Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of mappen te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen om mappen te wijzigen.
In dit artikel worden de instellingen voor app-beveiligingsbeleid voor Android-apparaten beschreven. De beleidsinstellingen die worden beschreven, kunnen worden geconfigureerd voor een app-beveiligingsbeleid in het deelvenster Instellingen in de portal. Er zijn drie soorten beleidsinstellingen: instellingen voor gegevensbeveiliging, toegangsvereisten en voorwaardelijk starten. In dit artikel verwijst de term door beleid beheerde apps naar apps die zijn geconfigureerd met app-beveiligingsbeleid.
Belangrijk
De Intune-bedrijfsportal is vereist op het apparaat om app-beveiligingsbeleid voor Android-apparaten te kunnen ontvangen.
Gegevensbescherming
Gegevensoverdracht
| Instelling | Procedure | Standaardwaarde |
|---|---|---|
| Back-up maken van organisatiegegevens naar back-upservices voor Android | Selecteer Blokkeren om te voorkomen dat deze app een back-up maakt van werk- of schoolgegevens naar de Android Back-upservice. Selecteer Toestaan om deze app toe te staan een back-up te maken van werk- of schoolgegevens. |
Toestaan |
| Organisatiegegevens verzenden naar andere apps | Geef op welke apps gegevens van deze app kunnen ontvangen:
Er zijn een aantal vrijgestelde apps en services waarvoor Intune standaard gegevensoverdracht kan toestaan. Daarnaast kunt u uw eigen uitzonderingen maken als u wilt toestaan dat gegevens worden overgebracht naar een app die geen ondersteuning biedt voor Intune APP. Zie Uitzonderingen bij gegevensoverdracht voor meer informatie. Dit beleid kan ook van toepassing zijn op Android-app-koppelingen. Opmerking Intune biedt op dit moment geen ondersteuning voor de functie Android Instant Apps. Intune blokkeert elke gegevensverbinding naar of van de app. Zie Android Instant-apps in de Android-ontwikkelaarsdocumentatie voor meer informatie. Als het verzenden van organisatiegegevens naar andere apps is geconfigureerd voor Alle apps, kunnen tekstgegevens nog steeds worden overgedragen via het delen van het besturingssysteem naar het klembord. |
Alle apps |
|
Deze optie is beschikbaar wanneer u door beleid beheerde apps selecteert voor de vorige optie. | |
|
Kies Blokkeren om het gebruik van de optie Opslaan als in deze app uit te schakelen. Kies Toestaan als u het gebruik van Opslaan als wilt toestaan. Als deze optie is ingesteld op Blokkeren, kunt u de instelling Gebruiker toestaan kopieën op te slaan voor geselecteerde services configureren. Opmerking:
|
Toestaan |
|
Gebruikers kunnen bestanden opslaan in de geselecteerde services (OneDrive, SharePoint, Photo Library, Box, iManage, Egnyte en Local Storage). Alle andere services worden geblokkeerd. | 0 geselecteerd |
|
Wanneer een gebruiker een hyperlink telefoonnummer in een app selecteert, wordt een kies-app geopend waarin het telefoonnummer vooraf is ingevuld en klaar staat om te bellen. Kies voor deze instelling hoe dit type inhoudsoverdracht moet worden afgehandeld wanneer deze wordt gestart vanuit een app die wordt beheerd door een door beleid beheerde app:
|
Elke kiezer-app |
|
Wanneer een specifieke kiezer-app is geselecteerd, moet u de app-pakket-id opgeven. | Leeg |
|
Wanneer een specifieke kiezer-app is geselecteerd, moet u de naam van de kiezer-app opgeven. | Leeg |
|
Wanneer een gebruiker een hyperlink selecteert voor een berichten-app in een app, wordt een berichten-app geopend met het telefoonnummer vooraf ingevuld en klaar om een bericht te verzenden. Kies voor deze instelling hoe dit type inhoudsoverdracht moet worden afgehandeld wanneer deze wordt gestart vanuit een app die wordt beheerd door een door beleid beheerde app:
|
Een berichten-app |
|
Wanneer een specifieke berichten-app is geselecteerd, moet u de app-pakket-id opgeven. | Leeg |
|
Wanneer een specifieke berichten-app is geselecteerd, moet u de naam van de berichten-app opgeven. | Leeg |
| Gegevens ontvangen van andere apps | Opgeven welke apps gegevens kunnen overbrengen naar deze app:
Er zijn enkele vrijgestelde apps en services waarvoor Intune gegevensoverdracht kan toestaan. Zie Uitzonderingen voor gegevensoverdracht voor een volledige lijst met apps en services. |
Alle apps |
|
Selecteer Blokkeren om het gebruik van de optie Openen of andere opties voor het delen van gegevens tussen accounts in deze app uit te schakelen. Selecteer Toestaan als u het gebruik van Openen wilt toestaan. Als deze optie is ingesteld op Blokkeren , kunt u Toestaan dat gebruikers gegevens van geselecteerde services openen configureren om op te geven welke services zijn toegestaan voor organisatiegegevenslocaties. Opmerking:
|
Toestaan |
|
Selecteer de opslagservices voor toepassingen waaruit gebruikers gegevens kunnen openen. Alle andere services worden geblokkeerd. Als u geen services selecteert, voorkomt u dat gebruikers gegevens kunnen openen. Ondersteunde services:
|
Alles geselecteerd |
| Knippen, kopiëren en plakken tussen andere apps beperken | Geef aan wanneer knip-, kopieer- en plakacties kunnen worden gebruikt met deze app. U hebt de keuze uit:
|
Alle apps |
|
Opgeven hoeveel tekens uit de organisatiegegevens en -accounts kunnen worden geknipt of gekopieerd. Hierdoor kan het opgegeven aantal tekens worden gedeeld met een app, inclusief onbeheerde apps, wanneer deze anders zou worden geblokkeerd door de instelling 'Knippen, kopiëren en plakken met andere apps beperken'. Standaardwaarde = 0 Opmerking: vereist Intune-bedrijfsportal versie 5.0.4364.0 of hoger. |
0 |
| Schermopname en Google Assistant | Selecteer Blokkeren om schermopnamen te blokkeren, Cirkel blokkeren om te zoeken en de toegang van Google Assistant tot organisatiegegevens op het apparaat blokkeren wanneer je deze app gebruikt. Als u Blokkeren kiest, wordt de voorbeeldafbeelding van de App-switcher ook wazig wanneer u deze app gebruikt met een werk- of schoolaccount. Opmerking: De Google Assistent is mogelijk toegankelijk voor gebruikers in scenario's waarin geen toegang wordt gegeven tot organisatiegegevens. |
Toestaan |
| Goedgekeurde toetsenborden | Selecteer Vereisen en geef vervolgens een lijst met goedgekeurde toetsenborden voor dit beleid op. Gebruikers die geen goedgekeurd toetsenbord gebruiken, ontvangen een prompt om een goedgekeurd toetsenbord te downloaden en te installeren voordat ze de beveiligde app kunnen gebruiken. Voor deze instelling moet de app de Intune SDK hebben voor Android versie 6.2.0 of hoger. |
Niet vereist |
|
Deze optie is beschikbaar wanneer u Vereisen selecteert voor de vorige optie. Kies Selecteren om de lijst met toetsenborden en invoermethoden te beheren die kunnen worden gebruikt met apps die worden beveiligd door dit beleid. U kunt meer toetsenborden aan de lijst toevoegen en standaardopties verwijderen. U moet ten minste één goedgekeurd toetsenbord hebben om de instelling op te slaan. In de loop van de tijd kan Microsoft meer toetsenborden toevoegen aan de lijst voor nieuw beleid voor app-beveiliging, waarvoor beheerders indien nodig bestaand beleid moeten controleren en bijwerken. Als u een toetsenbord wilt toevoegen, geeft u het volgende op:
Opmerking: Gebruikers aan wie meerdere beleidsregels voor app-beveiliging zijn toegewezen, mogen alleen de goedgekeurde toetsenborden gebruiken die voor alle beleidsregels gelden. |
Versleuteling
| Instelling | Procedure | Standaardwaarde |
|---|---|---|
| Organisatiegegevens versleutelen | Kies Vereisen om versleuteling van werk- of schoolgegevens in deze app in te schakelen. Intune gebruikt een wolfSSL, 256-bits AES-versleutelingsschema samen met het Android Keystore-systeem om app-gegevens veilig te versleutelen. Gegevens worden synchroon versleuteld tijdens I/O-taken van bestanden. Inhoud op de apparaatopslag wordt altijd versleuteld en kan alleen worden geopend door apps die het beveiligingsbeleid voor apps van Intune ondersteunen en waaraan beleid is toegewezen. Nieuwe bestanden worden versleuteld met 256-bits sleutels. Bestaande 128-bits versleutelde bestanden worden gemigreerd naar 256-bits sleutels, maar dit proces is niet gegarandeerd. Files versleuteld met 128-bits sleutels blijven leesbaar. De coderingsmethode is FIPS 140-2 gevalideerd; voor meer informatie, zie wolfCrypt FIPS 140-2 en FIPS 140-3. |
Vereisen |
|
Selecteer Vereisen om het versleutelen van organisatiegegevens af te dwingen met Intune app-laagversleuteling op alle apparaten. Selecteer Niet vereist om het versleutelen van organisatiegegevens met Intune app-laagversleuteling op ingeschreven apparaten niet af te dwingen. | Vereisen |
Functionaliteit
| Instelling | Procedure | Standaardwaarde |
|---|---|---|
| Door beleid beheerde app-gegevens synchroniseren met systeemeigen apps of invoegtoepassingen | Kies Blokkeren om te voorkomen dat door beleid beheerde apps gegevens opslaan in de systeemeigen apps van het apparaat (Contactpersonen, Calendar en widgets) en om het gebruik van invoegtoepassingen in de door het beleid beheerde apps te voorkomen. Als dit niet wordt ondersteund door de toepassing, zijn het opslaan van gegevens in systeemeigen apps en het gebruiken van invoegtoepassingen toegestaan. Als u Toestaan kiest, kan de door het beleid beheerde app gegevens opslaan in de systeemeigen apps of invoegtoepassingen gebruiken, als deze functies worden ondersteund en ingeschakeld in de door het beleid beheerde app. Toepassingen bieden mogelijk extra besturingselementen om het gedrag van gegevenssynchronisatie aan specifieke systeemeigen apps aan te passen of deze controle niet te respecteren. Opmerking: wanneer u selectief wist om werk- of schoolgegevens uit de app te verwijderen, worden gegevens verwijderd die rechtstreeks vanuit de door het beleid beheerde app zijn gesynchroniseerd met de systeemeigen app. Gegevens die vanuit de oorspronkelijke app zijn gesynchroniseerd met een andere externe bron, worden niet gewist. Opmerking: de volgende apps ondersteunen deze functie:
|
Toestaan |
| Organisatiegegevens afdrukken | Kies Blokkeren om te voorkomen dat de app werk- of schoolgegevens afdrukt. Als u deze instelling op Toestaan laat staan, de standaardwaarde, kunnen gebruikers alle organisatiegegevens exporteren en afdrukken. | Toestaan |
| Webinhoudsoverdracht met andere apps beperken | Opgeven hoe webinhoud (http/https-koppelingen) wordt geopend vanuit toepassingen die door beleid worden beheerd. U hebt de keuze uit:
Koppelingen naar Android-apps worden beheerd via de beleidsinstelling App toestaan gegevens over te dragen naar andere apps .
Apparaatregistratie voor Intune
Door beleid beheerde Microsoft Edge |
Niet geconfigureerd |
|
Voer de toepassings-id van één browser in. Webinhoud (http/https-koppelingen) uit door beleid beheerde toepassingen wordt geopend in de opgegeven browser. De webinhoud wordt niet beheerd in de doelbrowser. | Leeg |
|
Voer de toepassingsnaam in voor de browser die is gekoppeld aan de onbeheerde browser-id. Deze naam wordt weergegeven voor gebruikers als de opgegeven browser niet is geïnstalleerd. | Leeg |
| Meldingen over organisatiegegevens | Geef op hoeveel organisatiegegevens worden gedeeld via meldingen van het besturingssysteem voor organisatieaccounts. Deze beleidsinstelling is van invloed op het lokale apparaat en alle verbonden apparaten, zoals wearables en smart speakers. Apps bieden mogelijk extra besturingselementen om het gedrag van meldingen aan te passen of kiezen ervoor om niet alle waarden te respecteren. Selecteer uit:
Opmerking: Voor deze instelling is app-ondersteuning vereist:
|
Toestaan |
Vrijstellingen voor gegevensoverdracht
Er zijn enkele vrijgestelde apps en platformservices waar Intune app-beveiligingsbeleid gegevensoverdracht van en naar toestaat. Alle door Intune beheerde apps op Android moeten bijvoorbeeld gegevens kunnen overbrengen van en naar Google Tekst-naar-spraak, zodat tekst van het scherm van uw mobiele apparaat hardop kan worden voorgelezen. Deze lijst is onderhevig aan wijzigingen en geeft de services en apps weer die nuttig worden geacht voor veilige productiviteit.
Volledige vrijstellingen
Deze apps en services zijn volledig toegestaan voor gegevensoverdracht van en naar door Intune beheerde apps.
| Naam van app/service | Beschrijving |
|---|---|
| com.android.phone | Systeemeigen telefoon-app |
| com.android.vending | Google Play Store |
| com.google.android.webview | Webweergave, die nodig is voor veel apps, waaronder Outlook. |
| com.android.webview | Webweergave, dat nodig is voor veel apps, waaronder Outlook. |
| com.google.android.tts | Google Tekst-naar-spraak |
| com.android.providers.settings | Systeeminstellingen voor Android |
| com.android.settings | Systeeminstellingen voor Android |
| com.azure.authenticator | Azure Authenticator-app, die in veel scenario's vereist is voor geslaagde verificatie. |
| com.microsoft.windowsintune.companyportal | Intune-bedrijfsportal |
| com.android.providers.contacts | Native contacten-app |
| com.samsung.android.providers.contacts | Samsung neemt contact op met de provider. Toegestaan voor Samsung-apparaten. |
| com.android.providers.blockednumber | Android Block-nummerprovider. Toegestaan voor Android-apparaten. |
Voorwaardelijke vrijstellingen
Deze apps en services mogen alleen onder bepaalde voorwaarden gegevens overdragen van en naar apps die door Intune worden beheerd.
| Naam van app/service | Beschrijving | Voorwaarde voor vrijstelling |
|---|---|---|
| com.android.chrome | Google Chrome Browser | Chrome wordt gebruikt voor sommige WebView-onderdelen op Android 7.0+ en wordt nooit aan het zicht onttrokken. Gegevensstroom van en naar de app is echter altijd beperkt. |
| com.skype.raider | Skype | De Skype-app is alleen toegestaan voor bepaalde acties die resulteren in een telefoongesprek. |
| com.android.providers.media | Android-provider voor media-inhoud | De media-inhoudsprovider mag alleen de beltoonselectieactie uitvoeren. |
| com.google.android.gms; com.google.android.gsf | Google Play Services-pakketten | Deze pakketten zijn toegestaan voor Google Cloud Messaging-acties, zoals pushmeldingen. |
| com.google.android.apps.maps | Google Maps | Adressen zijn toegestaan voor navigatie. |
| com.android.documentsui | Documentkiezer voor Android | Toegestaan bij het openen of maken van een bestand. |
| com.google.android.documentsui | Documentkiezer voor Android (Android 10+) | Toegestaan bij het openen of maken van een bestand. |
Zie Uitzonderingen in het beleid voor gegevensoverdracht voor apps voor meer informatie.
Toegangsvereisten
| Instelling | Procedure |
|---|---|
| Pincode voor toegang | Selecteer Vereisen om een pincode te vereisen om deze app te gebruiken. De gebruiker wordt gevraagd om deze pincode in te stellen wanneer hij of zij de app voor het eerst in een werk- of schoolcontext gebruikt. Standaardwaarde = Require U kunt de sterkte van de pincode configureren met de instellingen onder de sectie Pincode voor toegang. Opmerking: Eindgebruikers die toegang hebben tot de app, kunnen de pincode van de app opnieuw instellen. Deze instelling is mogelijk niet zichtbaar in sommige gevallen op Android-apparaten. Op Android-apparaten zijn maximaal vier beschikbare sneltoetsen toegestaan. Wanneer het maximum is bereikt, moet de eindgebruiker alle persoonlijke snelkoppelingen verwijderen (of de snelkoppeling openen vanuit een andere beheerde app-weergave) om de snelkoppeling voor het opnieuw instellen van de APP-pincode te bekijken. Als alternatief kan de eindgebruiker de snelkoppeling vastmaken aan zijn startpagina. |
Type pincode |
Stel een vereiste in voor pincodes van het type numerieke code of wachtwoordcode voordat u toegang krijgt tot een app waarvoor app-beveiligingsbeleid is toegepast. Numerieke vereisten hebben alleen betrekking op cijfers, terwijl een wachtwoordcode kan worden gedefinieerd met ten minste 1 alfabetische letter of ten minste 1 speciaal teken. Standaardwaarde = Numeriek Opmerking: Toegestane speciale tekens zijn de speciale tekens en symbolen op het Engelse Android-toetsenbord. |
|
Selecteer Toestaan om gebruikers toe te staan eenvoudige pincodereeksen te gebruiken, zoals 1234, 1111, abcd of aaaa. Selecteer Blokkeren om te voorkomen dat ze eenvoudige reeksen gebruiken. Eenvoudige reeksen worden gecontroleerd in schuifvensters van drie tekens. Als Block is geconfigureerd, worden 1235 of 1112 niet geaccepteerd als pincode ingesteld door de eindgebruiker, maar 1122 is wel toegestaan. Standaardwaarde = Toestaan Opmerking: Als een pincode van het type Wachtwoordcode is geconfigureerd en Eenvoudige pincode is ingesteld op Toestaan, moet de pincode ten minste één letter of ten minste één speciaal teken bevatten. Als een pincode is geconfigureerd en Eenvoudige pincode is ingesteld op Blokkeren, moet de pincode ten minste één cijfer en één letter en ten minste één speciaal teken bevatten. |
|
Geef het minimum aantal cijfers in een pincodereeks op. Standaardwaarde = 4 |
|
Selecteer Toestaan om de gebruiker toe te staan biometrische gegevens te gebruiken om te verifiëren op Android-apparaten. Indien toegestaan, worden biometrische gegevens gebruikt voor toegang tot de app op apparaten met Android 10 of hoger. |
|
Als u deze instelling wilt gebruiken, selecteert u Vereisen en configureert u vervolgens een time-out voor inactiviteit. Standaardwaarde = Require |
|
Geef een tijd op in minuten, waarna een wachtwoordcode of een numerieke (zoals geconfigureerde) pincode het gebruik van biometrische gegevens overschrijft. Deze time-outwaarde moet groter zijn dan de waarde die is opgegeven onder 'Toegangsvereisten opnieuw controleren na (minuten inactiviteit).' Standaardwaarde = 30 |
|
Selecteer Vereisen om te vereisen dat de gebruiker zich aanmeldt met biometrische gegevens van klasse 3. Zie Biometrie in de documentatie van Google voor meer informatie over biometrie van klasse 3. |
|
Selecteer Vereisen om het gebruik van biometrische gegevens te overschrijven met een pincode wanneer een wijziging in biometrische gegevens wordt gedetecteerd.
OPMERKING: |
|
Selecteer Ja om te vereisen dat gebruikers hun app-pincode wijzigen na een ingestelde periode, in dagen. Als deze optie op Ja staat, configureert u vervolgens het aantal dagen voordat de pincode opnieuw moet worden ingesteld. Standaardwaarde = Nee |
|
Stel het aantal dagen in voordat de pincode opnieuw moet worden ingesteld. Standaardwaarde = 90 |
|
Deze instelling geeft het aantal eerdere pincodes op dat door Intune wordt bewaard. Nieuwe pincodes moeten verschillen van de pincodes die door Intune worden bewaard. Standaardwaarde = 0 |
|
Selecteer Niet vereist om de app-pincode uit te schakelen wanneer een apparaatvergrendeling wordt gedetecteerd op een geregistreerd apparaat waarop de Bedrijfsportal is geconfigureerd. Standaardwaarde = Vereisen. |
| Referenties voor een werk- of schoolaccount voor toegang | Kies Vereisen om te vereisen dat de gebruiker zich aanmeldt met zijn of haar werk- of schoolaccount in plaats van een pincode in te voeren voor app-toegang. Wanneer deze optie is ingesteld op Vereisen en de pincode of biometrische prompts zijn ingeschakeld, worden zowel bedrijfsreferenties als de pincode of biometrische prompts weergegeven. Standaardwaarde = Niet vereist |
| Toegangsvereisten opnieuw controleren na (minuten van inactiviteit) | Configureer de volgende instelling:
|
Opmerking
Zie Intune Veelgestelde vragen over MAM en Gegevens selectief wissen met behulp van toegangsacties voor app-beveiligingsacties in Intune voor meer informatie over hoe meerdere Intune app-beveiligingsinstellingen die in het gedeelte Toegang zijn geconfigureerd voor dezelfde set apps en gebruikers werken op Android.
Voorwaardelijk starten
Configureer instellingen voor voorwaardelijk starten om beveiligingsvereisten voor aanmelden in te stellen voor uw app-beveiligingsbeleid.
Verschillende instellingen zijn standaard voorzien van vooraf geconfigureerde waarden en acties. U kunt sommige instellingen verwijderen, zoals de versie van het Min-besturingssysteem. U kunt ook meer instellingen selecteren in de vervolgkeuzelijst Eén selecteren.
App-voorwaarden
| Instelling | Procedure |
|---|---|
| Maximale aantal pincodepogingen | Geef het aantal pogingen op dat de gebruiker heeft om de pincode in te voeren voordat de geconfigureerde actie wordt uitgevoerd. Als de gebruiker de pincode niet kan invoeren na de maximale pincodepogingen, moet de gebruiker de pincode opnieuw instellen nadat hij of zij zich heeft aangemeld bij het account en indien nodig een meervoudige verificatie (MFA) heeft uitgevoerd. Deze notatie voor beleidsinstellingen ondersteunt positieve gehele getallen.
Acties zijn onder andere:
|
| Offline respijtperiode | Het aantal minuten dat beheerde apps offline kunnen worden uitgevoerd. Geef de tijd (in minuten) op voordat de toegangsvereisten voor de app opnieuw worden gecontroleerd.
Acties zijn onder andere:
Opmerking: De timer voor de offline respijtperiode wordt gestart wanneer de app actief is en detecteert dat deze offline is. |
| Minimale app-versie | Geef een waarde op voor de minimale versiewaarde van de toepassing.
Acties zijn onder andere:
Deze vermelding kan meerdere keren worden weergegeven, waarbij elk exemplaar een andere actie ondersteunt. Deze beleidsinstellingsindeling ondersteunt hoofd.minor, majeur.minor.build, major.minor.build.revision. U kunt ook configureren waar uw eindgebruikers een bijgewerkte versie van een LOB-app (Line-Of-Business) kunnen downloaden. Eindgebruikers zien dit in het dialoogvenster Voorwaardelijk starten van de versie van de Min-app , waarin eindgebruikers wordt gevraagd een update uit te voeren naar een minimale versie van de LOB-app. Op Android maakt deze functie gebruik van de Bedrijfsportal. Om te configureren waar een eindgebruiker een LOB-app moet bijwerken, moet een beheerd app-configuratiebeleid naar de app worden gestuurd, samen met de sleutel, com.microsoft.intune.myappstore. De verzonden waarde bepaalt uit welke store de eindgebruiker de app downloadt. Als de app wordt geïmplementeerd via de Bedrijfsportal, moet de waarde .CompanyPortal Voor elke andere winkel moet u een volledige URL invoeren. |
| Account uitgeschakeld | Er is geen waarde die u voor deze instelling hoeft in te stellen.
Acties zijn onder andere:
|
| Vrije tijd | Er is geen waarde die u voor deze instelling hoeft in te stellen.
Acties zijn onder andere:
De volgende apps ondersteunen deze functie met Bedrijfsportal v5.0.5849.0 of hoger:
|
Apparaatomstandigheden
| Instelling | Procedure |
|---|---|
| Gejailbreakte/geroote apparaten | Geef op of de toegang tot het apparaat moet worden geblokkeerd of dat de apparaatgegevens moeten worden gewist voor apparaten die zijn opengebroken of geroot.
Acties zijn onder andere:
|
| Minimale versie van besturingssysteem | Geef het Android-besturingssysteem op waarmee minimaal een app kan worden gebruikt. Besturingssysteemversies onder de opgegeven minimale versie van het besturingssysteem activeren de acties.
Acties zijn onder andere:
Deze beleidsinstellingsindeling ondersteunt major en major.minor. Voor een belangrijke release van het Android-besturingssysteem zoals Android 16 raden we bijvoorbeeld aan om '16.0' te gebruiken. Voor een secundaire release zoals CY25Q4 voor Android 16 (ook wel Quarterly Platform Release 2 (QPR2) voor Android 16 genoemd) gebruikt u "16.1". |
| Maximale versie van het besturingssysteem | Geef het maximale Android-besturingssysteem op waarmee een app kan worden gebruikt. Besturingssysteemversies boven de opgegeven maximale versie van het besturingssysteem activeren de acties.
Acties zijn onder andere:
Deze beleidsinstellingsindeling ondersteunt major en major.minor. Voor een belangrijke release van het Android-besturingssysteem zoals Android 16 raden we bijvoorbeeld aan om '16.0' te gebruiken. Voor een secundaire release zoals CY25Q4 voor Android 16 (ook wel Quarterly Platform Release 2 (QPR2) voor Android 16 genoemd) gebruikt u "16.1". |
| Minimale patchversie | Vereis dat apparaten minimaal een Android-beveiligingspatch hebben die is uitgebracht door Google.
|
| Fabrikanten van apparaten | Geef een door puntkomma's gescheiden lijst met fabrikanten op. Deze waarden zijn niet hoofdlettergevoelig.
Acties zijn onder andere:
|
| Oordeel over speelintegriteit | Het App-beveiligingsbeleid ondersteunt sommige integriteits-API's van Google Play. Met deze instelling wordt met name de integriteitscontrole van Google Play op apparaten van eindgebruikers geconfigureerd om de integriteit van die apparaten te valideren. Geef basisintegriteitof basisintegriteit en apparaatintegriteit op. Met basisintegriteit wordt iets aangegeven over de algemene integriteit van het apparaat. Geroote apparaten, emulators, virtuele apparaten en apparaten die tekenen van manipulatie vertonen, falen in de basisintegriteit. Basisintegriteit & gecertificeerde apparaten vertelt u over de compatibiliteit van het apparaat met de services van Google. Alleen niet-gewijzigde apparaten die zijn gecertificeerd door Google kunnen deze controle doorstaan. Als u het oordeel over de afspeelintegriteit selecteert zoals vereist voor voorwaardelijk starten, kunt u opgeven dat een sterke integriteitscontrole wordt gebruikt als het evaluatietype. De aanwezigheid van een sterke integriteitscontrole als het evaluatietype duidt op een grotere integriteit van een apparaat. Het MAM-beleid blokkeert apparaten die geen sterke integriteitscontroles ondersteunen als deze instelling op hen is gericht. De sterke integriteitscontrole biedt een robuustere rootdetectie als reactie op nieuwere soorten rooting-tools en -methoden die niet altijd een software-only oplossing kunnen detecteren. Binnen de APP wordt hardwareattestatie ingeschakeld door het evaluatietype van het vonnis over de speelintegriteit in te stellen op Sterke integriteit controleren zodra het vonnis van de speelintegriteit is geconfigureerd en het vereiste SafetyNet-evaluatietype op een sterke integriteitscontrole zodra de integriteitscontrole van het apparaat is geconfigureerd. Hardwareattestatie maakt gebruik van een hardwaregebaseerd onderdeel dat wordt geleverd met apparaten met Android 8.1 of hoger. Apparaten die zijn bijgewerkt van een oudere versie van Android naar Android 8.1 hebben waarschijnlijk niet de op hardware gebaseerde componenten die nodig zijn voor door hardware ondersteunde attestation. Hoewel deze instelling breed ondersteund zou moeten worden vanaf apparaten die zijn geleverd met Android 8.1, raadt Microsoft ten zeerste aan apparaten afzonderlijk te testen voordat deze beleidsinstelling algemeen wordt ingeschakeld. Belangrijk: Apparaten die dit evaluatietype niet ondersteunen, worden geblokkeerd of gewist op basis van de actie Apparaatintegriteitscontrole. Organisaties die deze functionaliteit willen gebruiken, moeten ervoor zorgen dat gebruikers over ondersteunde apparaten beschikken. Zie de aanbevolen vereisten voor Android Enterprise voor meer informatie over de aanbevolen apparaten van Google.
Acties zijn onder andere:
|
| Bedreigingsscan vereisen voor apps | Het App-beveiliging-beleid ondersteunt sommige API's van Google Play Protect. Deze instelling zorgt er met name voor dat de Google-scan Apps verifiëren is ingeschakeld voor apparaten van eindgebruikers. Indien geconfigureerd, wordt de eindgebruiker geblokkeerd voor toegang totdat hij het scannen van Google-apps op zijn Android-apparaat inschakelt.
Acties zijn onder andere:
|
| Vereist SafetyNet-evaluatietype | Een attest met hardwareondersteuning is een aanvulling op de bestaande servicecontrole van SafetyNet-attestation. U kunt de waarde instellen op Hardwaresleutel nadat u een SafetyNet-apparaatattest hebt ingesteld. |
| Apparaatvergrendeling vereisen | Met deze instelling wordt bepaald of het Android-apparaat een pincode heeft die voldoet aan de minimale wachtwoordvereisten. Het beleid voor App-beveiliging kan actie ondernemen als de apparaatvergrendeling niet voldoet aan de minimale wachtwoordvereisten.
Waarden zijn onder andere:
Deze complexiteitswaarde is gericht op Android 12+. Voor apparaten met Android 11 en eerder wordt het instellen van een complexiteitswaarde van laag, gemiddeld of hoog standaard ingesteld op het verwachte gedrag voor lage complexiteit. Zie voor meer informatie de Google-documentatie voor ontwikkelaars getPasswordComplexity, PASSWORD_COMPLEXITY_LOW, PASSWORD_COMPLEXITY_MEDIUM en PASSWORD_COMPLEXITY_HIGH.
Acties zijn onder andere:
|
| Minimale versie van de Bedrijfsportal | Met behulp van de versie Min Bedrijfsportal kunt u een specifieke, minimaal gedefinieerde versie van de Bedrijfsportal opgeven die wordt afgedwongen op een apparaat van een eindgebruiker. Met deze instelling voor voorwaardelijk starten kunt u waarden instellen voor Toegang blokkeren, Gegevens wissen en Waarschuwen als mogelijke acties wanneer niet aan elke waarde wordt voldaan. De mogelijke notaties voor deze waarde volgen het patroon [Major].[ Minor], [Major].[ Minor]. [Build] of [Major].[ Minor]. [Build]. [Herziening]. Opmerking: Ondersteuning voor Android Bedrijfsportal-versies ouder dan 5.0.5421.0 is beëindigd op 1 oktober 2025. Aangezien sommige eindgebruikers misschien niet de voorkeur geven aan een geforceerde update van apps ter plekke, kan de optie 'waarschuwen' ideaal zijn bij het configureren van deze instelling. De Google Play Store doet goed werk door alleen de deltabytes voor app-updates te verzenden, maar dit kan nog steeds een grote hoeveelheid gegevens zijn die de gebruiker mogelijk niet wil gebruiken als hij op het moment van de update gegevens gebruikte. Het forceren van een update en daarmee het downloaden van een bijgewerkte app kan leiden tot onverwachte datakosten op het moment van de update. Zie Beleidsinstellingen voor Android voor meer informatie. |
| Maximale leeftijd van de versie van de Bedrijfsportal (dagen) | U kunt een maximum aantal dagen instellen als de leeftijd van de versie van de Bedrijfsportal (CP) voor Android-apparaten. Deze instelling zorgt ervoor dat eindgebruikers zich binnen een bepaald bereik van CP-releases (in dagen) bevinden. De waarde moet tussen 0 en 365 dagen liggen. Wanneer niet wordt voldaan aan de instelling voor de apparaten, wordt de actie voor deze instelling geactiveerd. Acties zijn onder andere Toegang blokkeren, Gegevens wissen en Waarschuwen. Zie beleidsinstellingen voor Android voor meer informatie. Opmerking: De leeftijd van de build van de Bedrijfsportal wordt bepaald door Google Play op het apparaat van de eindgebruiker. |
| Samsung Knox-apparaatattest | Geef aan of de controle van de Samsung Knox-apparaatattest vereist is. Alleen ongewijzigde apparaten die door Samsung zijn geverifieerd, kunnen deze controle doorstaan. Zie samsungknox.com voor de lijst met ondersteunde apparaten. Met deze instelling controleert Microsoft Intune ook of communicatie van de Bedrijfsportal naar de Intune-service is verzonden vanaf een gezond apparaat. Acties zijn onder andere:
Opmerking: Let op bij het selecteren van de acties 'Waarschuwen', 'Toegang blokkeren' en 'Gegevens wissen':
|
| Max toegestaan apparaatdreigingsniveau | App-beveiliging beleidsregels kunnen gebruikmaken van de Intune-MTD-connector. Geef een maximaal bedreigingsniveau op dat acceptabel is voor het gebruik van deze app. Bedreigingen worden bepaald door de door u gekozen Mobile Threat Defense (MTD)-leverancier-app op het apparaat van de eindgebruiker. Geef Beveiligd, Laag, Gemiddeld of Hoog op.
Beveiligd vereist geen bedreigingen op het apparaat en is de meest beperkende configureerbare waarde, terwijl voor Hoog in feite een actieve Intune-naar-MTD-verbinding is vereist.
Acties zijn onder andere:
|
| Primaire MTD-service | Als u meerdere Intune-MTD-connectors hebt geconfigureerd, geeft u de primaire MTD-leverancier-app op die moet worden gebruikt op het apparaat van de eindgebruiker.
Waarden zijn onder andere:
U moet de instelling "Max allowed device threat level" configureren om deze instelling te kunnen gebruiken. Er zijn geen acties voor deze instelling. |