi essenziali (ad esempio i chioschi del calendario della sala riunioni) dimenticati o non a conoscenza.

Configurare la sicurezza degli endpoint

Usare le funzionalità di sicurezza degli endpoint di Intune per configurare la sicurezza dei dispositivi e gestire le attività di sicurezza per i dispositivi a rischio.

Le attività seguenti si applicano sia alle piattaforme android enterprise che agli amministratori di dispositivi Android.

Attività Dettagli
Gestire i dispositivi con le funzionalità di sicurezza degli endpoint Usare le impostazioni di sicurezza degli endpoint in Intune per gestire in modo efficace la sicurezza dei dispositivi e correggere i problemi per i dispositivi.
Abilitare il connettore mobile threat defense (MTD) per i dispositivi registrati Abilitare la connessione MTD in Intune in modo che le app partner MTD possano funzionare con Intune e i criteri di conformità dei dispositivi MTD. Se non si usa Microsoft Defender per endpoint, è consigliabile abilitare il connettore in modo da poter usare un'altra soluzione mobile di difesa dalle minacce. È anche possibile abilitare il connettore MTD per i dispositivi non registrati in Intune.
Creare criterio di protezione delle app MTD Creare un criterio di protezione delle app Intune che valuta i rischi e limita l'accesso di un dispositivo alle app aziendali o dell'istituto di istruzione.
Creare criteri di conformità dei dispositivi MTD Creare criteri di protezione delle app di Intune che valutano i rischi e limitano l'accesso aziendale di un dispositivo in base al livello di minaccia.
Aggiungere e assegnare app MTD Aggiungere e distribuire app MTD in Intune. Queste app funzionano con i criteri di conformità e protezione delle app del dispositivo per identificare e correggere le minacce dei dispositivi. È anche possibile assegnare app MTD ai dispositivi non registrati in Intune.

Configurare le impostazioni del dispositivo

Usare Microsoft Intune per abilitare o disabilitare le impostazioni e le funzionalità nei dispositivi. Per configurare e applicare queste impostazioni, creare un profilo di dispositivo e quindi assegnare il profilo ai gruppi dell'organizzazione. I dispositivi ricevono il profilo dopo la registrazione.

Attività Dettagli Piattaforma
Creare un profilo di dispositivo in Microsoft Intune Informazioni sui diversi tipi di profili di dispositivo che è possibile creare per l'organizzazione. Android Enterprise, amministratore di dispositivi Android
Configurare il profilo Wi-Fi Questo profilo consente alle persone di trovare e connettersi alla rete Wi-Fi dell'organizzazione. Per una descrizione delle impostazioni in questa area, vedere le informazioni di riferimento sulle impostazioni di Wi-Fi per le impostazioni di Android Enterprise Wi-Fi o le impostazioni di amministratore di dispositivi Android Wi-Fi. Android Enterprise, amministratore di dispositivi Android
Configurare il profilo VPN Configurare un'opzione VPN sicura, ad esempio Microsoft Tunnel, per le persone che si connettono alla rete dell'organizzazione. Per una descrizione delle impostazioni in questa area, vedere le informazioni di riferimento sulle impostazioni VPN per le impostazioni VPN android enterprise o le impostazioni VPN dell'amministratore di dispositivi Android. Android Enterprise, amministratore di dispositivi Android
Configurare il profilo di posta elettronica Configurare le impostazioni di posta elettronica in modo che gli utenti possano connettersi a un server di posta elettronica e accedere alla posta elettronica aziendale o dell'istituto di istruzione. Per una descrizione delle impostazioni in questa area, vedere Impostazioni di posta elettronica Android Enterprise o Impostazioni di posta elettronica dell'amministratore del dispositivo Android. Android Enterprise, amministratore di dispositivi Android
Limitare le funzionalità del dispositivo Proteggi gli utenti da accessi non autorizzati e distrazioni limitando le funzionalità dei dispositivi che possono usare al lavoro o a scuola. Per una descrizione delle impostazioni in questa area, vedere Impostazioni dei dispositivi Android Enterprise o Impostazioni del dispositivo amministratore di dispositivi Android. Android Enterprise, amministratore di dispositivi Android
Configurare le impostazioni personalizzate per l'amministratore di dispositivi Android Aggiungere o creare impostazioni personalizzate non incorporate in Intune, ad esempio un profilo VPN per app e una protezione Web con Microsoft Defender per endpoint. Amministratore del dispositivo Android
Configurare le app Samsung Knox Creare un profilo personalizzato per consentire e bloccare le app per i dispositivi Samsung Knox Standard. Amministratore del dispositivo Android
Creare un profilo personalizzato per Android Enterprise Aggiungere o creare impostazioni personalizzate non incorporate in Intune per i dispositivi di proprietà personale. Android Enterprise
Configurare il profilo MX (Zebra Mobility Extensions) Usare i profili MX (Mobility Extensions) di Zebra per personalizzare o aggiungere altre impostazioni specifiche di Zebra in Intune. Amministratore del dispositivo Android
Creare un profilo di configurazione OEMConfig Usare OEMConfig per aggiungere, creare e personalizzare le impostazioni specifiche dell'OEM per i dispositivi Android Enterprise. Android Enterprise
Personalizzare l'esperienza di personalizzazione e registrazione Personalizzare le app Portale aziendale Intune e Microsoft Intune con la personalizzazione dell'organizzazione per creare un'esperienza familiare per gli utenti che registrano i dispositivi. Android Enterprise, amministratore di dispositivi Android

Configurare metodi di autenticazione sicuri

Configurare i metodi di autenticazione in Intune per assicurarsi che solo gli utenti autorizzati accedano alle risorse interne. Intune supporta l'autenticazione a più fattori, i certificati SCEP e PKCS e le credenziali derivate. I certificati possono essere usati anche per la firma e la crittografia della posta elettronica tramite S/MIME.

Attività Dettagli Piattaforma
Richiedere l'autenticazione a più fattori (MFA) Richiedere agli utenti di fornire due forme di credenziali al momento della registrazione. Android Enterprise
Creare un profilo certificato attendibile Creare e distribuire un profilo di certificato attendibile prima di creare un profilo di certificato SCEP o PKCS oppure un profilo di certificato PKCS importato. Il profilo certificato attendibile distribuisce il certificato radice attendibile ai dispositivi usando i certificati importati SCEP, PKCS e PKCS. Android Enterprise, amministratore di dispositivi Android
Usare i certificati SCEP con Intune Informazioni su cosa è necessario per usare i certificati SCEP con Intune e configurare l'infrastruttura necessaria. Successivamente, è possibile creare un profilo certificato SCEP o configurare un'autorità di certificazione di terze parti con SCEP. Android Enterprise
Usare certificati PKCS con Intune Configurare l'infrastruttura necessaria (ad esempio i connettori di certificato locali), esportare un certificato PKCS e aggiungere il certificato a un profilo di configurazione del dispositivo Intune. Android Enterprise, amministratore di dispositivi Android
Usare i certificati PKCS importati con Intune Configurare i certificati PKCS importati, che consentono di configurare e usare S/MIME per crittografare la posta elettronica. Android Enterprise, amministratore di dispositivi Android
Configurare un’emittente di credenziali derivate Effettuare il provisioning di dispositivi Android con certificati derivati da smart card utente. Android Enterprise

Distribuire le app

Quando si configurano le app e i criteri delle app, considerare i requisiti dell'organizzazione, ad esempio le piattaforme supportate, le attività che gli utenti devono eseguire, il tipo di app necessarie per completare tali attività e i gruppi che ne hanno bisogno. È possibile usare Intune per gestire l'intero dispositivo (incluse le app) o usare Intune solo per gestire le app.

Attività Dettagli Piattaforma
Aggiungere app di Google Play Store Aggiungere app Android da Google Play Store. Amministratore del dispositivo Android
Aggiungere app Google Play gestite Aggiungere app dello Store, app line-of-business (LOB) e app Web tramite Google Play Store gestito. Android Enterprise
Aggiungere app di sistema Android Enterprise Usare Intune per abilitare e disabilitare le app di sistema Android Enterprise. Android Enterprise
Aggiungere app Web Aggiungere app Web a Intune e assegnarle ai gruppi. Amministratore del dispositivo Android
Aggiungere app predefinite Aggiungere app predefinite a Intune e assegnarle ai gruppi. Android Enterprise, amministratore di dispositivi Android
Aggiungere app line-of-business Aggiungere app line-of-business Android (LOB) per Intune e assegnare ai gruppi. Amministratore del dispositivo Android
Assegnare app ai gruppi Assegnare app a utenti e dispositivi. Android Enterprise, amministratore di dispositivi Android
Includere ed escludere le assegnazioni di app Controllare l'accesso e la disponibilità a un'app includendo ed escludendo i gruppi selezionati dall'assegnazione. Android Enterprise, amministratore di dispositivi Android
Creare criteri di protezione delle app Android Mantenere i dati dell'organizzazione contenuti all'interno di app gestite come Outlook e Word. Per informazioni dettagliate su ogni impostazione, vedere Impostazioni dei criteri di protezione delle app Android. Android Enterprise, amministratore di dispositivi Android
Convalidare i criteri di protezione delle app Verificare che i criteri di protezione delle app siano configurati e funzionano correttamente prima di distribuirli a livello di organizzazione. Android Enterprise, amministratore di dispositivi Android
Creare criteri di configurazione delle app Applicare impostazioni di configurazione personalizzate alle app Android nei dispositivi registrati. È anche possibile applicare questi tipi di criteri alle app gestite, senza registrazione del dispositivo. Android Enterprise, amministratore di dispositivi Android
Configurare Microsoft Edge Usare Intune criteri di configurazione e protezione delle app con Microsoft Edge per Android per garantire l'accesso ai siti Web aziendali con misure di sicurezza. Android Enterprise, amministratore di dispositivi Android
Configurare Google Chrome Usare un criterio di configurazione dell'app Intune per configurare Google Chrome nei dispositivi Android registrati in Intune. Android Enterprise
Configurare l'app Microsoft Schermata iniziale gestita Configurare Schermata iniziale gestita nei dispositivi android enterprise dedicati di proprietà dell'azienda registrati tramite Intune ed in esecuzione in modalità tutto schermo multi-app. Android Enterprise
Configurare l'app Microsoft Launcher Configurare Microsoft Launcher per personalizzare l'esperienza della schermata iniziale nei dispositivi completamente gestiti dell'organizzazione. Android Enterprise
Configurare le app Microsoft Office Usare i criteri di configurazione e di protezione delle app di Intune con le app di Office per garantire l'accesso ai file aziendali con misure di sicurezza. Android Enterprise
Configurare Microsoft Teams Usare i criteri di configurazione e protezione delle app di Intune con Teams per garantire l'accesso alle esperienze del team di collaborazione con misure di sicurezza. Android Enterprise
Configurare Microsoft Outlook Usare i criteri di configurazione e protezione delle app di Intune con Outlook per garantire l'accesso alla posta elettronica e ai calendari aziendali con misure di sicurezza. Android Enterprise

Registrare i dispositivi

La registrazione dei dispositivi consente di ricevere i criteri creati, in modo che i gruppi di utenti e i gruppi di dispositivi Microsoft Entra siano pronti.

Intune supporta i metodi di registrazione seguenti per i dispositivi Android:

  • Bring-your-own-device (BYOD): dispositivi Android Enterprise di proprietà personale con un profilo di lavoro
  • Dispositivi dedicati di proprietà dell'azienda Android Enterprise
  • Android Enterprise di proprietà aziendale completamente gestita
  • Profilo di lavoro di proprietà dell'azienda Android Enterprise
  • Amministratore del dispositivo Android

Per informazioni su ogni metodo di registrazione e su come sceglierne uno adatto all'organizzazione, vedere la guida alla registrazione dei dispositivi Android per Microsoft Intune.

Attività Dettagli Piattaforma
Connettere Intune account all'account Google Play gestito Per abilitare la gestione di Android Enterprise in Intune, connettere l'account tenant Intune all'account Google Play gestito. Android Enterprise
Configurare la registrazione del profilo di lavoro per i dispositivi di proprietà personale Configurare la gestione dei profili di lavoro per i dispositivi di proprietà personale. Questo metodo di registrazione crea un'area separata nel dispositivo per i dati relativi al lavoro in modo che gli elementi personali rimangano inalterati. Android Enterprise
Configurare la registrazione del profilo di lavoro per i dispositivi di proprietà dell'azienda Configurare la gestione dei profili di lavoro per i dispositivi di proprietà dell'azienda destinati all'uso aziendale e personale. Questo metodo di registrazione crea un'area separata nel dispositivo per i dati relativi al lavoro in modo che gli elementi personali rimangano inalterati. Android Enterprise
Configurare la registrazione per i dispositivi dedicati Configurare la registrazione per i dispositivi di proprietà dell'azienda, a uso singolo e in modalità tutto schermo. Android Enterprise
Configurare la registrazione per i dispositivi completamente gestiti Configurare la registrazione per i dispositivi di proprietà dell'azienda associati a un singolo utente e usati esclusivamente per il lavoro. Android Enterprise
Registrare dispositivi dedicati, completamente gestiti o di proprietà dell'azienda Dopo aver configurato Intune per la registrazione android enterprise, registrare i dispositivi usando uno dei cinque metodi di registrazione supportati. Android Enterprise
Configurare la registrazione di tipo amministratore di dispositivi Configurare la registrazione dell'amministratore di dispositivi Android. Questo metodo di gestione dei dispositivi è stato sostituito da Android Enterprise, quindi non è consigliabile registrare nuovi dispositivi in questo modo. Amministratore del dispositivo Android
Usare Samsung Knox Mobile Enrollment per registrare automaticamente i dispositivi Android Configurare Intune per Samsung Knox Mobile Enrollment (KME), che consente di registrare automaticamente un numero elevato di dispositivi Android di proprietà dell'azienda. Android Enterprise, amministratore di dispositivi Android
Identificare i dispositivi di proprietà dell'azienda Assegnare lo stato di proprietà dell'azienda ai dispositivi per abilitare più funzionalità di gestione e identificazione in Intune. Lo stato di proprietà dell'azienda non può essere assegnato ai dispositivi registrati tramite Apple Business Manager. Android Enterprise, amministratore di dispositivi Android
Modificare la proprietà del dispositivo Dopo aver registrato un dispositivo, è possibile modificarne l'etichetta di proprietà in Intune in proprietà aziendale o personale. Questa modifica il modo in cui è possibile gestire il dispositivo. Android Enterprise, amministratore di dispositivi Android
Risolvere i problemi di registrazione Risolvere e trovare le soluzioni ai problemi che si verificano durante la registrazione. Android Enterprise, amministratore di dispositivi Android

Eseguire azioni remote

Dopo aver configurato i dispositivi, è possibile usare le azioni remote in Intune per gestire e risolvere i problemi dei dispositivi a distanza. La disponibilità varia in base alla piattaforma del dispositivo. Se un'azione è assente o disabilitata nel portale, non è supportata nel dispositivo.

Attività Dettagli
Eseguire azioni remote in Intune Informazioni su come eseguire il drill-down e gestire e risolvere i problemi dei singoli dispositivi in Intune in remoto. Questo articolo elenca tutte le azioni remote disponibili in Intune e i collegamenti a tali procedure.
Correggere le vulnerabilità identificate da Microsoft Defender per endpoint Integrare Intune con Microsoft Defender per endpoint per sfruttare le gestione di minacce e vulnerabilità di Defender e usare Intune per correggere i punti deboli degli endpoint identificati dalla funzionalità di gestione delle vulnerabilità di Defender.
Cancellare i dati aziendali dalle app gestite da Intune Rimuovere in modo selettivo i dati correlati al lavoro da un dispositivo.

Passaggi successivi

Vedere queste esercitazioni sulla registrazione per informazioni su come eseguire alcune delle attività principali in Intune. Le esercitazioni sono un contenuto di 100 – 200 livelli per gli utenti che non hanno esperienza in Intune o uno scenario specifico.

Per la versione iOS/iPadOS di questa guida, vedere Guida alla distribuzione: Gestire i dispositivi iOS/iPadOS in Microsoft Intune.