Android-apps voorbereiden op app-beveiligingsbeleid met de Intune App Wrapping Tool

Gebruik de Microsoft Intune App Wrapping Tool voor Android om het gedrag van uw interne Android-apps te wijzigen door functies van de app te beperken zonder de code van de app zelf te wijzigen.

Het hulpprogramma is een Windows-opdrachtregeltoepassing die wordt uitgevoerd in PowerShell en een wrapper rond uw Android-app maakt. Nadat de app is ingepakt, kunt u de functionaliteit van de app wijzigen door beleid voor mobiel toepassingsbeheer te configureren in Intune.

Lees voordat u het hulpprogramma uitvoert Beveiligingsoverwegingen voor het uitvoeren van de App Wrapping Tool. Ga naar de Microsoft Intune App Wrapping Tool voor Android op GitHub om de tool te downloaden.

Opmerking

Als u problemen hebt met het gebruik van de Intune App Wrapping Tool met uw apps, kunt u een aanvraag voor assistentie indienen op GitHub.

Voldoe aan de vereisten voor het gebruik van de App Wrapping Tool

  • Uw app moet up-to-date bibliotheken gebruiken

  • Uw app moet compatibel zijn met de vereisten voor Google Play

  • Als uw app complex is, moet deze worden geïntegreerd met de Intune App SDK voor Android

  • U moet de App Wrapping Tool uitvoeren op een Windows-computer met Windows 10 of hoger.

  • Uw invoer-app moet een geldig Android-toepassingspakket zijn met de bestandsextensie .apk en:

    • Deze kan niet worden versleuteld.
    • Het mag niet eerder door de Intune App Wrapping Tool zijn ingepakt.
    • Het moet geschreven zijn voor Android 9.0 of hoger.

    Opmerking

    Als uw invoer-app een Android-app-bundel (.aab) is, moet u deze converteren naar een APK voordat u de Intune App Wrapping Tool gebruikt. Zie voor meer informatie Android-app-bundel (AAB) converteren naar APK. Vanaf augustus 2021 kunnen nieuwe privé-apps nog steeds als APK's worden gepubliceerd in de Google Play Store.

  • De app moet door of voor uw bedrijf zijn ontwikkeld. U kunt dit hulpprogramma niet gebruiken in apps die beschikbaar zijn in de Google Play Store. Dit omvat het downloaden of verkrijgen van de app uit de Google Play Store.

  • Als u de App Wrapping Tool wilt uitvoeren, moet u de nieuwste versie van de Java Runtime Environment installeren en er vervolgens voor zorgen dat de Java-padvariabele is ingesteld op C:\ProgramData\Oracle\Java\javapath in uw Windows-omgevingsvariabelen. Raadpleeg de documentatie bij Java voor meer hulp.

    Opmerking

    In sommige gevallen kan de 32-bits versie van Java geheugenproblemen veroorzaken. Het is een goed idee om de 64-bits versie te installeren.

  • Voor Android moeten alle app-pakketten (.apk) zijn ondertekend. Zie Handtekeningcertificaten en wrapping-apps hergebruiken voor het hergebruik van bestaande certificaten en algemene richtlijnen voor het ondertekenen van certificaten. Nadat u het .apk bestand met de Intune App Wrapping Tool hebt ingepakt, is de aanbeveling om de meegeleverde Apksigner-tool van Google te gebruiken. Dit zorgt ervoor dat zodra uw app op de apparaten van eindgebruikers is aangekomen, deze correct kan worden gestart volgens Android-standaarden.

  • (Optioneel) Soms bereikt een app de limiet voor het uitvoerbare bestand (DEX) van Dalvik vanwege de Intune MAM SDK-klassen die tijdens het inpakken worden toegevoegd. DEX-bestanden zijn onderdeel van de compilatie van een Android-app. De Intune App Wrapping Tool verwerkt automatisch DEX-bestandsoverloop tijdens het inpakken voor apps met een minimaal API-niveau van 21 of hoger (vanaf v. 1.0.2501.1). Voor apps met een min API-niveau van < 21 zou het raadzaam zijn om het minimale API-niveau te verhogen met behulp van de vlag van -UseMinAPILevelForNativeMultiDex de wrapper. Voor klanten die het minimale API-niveau van de app niet kunnen verhogen, zijn de volgende tijdelijke oplossingen voor DEX-overloop beschikbaar. In bepaalde organisaties kan het nodig zijn om samen te werken met degene die de app compileert (bijvoorbeeld het app-buildteam):

    • Gebruik ProGuard om ongebruikte klasseverwijzingen te verwijderen uit het primaire DEX-bestand van de app.
    • Voor klanten die v3.1.0 of hoger van de invoegtoepassing Android Gradle gebruiken, schakel de D8 dexer uit.

Hoe vaak moet ik mijn Android-toepassing opnieuw inpakken met de Intune App Wrapping Tool?

De belangrijkste scenario's waarin u uw toepassingen opnieuw moet inpakken, zijn de volgende:

  • De applicatie zelf heeft een nieuwe versie uitgebracht. De vorige versie van de app was ingepakt en geüpload naar het Microsoft Intune-beheercentrum.

  • De Intune App Wrapping Tool voor Android heeft een nieuwe versie uitgebracht waarmee u belangrijke bugfixes kunt oplossen, evenals nieuwe, specifieke functies voor Intune toepassingsbeveiligingsbeleid. Dit gebeurt elke 6-8 weken via GitHub-repo voor de Microsoft Intune App Wrapping Tool voor Android.

Enkele aanbevolen procedures voor het opnieuw inpakken zijn:

De App Wrapping Tool installeren

  1. Download het installatiebestand InstallAWT.exe voor de Intune App Wrapping Tool voor Android naar een Windows-computer vanuit de GitHub-repository. Open het installatiebestand.

  2. Accepteer de licentieovereenkomst en voltooi vervolgens de installatie.

Noteer de map waarin u het hulpprogramma hebt geïnstalleerd. De standaardlocatie is: C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool.

De App Wrapping Tool uitvoeren

Belangrijk

Intune brengt regelmatig updates van de Intune App Wrapping Tool uit. Controleer de Intune App Wrapping Tool voor Android regelmatig op updates en neem deze op in uw releasecyclus voor softwareontwikkeling om ervoor te zorgen dat uw apps de meest recente instellingen voor app-beveiligingsbeleid ondersteunen.

  1. Open een PowerShell-venster op de Windows-computer waarop u de App Wrapping Tool hebt geïnstalleerd.

  2. Importeer de PowerShell-module voor App Wrapping Tool vanuit de map waarin u het hulpprogramma hebt geïnstalleerd:

    Import-Module .\IntuneAppWrappingTool.psm1

  3. Voer het hulpprogramma uit met de opdracht invoke-AppWrappingTool , die de volgende gebruikssyntaxis heeft:

    Invoke-AppWrappingTool [-InputPath] <String> [-OutputPath] <String> [<CommonParameters>]

    De volgende tabel bevat informatie over de eigenschappen van de opdracht Invoke-AppWrappingTool :

Eigenschap Informatie
-InputPath<Tekenreeks> Pad van de bron-app voor Android (.apk).
-Uitvoerpad<Tekenreeks> Pad naar de Android-uitvoerapp. Als dit hetzelfde mappad is als InputPath, mislukt het verpakken.
<CommonParameters> (Optioneel) De opdracht ondersteunt algemene PowerShell-parameters, zoals 'uitgebreid' en 'foutopsporing'.

  • Zie het Microsoft Script Center voor een lijst met veelgebruikte parameters.

  • Voer de opdracht in voor gedetailleerde gebruiksinformatie voor het hulpprogramma:

    Help Invoke-AppWrappingTool

Voorbeeld:

Importeer de PowerShell-module.

Import-Module "C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool\IntuneAppWrappingTool.psm1"

Voer de App Wrapping Tool uit op de systeemeigen app HelloWorld.apk.

invoke-AppWrappingTool -InputPath .\app\HelloWorld.apk -OutputPath .\app_wrapped\HelloWorld_wrapped.apk -Verbose

De ingepakte app en een logboekbestand worden gegenereerd en opgeslagen in het uitvoerpad dat u hebt opgegeven.

Handtekeningcertificaten hergebruiken en apps wrappen

Android vereist dat alle apps moeten worden ondertekend door een geldig certificaat om te kunnen worden geïnstalleerd op Android-apparaten.

Apps met een wrapped kunnen na het inpakken worden ondertekend met uw bestaande ondertekeningshulpmiddelen (alle ondertekeningsgegevens in de app voordat deze zijn ingepakt, worden verwijderd). Indien mogelijk moet de ondertekeningsinformatie die al tijdens het bouwproces is gebruikt, worden gebruikt tijdens het inpakken. In bepaalde organisaties kan het nodig zijn om samen te werken met degene die eigenaar is van de keystore-informatie (dwz het app-buildteam).

Als het vorige handtekeningcertificaat niet kan worden gebruikt of als de app nog niet eerder is geïmplementeerd, kunt u een nieuw handtekeningcertificaat maken door de instructies in de Android-ontwikkelaarshandleiding te volgen.

Als de app eerder is geïmplementeerd met een ander handtekeningcertificaat, kan de app na de upgrade niet worden geüpload naar Intune. Scenario's voor app-upgrades werken niet als uw app is ondertekend met een ander certificaat dan het certificaat waarmee de app is gebouwd. Daarom moeten nieuwe handtekeningscertificaten voor app-upgrades worden bewaard.

Beveiligingsoverwegingen voor het uitvoeren van de App Wrapping Tool

Om mogelijke spoofing, informatievrijgave en misbruik van bevoegdheden te voorkomen:

  • Zorg ervoor dat de input line-of-business (LOB) en de uitvoertoepassing zich op dezelfde Windows-computer bevinden waarop de App Wrapping Tool wordt uitgevoerd.

  • Importeer de uitvoertoepassing in Intune op dezelfde computer waarop het hulpprogramma wordt uitgevoerd. Zie keytool voor meer informatie over de Java keytool.

  • Als de uitvoertoepassing en het hulpprogramma zich op een UNC-pad (Universal Naming Convention) bevinden en u het hulpprogramma en de invoerbestanden niet op dezelfde computer uitvoert, stelt u de omgeving zo in dat deze beveiligd is met behulp van IPsec-ondertekening (Internet Protocol Security) of SMB-ondertekening (Server Message Block).

  • Controleer of de toepassing afkomstig is van een vertrouwde bron.

  • Beveilig de uitvoermap met de ingepakte app. Overweeg een directory op gebruikersniveau te gebruiken voor de uitvoer.

Converteer Android-app-bundel (AAB) naar APK

De Intune App Wrapping Tool ondersteunt momenteel alleen APK-invoer. Android-app-bundels moeten eerst worden omgezet naar een APK voor gebruik met de tool.

Een Android-app-bundel kan worden geconverteerd naar een APK met behulp van de opdrachtregeltool van Google, bundletool. De nieuwste versie van bundle-tool kan worden gedownload van Google's bundeltool GitHub repo.

bundletoolkan worden gebruikt om een enkele universele APK te produceren voor gebruik met de Intune App Wrapping Tool met behulp van het volgende commando:

bundletool build-apks --bundle=input.aab --mode=universal --output=input.apks

Het .apks uitvoerbestand is een ZIP-archief met een enkel universeel APK-bestand. Pak het archief uit en gebruik dat APK-bestand als invoer voor het Intune App Wrapping Tool.

Zie ook

  • Last updated on