Ustawienia zasad ochrony aplikacji systemu Android w Microsoft Intune
W tym artykule opisano ustawienia zasad ochrony aplikacji dla urządzeń z systemem Android. Opisane ustawienia zasad można skonfigurować dla zasad ochrony aplikacji w okienku Ustawienia w portalu. Istnieją trzy kategorie ustawień zasad: ustawienia ochrony danych, wymagania dotyczące dostępu i uruchamianie warunkowe. W tym artykule termin aplikacje zarządzane przez zasady odnosi się do aplikacji skonfigurowanych przy użyciu zasad ochrony aplikacji.
Ważna
Intune — Portal firmy jest wymagana na urządzeniu do odbierania zasad ochrony aplikacji dla urządzeń z systemem Android.
Intune Managed Browser został wycofany. Użyj przeglądarki Microsoft Edge, aby korzystać z chronionego środowiska przeglądarki Intune.
Ochrona danych
Transfer danych
| Ustawienie | Sposób użycia | Wartość domyślna |
|---|---|---|
| Tworzenie kopii zapasowych danych organizacji w usługach tworzenia kopii zapasowych systemu Android | Wybierz pozycję Blokuj , aby uniemożliwić tej aplikacji tworzenie kopii zapasowych danych służbowych w usłudze Kopia zapasowa systemu Android. Wybierz pozycję Zezwalaj, aby zezwolić tej aplikacji na tworzenie kopii zapasowych danych służbowych. |
Zezwalaj |
| Wysyłanie danych organizacji do innych aplikacji | Określ, które aplikacje mogą odbierać dane z tej aplikacji:
Istnieją pewne wykluczone aplikacje i usługi, do których Intune domyślnie mogą zezwalać na transfer danych. Ponadto możesz utworzyć własne wykluczenia, jeśli chcesz zezwolić na przesyłanie danych do aplikacji, która nie obsługuje Intune APP. Aby uzyskać więcej informacji, zobacz Wykluczenia z transferu danych. Te zasady mogą również dotyczyć linków aplikacji systemu Android. Ogólne linki internetowe są zarządzane za pomocą linków Otwórz aplikację w Intune Managed Browser ustawieniu zasad. Uwaga Intune obecnie nie obsługuje funkcji aplikacji błyskawicznych systemu Android. Intune zablokuje wszelkie połączenia danych z aplikacją lub z niej. Aby uzyskać więcej informacji, zobacz Aplikacje błyskawiczne dla systemu Android w dokumentacji dewelopera systemu Android. Jeśli ustawienie Wyślij dane organizacji do innych aplikacji jest skonfigurowane w obszarze Wszystkie aplikacje, dane tekstowe mogą być nadal przesyłane za pośrednictwem udostępniania systemu operacyjnego do schowka. |
Wszystkie aplikacje |
|
Ta opcja jest dostępna po wybraniu pozycji Aplikacje zarządzane przez zasady dla poprzedniej opcji. | |
|
Wybierz pozycję Blokuj , aby wyłączyć korzystanie z opcji Zapisz jako w tej aplikacji. Wybierz pozycję Zezwalaj , jeśli chcesz zezwolić na korzystanie z opcji Zapisz jako. Po ustawieniu opcji Blokuj można skonfigurować ustawienie Zezwalaj użytkownikowi na zapisywanie kopii w wybranych usługach. Uwaga:
|
Zezwalaj |
|
Użytkownicy mogą zapisywać w wybranych usługach (OneDrive dla Firm, SharePoint, Photo Library, Box i Local Storage). Wszystkie inne usługi zostaną zablokowane. | Wybrano 0 |
|
Zazwyczaj gdy użytkownik wybierze hiperłączy numer telefonu w aplikacji, zostanie otwarta aplikacja wybierania numerów z numerem telefonu wypełnionym wstępnie i gotowym do połączenia. W tym ustawieniu wybierz sposób obsługi tego typu transferu zawartości, gdy jest inicjowany z aplikacji zarządzanej przez zasady:
|
Dowolna aplikacja wybierania numerów |
|
Po wybraniu określonej aplikacji wybierania numerów należy podać identyfikator pakietu aplikacji. | Pusty |
|
Po wybraniu określonej aplikacji wybierania numerów należy podać nazwę aplikacji wybierania numerów. | Pusty |
|
Zazwyczaj gdy użytkownik wybierze hiperłączy numer telefonu w aplikacji, zostanie otwarta aplikacja wybierania numerów z numerem telefonu wypełnionym wstępnie i gotowym do połączenia. W tym ustawieniu wybierz sposób obsługi tego typu transferu zawartości, gdy jest inicjowany z aplikacji zarządzanej przez zasady. W tym ustawieniu wybierz sposób obsługi tego typu transferu zawartości, gdy jest inicjowany z aplikacji zarządzanej przez zasady:
|
Dowolna aplikacja do obsługi komunikatów |
|
Po wybraniu określonej aplikacji do obsługi komunikatów musisz podać identyfikator pakietu aplikacji. | Pusty |
|
Po wybraniu określonej aplikacji do obsługi komunikatów należy podać nazwę aplikacji do obsługi komunikatów. | Pusty |
| Odbieranie danych z innych aplikacji | Określ, które aplikacje mogą przesyłać dane do tej aplikacji:
Istnieją pewne wykluczone aplikacje i usługi, z których Intune mogą zezwalać na transfer danych. Aby uzyskać pełną listę aplikacji i usług, zobacz Wykluczenia z transferu danych . |
Wszystkie aplikacje |
|
Wybierz pozycję Blokuj , aby wyłączyć korzystanie z opcji Otwórz lub innych opcji do udostępniania danych między kontami w tej aplikacji. Wybierz pozycję Zezwalaj , jeśli chcesz zezwolić na korzystanie z opcji Otwórz. Po ustawieniu opcji Blokuj można skonfigurować opcję Zezwalaj użytkownikowi na otwieranie danych z wybranych usług , aby określić, które usługi są dozwolone dla lokalizacji danych organizacji. Uwaga:
|
Zezwalaj |
|
Wybierz usługi magazynu aplikacji, z których użytkownicy mogą otwierać dane. Wszystkie inne usługi są blokowane. Wybranie żadnych usług uniemożliwi użytkownikom otwieranie danych. Obsługiwane usługi:
|
Wszystkie wybrane |
| Ograniczanie wycinania, kopiowania i wklejania między innymi aplikacjami | Określ, kiedy można używać akcji wycinania, kopiowania i wklejania z tą aplikacją. Wybierz jedną z następujących opcji:
|
Dowolna aplikacja |
|
Określ liczbę znaków, które mogą być wycinane lub kopiowane z danych organizacji i kont. Umożliwi to udostępnianie określonej liczby znaków, gdy w przeciwnym razie zostanie ona zablokowana przez ustawienie "Ogranicz wycinanie, kopiowanie i wklejanie w innych aplikacjach". Wartość domyślna = 0 Uwaga: wymaga Intune — Portal firmy wersji 5.0.4364.0 lub nowszej. |
0 |
| Przechwytywanie ekranu i Asystent Google | Wybierz pozycję Blokuj , aby zablokować przechwytywanie ekranu, zablokować opcję Circle to Search i zablokowaćAsystentowi Google dostęp do danych organizacji na urządzeniu podczas korzystania z tej aplikacji. Wybranie pozycji Blokuj spowoduje również rozmycie obrazu podglądu przełącznika aplikacji podczas korzystania z tej aplikacji z kontem służbowym. Uwaga: Asystent Google może być dostępny dla użytkowników w scenariuszach, które nie uzyskują dostępu do danych organizacji. |
Blokuj |
| Zatwierdzone klawiatury | Wybierz pozycję Wymagaj , a następnie określ listę zatwierdzonych klawiatur dla tych zasad. Użytkownicy, którzy nie korzystają z zatwierdzonej klawiatury, otrzymają monit o pobranie i zainstalowanie zatwierdzonej klawiatury, zanim będą mogli korzystać z chronionej aplikacji. To ustawienie wymaga, aby aplikacja miała zestaw Intune SDK dla systemu Android w wersji 6.2.0 lub nowszej. |
Nie jest wymagane |
|
Ta opcja jest dostępna po wybraniu opcji Wymagaj dla poprzedniej opcji. Wybierz pozycję Wybierz , aby zarządzać listą klawiatur i metod wejściowych, które mogą być używane z aplikacjami chronionymi przez te zasady. Możesz dodać dodatkowe klawiatury do listy i usunąć dowolną z opcji domyślnych. Aby zapisać to ustawienie, musisz mieć co najmniej jedną zatwierdzoną klawiaturę. W miarę upływu czasu firma Microsoft może dodawać dodatkowe klawiatury do listy nowych zasad ochrony aplikacji, które będą wymagać od administratorów przeglądania i aktualizowania istniejących zasad w razie potrzeby. Aby dodać klawiaturę, określ:
Nuta: Użytkownik przypisany do wielu zasad ochrony aplikacji będzie mógł używać tylko zatwierdzonych klawiatur wspólnych dla wszystkich zasad. |
Szyfrowanie
| Ustawienie | Sposób użycia | Wartość domyślna |
|---|---|---|
| Szyfrowanie danych organizacji | Wybierz pozycję Wymagaj , aby włączyć szyfrowanie danych służbowych w tej aplikacji. Intune używa 256-bitowego schematu szyfrowania AES wolfSSL wraz z systemem Android Keystore do bezpiecznego szyfrowania danych aplikacji. Dane są szyfrowane synchronicznie podczas zadań we/wy plików. Zawartość w magazynie urządzeń jest zawsze szyfrowana i może być otwierana tylko przez aplikacje obsługujące zasady ochrony aplikacji Intune i przypisane zasady. Nowe pliki będą szyfrowane przy użyciu kluczy 256-bitowych. Istniejące 128-bitowe zaszyfrowane pliki zostaną poddane próbie migracji kluczy 256-bitowych, ale proces nie jest gwarantowany. Pliki zaszyfrowane przy użyciu kluczy 128-bitowych pozostaną czytelne. Metoda szyfrowania to FIPS 140-2 zweryfikowana; Aby uzyskać więcej informacji, zobacz wolfCrypt FIPS 140-2 i FIPS 140-3. |
Wymagać |
|
Wybierz pozycję Wymagaj, aby wymusić szyfrowanie danych organizacji za pomocą Intune szyfrowania warstwy aplikacji na wszystkich urządzeniach. Wybierz pozycję Nie jest wymagane, aby nie wymuszać szyfrowania danych organizacji za pomocą szyfrowania Intune warstwy aplikacji na zarejestrowanych urządzeniach. | Wymagać |
Funkcjonalność
| Ustawienie | Sposób użycia | Wartość domyślna |
|---|---|---|
| Synchronizowanie danych aplikacji zarządzanych przez zasady z aplikacjami natywnymi lub dodatkami | Wybierz pozycję Blokuj, aby uniemożliwić aplikacjom zarządzanym przez zasady zapisywanie danych w aplikacjach natywnych urządzenia (kontakty, kalendarz i widżety) oraz uniemożliwić korzystanie z dodatków w aplikacjach zarządzanych przez zasady. Jeśli aplikacja nie jest obsługiwana, zapisywanie danych w aplikacjach natywnych i korzystanie z dodatków będzie dozwolone. Jeśli wybierzesz pozycję Zezwalaj, aplikacja zarządzana przez zasady może zapisywać dane w aplikacjach natywnych lub korzystać z dodatków, jeśli te funkcje są obsługiwane i włączone w aplikacji zarządzanej przez zasady. Aplikacje mogą udostępniać dodatkowe kontrolki, aby dostosować zachowanie synchronizacji danych do określonych aplikacji natywnych lub nie uwzględniać tej kontrolki. Uwaga: Podczas selektywnego czyszczenia danych w celu usunięcia danych służbowych z aplikacji dane synchronizowane bezpośrednio z aplikacji zarządzanej przez zasady z aplikacją natywną są usuwane. Żadne dane zsynchronizowane z aplikacji natywnej z innym źródłem zewnętrznym nie zostaną wyczyszczone. Uwaga: następujące aplikacje obsługują tę funkcję:
|
Zezwalaj |
| Drukowanie danych organizacji | Wybierz pozycję Blokuj , aby uniemożliwić aplikacji drukowanie danych służbowych. Jeśli pozostawisz to ustawienie na wartość Zezwalaj, wartość domyślna użytkownicy będą mogli eksportować i drukować wszystkie dane organizacji. | Zezwalaj |
| Ograniczanie transferu zawartości internetowej za pomocą innych aplikacji | Określ sposób, w jaki zawartość internetowa (linki http/https) jest otwierana z aplikacji zarządzanych przez zasady. Wybierz jedną z następujących opcji:
Przeglądarki zarządzane przez zasady W systemie Android użytkownicy końcowi mogą wybierać spośród innych aplikacji zarządzanych przez zasady, które obsługują linki http/https, jeśli nie zainstalowano ani Intune Managed Browser, ani przeglądarki Microsoft Edge. Jeśli przeglądarka zarządzana przez zasady jest wymagana, ale nie jest zainstalowana, użytkownicy końcowi otrzymają monit o zainstalowanie przeglądarki Microsoft Edge. Jeśli wymagana jest przeglądarka zarządzana przez zasady, linki aplikacji systemu Android są zarządzane przez ustawienie zasad Zezwalaj aplikacji na przesyłanie danych do innych aplikacji .
rejestrowanie urządzeń Intune
Microsoft Edge zarządzany przez zasady |
Nie skonfigurowano |
|
Wprowadź identyfikator aplikacji dla jednej przeglądarki. Zawartość sieci Web (linki http/https) z aplikacji zarządzanych przez zasady zostanie otwarta w określonej przeglądarce. Zawartość internetowa będzie niezarządzana w przeglądarce docelowej. | Pusty |
|
Wprowadź nazwę aplikacji dla przeglądarki skojarzonej z identyfikatorem przeglądarki niezarządzanej. Ta nazwa będzie wyświetlana użytkownikom, jeśli określona przeglądarka nie jest zainstalowana. | Pusty |
| Powiadomienia o danych organizacji | Określ, ile danych organizacji jest udostępnianych za pośrednictwem powiadomień systemu operacyjnego dla kont organizacji. To ustawienie zasad będzie miało wpływ na urządzenie lokalne i wszystkie podłączone urządzenia, takie jak urządzenia do noszenia i inteligentne głośniki. Aplikacje mogą udostępniać dodatkowe kontrolki w celu dostosowania zachowania powiadomień lub mogą nie uwzględniać wszystkich wartości. Wybierz pozycję z:
Uwaga: to ustawienie wymaga obsługi aplikacji:
|
Zezwalaj |
Wykluczenia z transferu danych
Istnieją pewne wykluczone aplikacje i usługi platformy, które Intune zasady ochrony aplikacji zezwalają na transfer danych do i z. Na przykład wszystkie aplikacje zarządzane Intune w systemie Android muszą mieć możliwość przesyłania danych do i z usługi Google Text-to-speech, aby tekst z ekranu urządzenia przenośnego mógł być odczytywany na głos. Ta lista może ulec zmianie i odzwierciedla usługi i aplikacje uważane za przydatne w celu zapewnienia bezpiecznej produktywności.
Pełne wykluczenia
Te aplikacje i usługi są w pełni dozwolone do transferu danych do i z aplikacji zarządzanych przez Intune.
| Nazwa aplikacji/usługi | Opis |
|---|---|
| com.android.phone | Natywna aplikacja na telefon |
| com.android.vending | Sklep Google Play |
| com.google.android.webview | WebView, który jest niezbędny dla wielu aplikacji, w tym programu Outlook. |
| com.android.webview | Widok internetowy, który jest niezbędny dla wielu aplikacji, w tym programu Outlook. |
| com.google.android.tts | Google Text-to-speech |
| com.android.providers.settings | Ustawienia systemu Android |
| com.android.settings | Ustawienia systemu Android |
| com.azure.authenticator | Aplikacja Azure Authenticator, która jest wymagana do pomyślnego uwierzytelniania w wielu scenariuszach. |
| com.microsoft.windowsintune.companyportal | Intune — Portal firmy |
| com.android.providers.contacts | Natywna aplikacja kontaktów |
Wykluczenia warunkowe
Te aplikacje i usługi mogą przesyłać dane tylko do i z aplikacji zarządzanych przez Intune pod pewnymi warunkami.
| Nazwa aplikacji/usługi | Opis | Warunek wykluczenia |
|---|---|---|
| com.android.chrome | Przeglądarka Google Chrome | Przeglądarka Chrome jest używana w przypadku niektórych składników WebView w systemie Android 7.0 lub nowszym i nigdy nie jest ukryta w widoku. Przepływ danych do i z aplikacji jest jednak zawsze ograniczony. |
| com.skype.raider | Skype | Aplikacja Skype jest dozwolona tylko w przypadku niektórych akcji, które powodują połączenie telefoniczne. |
| com.android.providers.media | Dostawca zawartości multimedialnej systemu Android | Dostawca zawartości multimediów może używać tylko akcji wyboru dzwonka. |
| com.google.android.gms; com.google.android.gsf | Pakiety usług Google Play | Te pakiety są dozwolone w przypadku akcji Google Cloud Messaging, takich jak powiadomienia wypychane. |
| com.google.android.apps.maps | Mapy Google | Adresy są dozwolone do nawigacji. |
| com.android.documentsui | Selektor dokumentów systemu Android | Dozwolone podczas otwierania lub tworzenia pliku. |
| com.google.android.documentsui | Selektor dokumentów systemu Android (Android 10+) | Dozwolone podczas otwierania lub tworzenia pliku. |
Aby uzyskać więcej informacji, zobacz Wyjątki zasad transferu danych dla aplikacji.
Wymagania dotyczące dostępu
| Ustawienie | Sposób użycia |
|---|---|
| Numer PIN dostępu | Wybierz pozycję Wymagaj , aby wymagać numeru PIN do korzystania z tej aplikacji. Użytkownik jest monitowany o skonfigurowanie tego numeru PIN przy pierwszym uruchomieniu aplikacji w kontekście służbowym. Wartość domyślna = Wymagaj Siłę numeru PIN można skonfigurować przy użyciu ustawień dostępnych w sekcji Numer PIN dla dostępu. Nuta: Użytkownicy końcowi, którzy mogą uzyskiwać dostęp do aplikacji, mogą zresetować numer PIN aplikacji. To ustawienie może nie być widoczne w niektórych przypadkach na urządzeniach z systemem Android. Urządzenia z systemem Android mają maksymalnie cztery dostępne skróty. Po osiągnięciu maksymalnej wartości użytkownik końcowy musi usunąć wszelkie spersonalizowane skróty (lub uzyskać dostęp do skrótu z innego widoku aplikacji zarządzanej), aby wyświetlić skrót resetowania numeru PIN aplikacji. Alternatywnie użytkownik końcowy może przypiąć skrót do swojej strony głównej. |
Typ numeru PIN |
Przed uzyskaniem dostępu do aplikacji z zastosowanymi zasadami ochrony aplikacji ustaw wymaganie dotyczące numerów pinów lub kodów dostępu. Wymagania liczbowe obejmują tylko liczby, natomiast kod dostępu można zdefiniować przy użyciu co najmniej 1 litery alfabetycznej lub co najmniej 1 znaku specjalnego. Wartość domyślna = numeryczna Nuta: Dozwolone znaki specjalne obejmują znaki specjalne i symbole na klawiaturze języka angielskiego systemu Android. |
|
Wybierz pozycję Zezwalaj , aby umożliwić użytkownikom używanie prostych sekwencji numerów PIN, takich jak 1234, 1111, abcd lub aaaa. Wybierz pozycję Bloki , aby uniemożliwić im używanie prostych sekwencji. Proste sekwencje są zaewidencjonowane w 3-znakowych oknach przesuwnych. Jeśli ustawienie Blokuj jest skonfigurowane, numer 1235 lub 1112 nie zostanie zaakceptowany jako numer PIN ustawiony przez użytkownika końcowego, ale numer 1122 będzie dozwolony. Wartość domyślna = Zezwalaj Nuta: Jeśli skonfigurowano kod PIN typu Kod dostępu, a prosty numer PIN jest ustawiony na wartość Zezwalaj, użytkownik potrzebuje co najmniej jednej litery lub co najmniej jednego znaku specjalnego w numerze PIN. Jeśli skonfigurowano kod PIN typu Kod dostępu, a prosty numer PIN jest ustawiony na wartość Blokuj, użytkownik potrzebuje co najmniej jednej liczby i jednej litery oraz co najmniej jednego znaku specjalnego w numerze PIN. |
|
Określ minimalną liczbę cyfr w sekwencji numeru PIN. Wartość domyślna = 4 |
|
Wybierz pozycję Zezwalaj , aby zezwolić użytkownikowi na używanie danych biometrycznych do uwierzytelniania użytkowników na urządzeniach z systemem Android. Jeśli jest to dozwolone, dane biometryczne są używane do uzyskiwania dostępu do aplikacji na urządzeniach z systemem Android 10 lub nowszym. |
|
Aby użyć tego ustawienia, wybierz pozycję Wymagaj , a następnie skonfiguruj limit czasu braku aktywności. Wartość domyślna = Wymagaj |
|
Określ czas w minutach, po którym kod dostępu lub numeryczny (zgodnie z konfiguracją) numer PIN zastąpi użycie danych biometrycznych. Ta wartość limitu czasu powinna być większa niż wartość określona w obszarze "Sprawdź ponownie wymagania dostępu po (minutach braku aktywności)". Wartość domyślna = 30 |
|
Wybierz pozycję Wymagaj , aby wymagać od użytkownika zalogowania się przy użyciu biometrii klasy 3. Aby uzyskać więcej informacji na temat biometrii klasy 3, zobacz Biometria w dokumentacji firmy Google. |
|
Wybierz pozycję Wymagaj , aby zastąpić użycie danych biometrycznych przy użyciu numeru PIN po wykryciu zmiany biometrii.
UWAGA: |
|
Wybierz pozycję Tak , aby wymagać od użytkowników zmiany numeru PIN aplikacji po upływie określonego czasu w dniach. Po ustawieniu wartości Tak należy skonfigurować liczbę dni przed koniecznością zresetowania numeru PIN. Wartość domyślna = Nie |
|
Skonfiguruj liczbę dni, po których wymagane jest zresetowanie numeru PIN. Wartość domyślna = 90 |
|
To ustawienie określa liczbę poprzednich numerów PIN, które Intune będą zachowywane. Wszelkie nowe numery PIN muszą różnić się od tych, które Intune utrzymuje. Wartość domyślna = 0 |
|
Wybierz pozycję Nie jest wymagane, aby wyłączyć numer PIN aplikacji po wykryciu blokady urządzenia na zarejestrowanym urządzeniu z skonfigurowaną Portal firmy. Wartość domyślna = Wymagaj. |
| Poświadczenia konta służbowego na potrzeby dostępu | Wybierz pozycję Wymagaj , aby wymagać od użytkownika zalogowania się przy użyciu konta służbowego zamiast wprowadzania numeru PIN w celu uzyskania dostępu do aplikacji. Po ustawieniu opcji Wymagaj i włączeniu numeru PIN lub monitów biometrycznych są wyświetlane zarówno poświadczenia firmowe, jak i numer PIN lub monity biometryczne. Wartość domyślna = Nie jest wymagana |
| Sprawdź ponownie wymagania dostępu po (w minutach braku aktywności) | Skonfiguruj następujące ustawienie:
|
Uwaga
Aby dowiedzieć się więcej na temat sposobu działania wielu Intune ustawień ochrony aplikacji skonfigurowanych w sekcji Dostęp do tego samego zestawu aplikacji i użytkowników w systemie Android, zobacz Intune MAM — często zadawane pytania i Selektywne czyszczenie danych przy użyciu akcji dostępu do zasad ochrony aplikacji w Intune.
Uruchamianie warunkowe
Skonfiguruj ustawienia uruchamiania warunkowego, aby ustawić wymagania dotyczące zabezpieczeń logowania dla zasad ochrony aplikacji.
Domyślnie dostępnych jest kilka ustawień ze wstępnie skonfigurowanymi wartościami i akcjami. Możesz usunąć niektóre ustawienia, takie jak minimalna wersja systemu operacyjnego. Możesz również wybrać dodatkowe ustawienia z listy rozwijanej Wybierz jeden .
Warunki aplikacji
| Ustawienie | Sposób użycia |
|---|---|
| Maksymalna liczba prób numeru PIN | Określ liczbę prób pomyślnego wprowadzenia numeru PIN przez użytkownika przed podjęciem skonfigurowanej akcji. Jeśli użytkownik nie może pomyślnie wprowadzić numeru PIN po maksymalnej próbie podania numeru PIN, użytkownik musi zresetować numer PIN po pomyślnym zalogowaniu się na koncie i ukończeniu zadania uwierzytelniania wieloskładnikowego (MFA, Multi-Factor Authentication), jeśli jest to wymagane. Ten format ustawienia zasad obsługuje dodatnią liczbę całkowitą.
Akcje obejmują:
|
| Okres prolongaty w trybie offline | Liczba minut, przez które aplikacje zarządzane mogą działać w trybie offline. Określ czas (w minutach) przed ponownym sprawdzeniem wymagań dostępu dla aplikacji.
Akcje obejmują:
|
| Minimalna wersja aplikacji | Określ wartość minimalnej wartości wersji aplikacji.
Akcje obejmują:
Ten wpis może być wyświetlany wiele razy, a każde wystąpienie obsługuje inną akcję. Ten format ustawienia zasad obsługuje pliki major.minor, major.minor.build, major.minor.build.build. Ponadto można skonfigurować miejsce, w którym użytkownicy końcowi mogą uzyskać zaktualizowaną wersję aplikacji biznesowych. Użytkownicy końcowi zobaczą to w oknie dialogowym uruchamiania warunkowego minimalnej wersji aplikacji , co spowoduje wyświetlenie monitu dla użytkowników końcowych o zaktualizowanie do minimalnej wersji aplikacji LOB. W systemie Android ta funkcja używa Portal firmy. Aby skonfigurować lokalizację, w której użytkownik końcowy powinien zaktualizować aplikację lob, aplikacja musi wysłać do niej zasady konfiguracji aplikacji zarządzanej z kluczem com.microsoft.intune.myappstore. Wysłana wartość zdefiniuje, z którego magazynu użytkownik końcowy pobierze aplikację. Jeśli aplikacja jest wdrażana za pośrednictwem Portal firmy, wartość musi mieć wartość CompanyPortal. W przypadku dowolnego innego magazynu należy wprowadzić pełny adres URL. |
| Wyłączone konto | Nie ma wartości do ustawienia dla tego ustawienia.
Akcje obejmują:
|
| Czas braku pracy | Nie ma wartości do ustawienia dla tego ustawienia.
Akcje obejmują:
Następujące aplikacje obsługują tę funkcję w Portal firmy wersji 5.0.5849.0 lub nowszej:
|
Warunki urządzenia
| Ustawienie | Sposób użycia |
|---|---|
| Urządzenia ze zdjętymi zabezpieczeniami systemu /urządzeniami z dostępem do konta root | Określ, czy zablokować dostęp do urządzenia, czy wyczyścić dane urządzenia ze zdjętymi zabezpieczeniami systemu lub urządzeniami z odblokowanym dostępem.
Akcje obejmują:
|
| Minimalna wersja systemu operacyjnego | Określ minimalny system operacyjny Android wymagany do korzystania z tej aplikacji. Akcje będą wyzwalane w wersjach systemu operacyjnego poniżej określonej minimalnej wersji systemu operacyjnego .
Akcje obejmują:
|
| Maksymalna wersja systemu operacyjnego | Określ maksymalny system operacyjny Android wymagany do korzystania z tej aplikacji. Akcje będą wyzwalane w wersjach systemu operacyjnego poniżej określonej maksymalnej wersji systemu operacyjnego .
Akcje obejmują:
|
| Minimalna wersja poprawki | Wymagaj, aby urządzenia miały minimalną poprawkę zabezpieczeń systemu Android wydaną przez firmę Google.
|
| Producenci urządzeń | Określ listę producentów rozdzieloną średnikami. Te wartości nie uwzględniają wielkości liter.
Akcje obejmują:
|
| Werdykt integralności odtwarzania | zasady Ochrona aplikacji obsługują niektóre interfejsy API integralności sklepu Google Play. To ustawienie w szczególności konfiguruje sprawdzanie integralności sklepu Google Play na urządzeniach użytkowników końcowych w celu zweryfikowania integralności tych urządzeń. Określ integralność podstawową lub podstawową integralność i integralność urządzenia. Podstawowa integralność informuje o ogólnej integralności urządzenia. Urządzenia z odblokowanym dostępem, emulatory, urządzenia wirtualne i urządzenia z oznakami naruszenia nie mają podstawowej integralności. Podstawowa integralność & certyfikowanych urządzeń informuje o zgodności urządzenia z usługami Firmy Google. Tylko niezmodyfikowane urządzenia, które zostały certyfikowane przez firmę Google, mogą przejść tę kontrolę. Jeśli wybierzesz werdykt integralności odtwarzania zgodnie z wymaganiami dla uruchamiania warunkowego, możesz określić, że jako typ oceny jest używany test silnej integralności. Obecność silnego sprawdzania integralności jako typu oceny będzie wskazywać większą integralność urządzenia. Urządzenia, które nie obsługują kontroli silnej integralności, zostaną zablokowane przez zasady zarządzania aplikacjami mobilnymi, jeśli zostaną objęte tym ustawieniem. Sprawdzanie silnej integralności zapewnia bardziej niezawodne wykrywanie główne w odpowiedzi na nowsze typy narzędzi i metod rootingu, które nie zawsze mogą być niezawodnie wykrywane przez rozwiązanie tylko oprogramowanie. W ramach aplikacji zaświadczanie sprzętowe zostanie włączone przez ustawienie typu oceny werdyktu integralności odtwarzania na wartość Sprawdź silną integralność po skonfigurowaniu werdyktu integralności odtwarzania , a wymagany typ oceny SafetyNet na silną integralność po skonfigurowaniu sprawdzania integralności urządzenia . Zaświadczanie oparte na sprzęcie wykorzystuje składnik sprzętowy dostarczany z urządzeniami zainstalowanymi z systemem Android 8.1 lub nowszym. Urządzenia, które zostały uaktualnione ze starszej wersji systemu Android do systemu Android 8.1, prawdopodobnie nie będą miały składników sprzętowych niezbędnych do zaświadczania opartego na sprzęcie. Chociaż to ustawienie powinno być szeroko obsługiwane, począwszy od urządzeń dostarczanych z systemem Android 8.1, firma Microsoft zdecydowanie zaleca testowanie urządzeń indywidualnie przed szerokim włączeniem tego ustawienia zasad. Ważny: Urządzenia, które nie obsługują tego typu oceny, zostaną zablokowane lub wyczyszczone na podstawie akcji sprawdzania integralności urządzenia. Organizacje, które chcą korzystać z tej funkcji, muszą upewnić się, że użytkownicy mają obsługiwane urządzenia. Aby uzyskać więcej informacji na temat zalecanych urządzeń firmy Google, zobacz Wymagania zalecane dla systemu Android Enterprise.
Akcje obejmują:
|
| Wymagaj skanowania pod kątem zagrożeń w aplikacjach | zasady Ochrona aplikacji obsługują niektóre interfejsy API usługi Google Play Protect. To ustawienie w szczególności gwarantuje, że skanowanie weryfikujące aplikacje firmy Google jest włączone dla urządzeń użytkowników końcowych. Jeśli zostanie skonfigurowany, użytkownik końcowy będzie miał zablokowany dostęp do momentu włączenia skanowania aplikacji Google na urządzeniu z systemem Android.
Akcje obejmują:
|
| Wymagany typ oceny safetynetu | Zaświadczanie ze sprzętem rozszerza istniejącą kontrolę usługi zaświadczania SafetyNet. Po ustawieniu zaświadczania urządzenia SafteyNet można ustawić wartość Klucz oparty na sprzęcie. |
| Wymagaj blokady urządzenia | To ustawienie określa, czy urządzenie z systemem Android ma numer PIN urządzenia spełniający minimalne wymagania dotyczące hasła. Zasady Ochrona aplikacji mogą podjąć działania, jeśli blokada urządzenia nie spełnia minimalnego wymagania dotyczącego hasła.
Wartości obejmują:
Ta wartość złożoności jest przeznaczona dla systemu Android 12 lub nowszego. W przypadku urządzeń działających w systemie Android 11 lub starszym ustawienie wartości złożoności niskiej, średniej lub wysokiej spowoduje domyślne ustawienie oczekiwanego zachowania w przypadku niskiej złożoności. Aby uzyskać więcej informacji, zobacz dokumentację dla deweloperów firmy Google : getPasswordComplexity, PASSWORD_COMPLEXITY_LOW, PASSWORD_COMPLEXITY_MEDIUM i PASSWORD_COMPLEXITY_HIGH.
Akcje obejmują:
|
| Minimalna wersja Portal firmy | Korzystając z wersji Minimalna Portal firmy, można określić określoną minimalną zdefiniowaną wersję Portal firmy wymuszaną na urządzeniu użytkownika końcowego. To ustawienie uruchamiania warunkowego umożliwia ustawienie wartości Blokuj dostęp, Wyczyść dane i Ostrzegaj jako możliwe akcje, gdy każda wartość nie zostanie spełniony. Możliwe formaty dla tej wartości są zgodne ze wzorcem [Major].[ Pomocniczy], [major].[ Pomocnicze]. [Kompilacja], lub [major].[ Pomocnicze]. [Kompilacja]. [Poprawka]. Biorąc pod uwagę, że niektórzy użytkownicy końcowi mogą nie preferować wymuszonej aktualizacji aplikacji na miejscu, opcja "ostrzegaj" może być idealna podczas konfigurowania tego ustawienia. Sklep Google Play wykonuje dobrą robotę, wysyłając tylko bajty różnicowe dla aktualizacji aplikacji, ale nadal może to być duża ilość danych, których użytkownik może nie chcieć wykorzystać, jeśli korzysta z danych w momencie aktualizacji. Wymuszenie aktualizacji, a tym samym pobranie zaktualizowanej aplikacji, może spowodować nieoczekiwane opłaty za dane w momencie aktualizacji. Aby uzyskać więcej informacji, zobacz Ustawienia zasad systemu Android. |
| Maksymalny wiek wersji Portal firmy (dni) | Możesz ustawić maksymalną liczbę dni jako wiek wersji Portal firmy (CP) dla urządzeń z systemem Android. To ustawienie gwarantuje, że użytkownicy końcowi znajdują się w określonym zakresie wersji cp (w dniach). Wartość musi wynosić od 0 do 365 dni. Jeśli ustawienie dla urządzeń nie zostanie spełnione, zostanie wyzwolona akcja dla tego ustawienia. Akcje obejmują blokowanie dostępu, czyszczenie danych lub ostrzeżenie. Aby uzyskać powiązane informacje, zobacz Ustawienia zasad systemu Android. Nuta: Wiek kompilacji Portal firmy jest określany przez sklep Google Play na urządzeniu użytkownika końcowego. |
| Zaświadczanie urządzenia Samsung Knox | Określ, czy sprawdzanie zaświadczania urządzenia z systemem Samsung Knox jest wymagane. Tylko niezmodyfikowane urządzenia, które zostały zweryfikowane przez firmę Samsung, mogą przejść tę kontrolę. Aby uzyskać listę obsługiwanych urządzeń, zobacz samsungknox.com. Za pomocą tego ustawienia Microsoft Intune zweryfikuje również komunikację z Portal firmy do usługi Intune została wysłana z urządzenia w dobrej kondycji. Akcje obejmują:
Nuta: Użytkownik musi zaakceptować warunki rozwiązania Samsung Knox, aby można było przeprowadzić sprawdzanie zaświadczania urządzenia. Jeśli użytkownik nie zaakceptuje warunków rozwiązania Samsung Knox, zostanie wykonana określona akcja. Nuta: To ustawienie będzie miało zastosowanie do wszystkich urządzeń docelowych. Aby zastosować to ustawienie tylko do urządzeń firmy Samsung, możesz użyć filtrów przypisań "Aplikacje zarządzane". Aby uzyskać więcej informacji na temat filtrów przypisania, zobacz Używanie filtrów podczas przypisywania aplikacji, zasad i profilów w Microsoft Intune. |
| Maksymalny dozwolony poziom zagrożenia urządzenia | Ochrona aplikacji zasady mogą korzystać z łącznika Intune-MTD. Określ maksymalny dopuszczalny poziom zagrożenia do korzystania z tej aplikacji. Zagrożenia są określane przez wybraną aplikację dostawcy usługi Mobile Threat Defense (MTD) na urządzeniu użytkownika końcowego. Określ wartości Zabezpieczone, Niskie, Średnie lub Wysokie.
Zabezpieczone nie wymaga żadnych zagrożeń na urządzeniu i jest najbardziej restrykcyjną wartością konfigurowalną, podczas gdy wysoka zasadniczo wymaga aktywnego połączenia Intune z usługą MTD.
Akcje obejmują:
|
| Podstawowa usługa MTD | Jeśli skonfigurowano wiele łączników Intune-MTD, określ podstawową aplikację dostawcy USŁUGI MTD, która powinna być używana na urządzeniu użytkownika końcowego.
Wartości obejmują:
Aby użyć tego ustawienia, należy skonfigurować ustawienie "Maksymalny dozwolony poziom zagrożenia urządzenia". Nie ma żadnych akcji dla tego ustawienia. |