Selektives Löschen von Daten mithilfe der App-Schutzrichtlinie Aktionen für bedingten Start in Intune

Aktionen zum bedingten Starten in Intune-App-Schutzrichtlinien bieten Organisationen die Möglichkeit, den Zugriff auf Organisationsdaten zu blockieren oder zu löschen, wenn bestimmte Geräte- oder App-Bedingungen nicht erfüllt sind.

Sie können sich mithilfe dieser Einstellungen explizit dafür entscheiden, die Unternehmensdaten Ihres Unternehmens vom Gerät des Endbenutzers zu löschen, um bei Nichtkompatibilität vorzugehen. Für einige Einstellungen können Sie mehrere Aktionen konfigurieren, z. B. den Zugriff blockieren und Daten basierend auf verschiedenen angegebenen Werten löschen.

Erstellen einer App-Schutzrichtlinie mithilfe von Aktionen für bedingten Start

1. Melden Sie sich beim Microsoft Intune Admin Center an.
2. Wählen Sie "App-Schutz>" aus.
3. Wählen Sie Richtlinie erstellen und dann die Plattform des Geräts für Ihre Richtlinie aus.
4. Wählen Sie "Erforderliche Einstellungen konfigurieren " aus, um die Liste der Einstellungen anzuzeigen, die für die Richtlinie konfiguriert werden können.
5. Wenn Sie im Einstellungsbereich nach unten scrollen, sehen Sie einen Abschnitt mit dem Titel Bedingter Start mit einer bearbeitbaren Tabelle.
6. Wählen Sie eine Einstellung aus und geben Sie den Wert ein, den Benutzer erfüllen müssen, um sich bei Ihrer Unternehmens-App anmelden zu können.
7. Wählen Sie die Aktion aus, die Sie ausführen möchten, wenn Benutzer Ihre Anforderungen nicht erfüllen. In einigen Fällen können mehrere Aktionen für eine einzelne Einstellung konfiguriert werden. Weitere Informationen finden Sie unter Erstellen und Zuweisen von App-Schutzrichtlinien.

Richtlinieneinstellungen

Die Einstellungstabelle für die App-Schutzrichtlinie enthält Spalten für Einstellung, Wert und Aktion.

Vorschau: Windows-Richtlinieneinstellungen

Unter Windows können Sie Aktionen für die folgenden Einstellungen der "Integritätsprüfung" über das Dropdownmenü "Einstellungen " konfigurieren:

• Deaktiviertes Konto
• Maximale Betriebssystemversion
• Mindestversion für App
• Mindestversion für Betriebssystem
• Mindestversion für SDK
• Offline-Toleranzperiode
• Maximal zulässige Gerätebedrohungsstufe

iOS-Richtlinieneinstellungen

Für iOS/iPadOS können Sie Aktionen für die folgenden Einstellungen über das Dropdownmenü Einstellungen konfigurieren:

• Maximal zulässige PIN-Versuche
• Offline-Toleranzperiode
• Geräte mit Jailbreak/entfernten Nutzungsbeschränkungen
• Maximale Betriebssystemversion
• Mindestversion für Betriebssystem
• Mindestversion für App
• Mindestversion für SDK
• Gerätemodelle
• Maximal zulässige Gerätebedrohungsstufe
• Deaktiviertes Konto

Um die Einstellung "Gerätemodell(e)" zu verwenden, geben Sie eine durch Semikolons getrennte Liste von iOS/iPadOS-Modellbezeichnern ein. Bei diesen Werten wird die Groß-/Kleinschreibung nicht beachtet. Neben in der Intune-Berichterstellung für die Eingabe "Gerätemodell(e)" finden Sie eine iOS/iPadOS-Modell-ID in diesem GitHub-Repository eines Drittanbieters.
Beispieleingabe: iPhone5,2; iPhone5,3

Auf Endbenutzergeräten würde der Intune-Client Aktionen basierend auf einem einfachen Abgleich von Gerätemodellzeichenfolgen ausführen, die in Intune für Anwendungsschutzrichtlinien angegeben sind. Der Abgleich hängt ganz davon ab, was das Gerät meldet. Sie (der IT-Administrator) sollten sicherstellen, dass das beabsichtigte Verhalten auftritt, indem Sie diese Einstellung auf Grundlage verschiedener Gerätehersteller und -modelle testen und auf eine kleine Benutzergruppe abzielen. Der Standardwert ist "Nicht konfiguriert".
Legen Sie eine der folgenden Aktionen fest:

• Angegebene zulassen (nicht angegebener Block)
• Angegebene zulassen (Nicht angegebenes Zurücksetzen)

Was geschieht, wenn der IT-Administrator eine andere Liste von iOS/iPadOS-Modellbezeichnern zwischen Richtlinien eingibt, die auf dieselben Apps für denselben Intune-Benutzer ausgerichtet sind?
Wenn Konflikte zwischen zwei App-Schutzrichtlinien für konfigurierte Werte auftreten, verfolgt Intune in der Regel den restriktivsten Ansatz. Die resultierende Richtlinie, die an die vom betroffenen Intune-Benutzer geöffnete Ziel-App gesendet wird, wäre eine Schnittmenge der aufgelisteten iOS/iPadOS-Modellbezeichner in Richtlinie A und Richtlinie B, die auf dieselbe Kombination aus App und Benutzer ausgerichtet sind. Beispielsweise gibt Richtlinie A aniPhone5,2;iPhone5,3, während Richtlinie B angibtiPhone5,3, die resultierende Richtlinie, die der Intune-Benutzer ist, auf den sowohl von Richtlinie A als auch von Richtlinie BiPhone5,3abzielt.

Android-Richtlinieneinstellungen

Für Android können Sie Aktionen für die folgenden Einstellungen über das Dropdownmenü Einstellungen konfigurieren:

• Maximal zulässige PIN-Versuche
• Offline-Toleranzperiode
• Geräte mit Jailbreak/entfernten Nutzungsbeschränkungen
• Mindestversion für Betriebssystem
• Maximale Betriebssystemversion
• Mindestversion für App
• Minimale Patchversion
• Gerätehersteller
• Urteil zur Integrität der Wiedergabe
• Bedrohungsüberprüfung für Apps erforderlich
• Minimale Version des Unternehmensportals
• Maximal zulässige Gerätebedrohungsstufe
• Deaktiviertes Konto
• Gerätesperre erforderlich

Mithilfe der Mindestversion des Unternehmensportals können Sie eine bestimmte definierte Mindestversion des Unternehmensportals angeben, die auf einem Endbenutzergerät erzwungen wird. Diese Einstellung für bedingten Start ermöglicht es Ihnen, Werte wie "Zugriff blockieren", "Daten löschen" und "Warnen " als mögliche Aktionen festzulegen, wenn jeder Wert nicht erreicht wird. Die möglichen Formate für diesen Wert folgen dem Muster [Major].[ Moll], [Haupt].[ Minor]. [Build] oder [Major].[ Minor]. [Build]. [Revision]. Angesichts der Tatsache, dass einige Endbenutzer möglicherweise keine erzwungene Aktualisierung von Apps vor Ort bevorzugen, kann die Option "Warnen" ideal sein, wenn Sie diese Einstellung konfigurieren. Der Google Play Store leistet gute Arbeit, indem er nur die Deltabytes für App-Updates sendet. Dies kann jedoch immer noch eine große Datenmenge sein, die der Benutzer möglicherweise nicht verwenden möchte, wenn er zum Zeitpunkt des Updates über Daten verfügt. Das Erzwingen eines Updates und das Herunterladen einer aktualisierten App könnte zum Zeitpunkt des Updates zu unerwarteten Datengebühren führen. Die Einstellung für die Mindestversion des Unternehmensportals wirkt, falls konfiguriert, auf alle Endbenutzer, die Version 5.0.4560.0 des Unternehmensportals erhalten, sowie auf alle zukünftigen Versionen des Unternehmensportals. Diese Einstellung hat keine Auswirkungen auf Benutzer, die eine Version von Unternehmensportal verwenden, die älter ist als die Version, mit der dieses Feature veröffentlicht wurde. Endbenutzern, die automatische App-Updates auf ihrem Gerät verwenden, werden wahrscheinlich keine Dialogfelder von diesem Feature angezeigt, da sie sich wahrscheinlich auf der neuesten Version des Unternehmensportals befinden. Diese Einstellung gilt nur für Android mit App-Schutz für registrierte und nicht registrierte Geräte.

Um die Einstellung " Gerätehersteller(n)" zu verwenden, geben Sie eine durch Semikolons getrennte Liste der Android-Hersteller ein. Bei diesen Werten wird die Groß-/Kleinschreibung nicht beachtet. Neben der Intune-Berichterstellung finden Sie den Android-Hersteller eines Geräts unter den Geräteeinstellungen.
Beispieleingabe: Hersteller A; Hersteller B

Auf Endbenutzergeräten würde der Intune-Client Aktionen basierend auf einem einfachen Abgleich von Gerätemodellzeichenfolgen ausführen, die in Intune für Anwendungsschutzrichtlinien angegeben sind. Der Abgleich hängt ganz davon ab, was das Gerät meldet. Sie (der IT-Administrator) sollten sicherstellen, dass das beabsichtigte Verhalten auftritt, indem Sie diese Einstellung auf Grundlage verschiedener Gerätehersteller und -modelle testen und auf eine kleine Benutzergruppe abzielen. Der Standardwert ist "Nicht konfiguriert".
Legen Sie eine der folgenden Aktionen fest:

• Angegebene zulassen (Bei nicht angegebenem blockieren)
• Angegebene zulassen (Zurücksetzen bei nicht angegeben)

Was geschieht, wenn der IT-Administrator eine andere Liste von Android-Herstellern zwischen Richtlinien eingibt, die auf dieselben Apps für denselben Intune-Benutzer ausgerichtet sind?
Wenn Konflikte zwischen zwei App-Schutzrichtlinien für konfigurierte Werte auftreten, verfolgt Intune in der Regel den restriktivsten Ansatz. Die resultierende Richtlinie, die an die Ziel-App gesendet wird, die vom Ziel-Intune-Benutzer geöffnet wird, wäre eine Schnittmenge der in Richtlinie A und Richtlinie B aufgeführten Android-Hersteller, die auf dieselbe App-/Benutzerkombination ausgerichtet ist. Beispielsweise gibt Richtlinie A anGoogle;Samsung, während Richtlinie B angibtGoogle, die resultierende Richtlinie, die der Intune-Benutzer ist, auf den sowohl von Richtlinie A als auch von Richtlinie BGoogleabzielt.

Weitere Einstellungen und Aktionen

Standardmäßig enthält die Tabelle aufgefüllte Zeilen als Einstellungen, die für den Offline-Aktivierungszeitraum und maximale PIN-Versuche konfiguriert sind, wenn die Einstellung PIN für Zugriff erforderlich auf Ja festgelegt ist.

Um eine Einstellung zu konfigurieren, wählen Sie eine Einstellung aus der Dropdownliste unter der Spalte Einstellung aus. Sobald eine Einstellung ausgewählt ist, wird das bearbeitbare Textfeld in der Spalte Wert in derselben Zeile aktiviert, wenn ein Wert festgelegt werden muss. Außerdem wird das Dropdown-Menü in der Spalte "Aktion " mit dem Satz der für die Einstellung geltenden Aktionen für den bedingten Start aktiviert.

Die folgende Liste enthält die allgemeine Liste der Aktionen:

• Zugriff blockieren : Blockieren Sie den Endbenutzer für den Zugriff auf die Unternehmens-App.
• Daten löschen – Löschen Sie die Unternehmensdaten vom Gerät des Endbenutzers.
• Warnung – Dialogfeld für Endbenutzer als Warnmeldung bereitstellen.

In einigen Fällen, z. B. bei der Einstellung Min. Betriebssystemversion , können Sie die Einstellung so konfigurieren, dass alle anwendbaren Aktionen basierend auf unterschiedlichen Versionsnummern ausgeführt werden.

Sobald eine Einstellung vollständig konfiguriert ist, wird die Zeile in einer schreibgeschützten Ansicht angezeigt und kann jederzeit bearbeitet werden. Darüber hinaus scheint die Zeile in der Spalte Einstellungen über ein Dropdownmenü zur Auswahl zu verfügen. Konfigurierte Einstellungen, die nicht mehrere Aktionen zulassen, stehen in der Dropdownliste nicht zur Auswahl zur Verfügung.

Nächste Schritte

Weitere Informationen zu Intune-App-Schutzrichtlinien finden Sie unter:

• Erstellen und Zuweisen von App-Schutzrichtlinien
• Einstellungen für App-Schutzrichtlinien für iOS/iPadOS
• Richtlinieneinstellungen für den Android-App-Schutz in Microsoft Intune.