Przygotowywanie aplikacji dla systemu Android pod kątem zasad ochrony aplikacji przy użyciu Intune App Wrapping Tool

Użyj Microsoft Intune App Wrapping Tool dla systemu Android, aby zmienić zachowanie wewnętrznych aplikacji systemu Android przez ograniczenie funkcji aplikacji bez zmiany kodu samej aplikacji.

Narzędzie jest aplikacją wiersza polecenia systemu Windows, która działa w programie PowerShell i tworzy otokę wokół aplikacji systemu Android. Po opakowaniu aplikacji można zmienić jej funkcjonalność, konfigurując zasady zarządzania aplikacjami mobilnymi w usłudze Intune.

Przed uruchomieniem narzędzia zapoznaj się z zagadnieniami dotyczącymi zabezpieczeń narzędzia App Wrapping Tool. Aby pobrać narzędzie, przejdź do Microsoft Intune App Wrapping Tool dla systemu Android w witrynie GitHub.

Uwaga

Jeśli masz problemy z używaniem Intune App Wrapping Tool w aplikacjach, prześlij prośbę o pomoc w witrynie GitHub.

Spełnij wymagania wstępne dotyczące korzystania z App Wrapping Tool

  • Aplikacja musi korzystać z aktualnych bibliotek

  • Aplikacja musi być zgodna z wymaganiami Google Play

  • Jeśli aplikacja jest złożona, musi być zintegrowana z zestawem SDK aplikacji usługi Intune dla systemu Android

  • Tę App Wrapping Tool należy uruchomić na komputerze z systemem Windows z systemem Windows 10 lub nowszym.

  • Aplikacja wejściowa musi być prawidłowym pakietem aplikacji Android z rozszerzeniem pliku .apk oraz:

    • Nie można go zaszyfrować.
    • Nie może być wcześniej owinięty przez Intune App Wrapping Tool.
    • Musi być napisany dla systemu Android 9.0 lub nowszego.

    Uwaga

    Jeśli Twoja aplikacja jest w pakiecie aplikacji systemu Android (aab), przed użyciem tej Intune App Wrapping Tool musisz przekonwertować ją na plik APK. Aby uzyskać szczegółowe informacje, zobacz Konwertowanie pakietu Android App Bundle (AAB) na APK. Od sierpnia 2021 r. nowe aplikacje prywatne mogą być nadal publikowane w sklepie Google Play jako pliki APK.

  • Aplikacja musi być tworzona przez Twoją firmę lub dla Twojej firmy. Nie możesz użyć tego narzędzia w aplikacjach dostępnych w sklepie Google Play. Obejmuje to pobranie lub uzyskanie aplikacji ze sklepu Google Play.

  • Aby uruchomić narzędzie App Wrapping Tool, należy zainstalować najnowszą wersję środowiska Java Runtime Environment, a następnie upewnić się, że zmienna ścieżki Java została ustawiona na C:\ProgramData\Oracle\Java\javapath w zmiennych środowiskowych systemu Windows. Aby uzyskać więcej pomocy, zapoznaj się z dokumentacją języka Java.

    Uwaga

    W niektórych przypadkach 32-bitowa wersja Java może powodować problemy z pamięcią. Warto zainstalować wersję 64-bitową.

  • System Android wymaga podpisania wszystkich pakietów aplikacji (.apk). Aby uzyskać informacje na temat ponownego używania istniejących certyfikatów i ogólnych wskazówek dotyczących certyfikatów podpisywania, zobacz Ponowne używanie certyfikatów podpisywania i opakowywanie aplikacji. Po opakowaniu pliku .apk za pomocą Intune App Wrapping Tool zaleca się skorzystanie z udostępnionego przez Google narzędzia Apksigner. Zapewni to, że gdy Twoja aplikacja dotrze do urządzeń użytkowników końcowych, będzie mogła zostać poprawnie uruchomiona zgodnie ze standardami Androida.

  • (Opcjonalnie) Czasami aplikacja może osiągnąć limit rozmiaru pliku wykonywalnego Dalvik (DEX) ze względu na klasy zestawu SDK MAM usługi Intune dodawane podczas opakowywania. Pliki DEX są częścią kompilacji aplikacji dla systemu Android. Intune App Wrapping Tool automatycznie obsługuje przepełnienie pliku DEX podczas opakowywania w przypadku aplikacji z minimalnym poziomem interfejsu API 21 lub wyższym (od wersji 1.0.2501.1). W przypadku aplikacji z minimalnym poziomem < interfejsu API 21 najlepszym rozwiązaniem jest zwiększenie minimalnego poziomu interfejsu API przy użyciu flagi -UseMinAPILevelForNativeMultiDex otoki. W przypadku klientów, którzy nie mogą zwiększyć minimalnego poziomu interfejsu API aplikacji, dostępne są następujące obejścia dotyczące przepełnienia funkcji DEX. W niektórych organizacjach może to wymagać współpracy z osobą, która kompiluje aplikację (czyli zespołem kompilującym aplikację):

    • Użyj narzędzia ProGuard, aby wyeliminować nieużywane odwołania do klas z podstawowego pliku DEX aplikacji.
    • W przypadku klientów korzystających z wtyczki Android Gradle w wersji 3.1.0 lub nowszej, wyłącz dexer D8.

Jak często należy ponownie opakowywać aplikację systemu Android w Intune App Wrapping Tool?

Poniżej przedstawiono główne scenariusze, w których należy ponownie opapakować aplikacje:

  • Sama aplikacja wydała nową wersję. Poprzednia wersja aplikacji została opakowana i przekazana do centrum administracyjnego usługi Microsoft Intune.

  • W Intune App Wrapping Tool dla systemu Android wydano nową wersję, która umożliwia poprawki kluczowych błędów lub nowe, specyficzne funkcje zasad ochrony aplikacji Intune. Odbywa się to co 6–8 tygodni za pośrednictwem repozytorium GitHub dla Microsoft Intune App Wrapping Tool dla systemu Android.

Oto niektóre najlepsze rozwiązania dotyczące ponownego opakowywania:

Instalowanie narzędzia App Wrapping Tool

  1. Z repozytorium GitHub pobierz plik instalacyjny InstallAWT.exe Intune App Wrapping Tool dla systemu Android na komputer z systemem Windows. Otwórz plik instalacyjny.

  2. Zaakceptuj umowę licencyjną, a następnie dokończ instalację.

Zanotuj folder, w którym zainstalowano narzędzie. Lokalizacja domyślna to: C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool.

Uruchamianie App Wrapping Tool

Ważna

Intune regularnie wydaje aktualizacje Intune App Wrapping Tool. Regularnie sprawdzaj Intune App Wrapping Tool dla systemu Android pod kątem aktualizacji i uwzględniaj je w cyklu tworzenia oprogramowania, aby upewnić się, że Twoje aplikacje obsługują najnowsze ustawienia zasad ochrony aplikacji.

  1. Na komputerze z systemem Windows, na którym zainstalowano App Wrapping Tool, otwórz okno programu PowerShell.

  2. Z folderu, w którym zostało zainstalowane narzędzie, zaimportuj moduł programu PowerShell narzędzia App Wrapping Tool:

    Import-Module .\IntuneAppWrappingTool.psm1

  3. Uruchom narzędzie przy użyciu invoke-AppWrappingTool polecenia, które ma następującą składnię użycia:

    Invoke-AppWrappingTool [-InputPath] <String> [-OutputPath] <String> [<CommonParameters>]

    W poniższej tabeli wyszczególniono właściwości polecenia invoke-AppWrappingTool :

Właściwość Informacja
-ścieżka wejściowa<Ciąg> Ścieżka źródłowej aplikacji systemu Android (.apk).
-ścieżka_wyjściowa<Ciąg> Ścieżka do wyjściowej aplikacji systemu Android. Jeśli jest to taka sama ścieżka katalogu jak InputPath, pakowanie zakończy się niepowodzeniem.
<CommonParameters (Wspólne parametry)> (Opcjonalnie) Polecenie obsługuje typowe parametry programu PowerShell, takie jak verbose i debug.

  • Listę typowych parametrów można znaleźć w Centrum skryptów firmy Microsoft.

  • Aby wyświetlić szczegółowe informacje dotyczące użycia narzędzia, wprowadź polecenie:

    Help Invoke-AppWrappingTool

Przykład:

Zaimportuj moduł programu PowerShell.

Import-Module "C:\Program Files (x86)\Microsoft Intune Mobile Application Management\Android\App Wrapping Tool\IntuneAppWrappingTool.psm1"

Uruchom App Wrapping Tool w aplikacji natywnej HelloWorld.apk.

invoke-AppWrappingTool -InputPath .\app\HelloWorld.apk -OutputPath .\app_wrapped\HelloWorld_wrapped.apk -Verbose

Opakowana aplikacja i plik dziennika są generowane i zapisywane w określonej ścieżce wyjściowej.

Ponowne używanie certyfikatów podpisywania i opakowywanie aplikacji

System Android wymaga, aby wszystkie aplikacje były podpisane przy użyciu ważnego certyfikatu, aby mogły być zainstalowane na urządzeniach z systemem Android.

Opakowane aplikacje można podpisywać po opakowaniu przy użyciu istniejących narzędzi do podpisywania (wszelkie informacje o podpisywaniu w aplikacji przed opakowaniem zostaną odrzucone). Jeśli to możliwe, informacje o podpisywaniu, które były już używane podczas procesu kompilacji, powinny być używane podczas opakowywania . W niektórych organizacjach może to wymagać współpracy z osobą, która jest właścicielem informacji o magazynie kluczy (tj. zespołem kompilującym aplikację).

Jeśli nie można użyć poprzedniego certyfikatu podpisywania lub aplikacja nie została wcześniej wdrożona, możesz utworzyć nowy certyfikat podpisywania, postępując zgodnie z instrukcjami zawartymi w Przewodniku dla deweloperów systemu Android.

Jeśli aplikacja została wcześniej wdrożona z innym certyfikatem podpisywania, po uaktualnieniu nie można przekazać jej do usługi Intune. Scenariusze uaktualniania aplikacji nie będą działać, jeśli Twoja aplikacja jest podpisana przy użyciu innego certyfikatu niż ten, z którym została utworzona. W związku z tym wszelkie nowe certyfikaty podpisywania powinny być zachowywane na potrzeby uaktualnień aplikacji.

Zagadnienia dotyczące zabezpieczeń narzędzia App Wrapping Tool

Aby zapobiec potencjalnym atakom podszywania się, ujawniania informacji i podnoszenia uprawnień:

  • Upewnij się, że wejściowa aplikacja biznesowa (LOB) i aplikacja wyjściowa znajdują się na tym samym komputerze z systemem Windows, na którym jest uruchomiony App Wrapping Tool.

  • Zaimportuj aplikację wyjściową do usługi Intune na tym samym komputerze, na którym jest uruchomione narzędzie. Zobacz keytool , aby uzyskać więcej informacji o narzędziu klawiszy Java.

  • Jeśli aplikacja wyjściowa i narzędzie znajdują się w ścieżce UNC (Universal Naming Convention) i nie uruchamiasz narzędzia wraz z plikami wejściowymi na tym samym komputerze, skonfiguruj środowisko jako bezpieczne, korzystając z podpisywania zabezpieczeń protokołu internetowego (IPsec, Internet Protocol Security) lub bloku komunikatów serwera (SMB).

  • Upewnij się, że aplikacja pochodzi z zaufanego źródła.

  • Zabezpiecz katalog wyjściowy zawierający opakowaną aplikację. Rozważ użycie katalogu na poziomie użytkownika dla danych wyjściowych.

Konwertuj pakiet aplikacji na Androida (AAB) na APK

Obecnie Intune App Wrapping Tool obsługuje tylko dane wejściowe APK. Aby można było korzystać z tego narzędzia, pakiety aplikacji na Androida muszą najpierw zostać przekonwertowane na pliki APK.

Pakiet aplikacji na Androida można przekonwertować na plik APK za pomocą narzędzia wiersza poleceń Google, bundletool. Najnowszą wersję bundle-tool można pobrać z repozytorium Google bundletool GitHub.

bundletoolmożna użyć do wyprodukowania jednego uniwersalnego pliku APK do użytku z Intune App Wrapping Tool za pomocą następującego polecenia:

bundletool build-apks --bundle=input.aab --mode=universal --output=input.apks

Plik .apks wyjściowy jest archiwum ZIP zawierającym jeden uniwersalny plik APK. Rozpakuj archiwum i użyj tego pliku APK jako danych wejściowych do Intune App Wrapping Tool.

Zobacz też

  • Last updated on