Preparar aplicaciones iOS para las directivas de protección de aplicaciones con el Intune App Wrapping Tool

Use el Microsoft Intune App Wrapping Tool para iOS para habilitar Intune directivas de protección de aplicaciones para aplicaciones iOS internas sin cambiar el código de la propia aplicación.

La herramienta es una aplicación de línea de comandos de macOS que crea un contenedor alrededor de una aplicación. Una vez que se procesa una aplicación, puede cambiar su funcionalidad implementando directivas de protección de aplicaciones .

Para descargar la herramienta, consulte Microsoft Intune App Wrapping Tool para iOS en GitHub.

Requisitos previos generales para la herramienta de ajuste de aplicaciones App Wrapping Tool

Antes de ejecutar el App Wrapping Tool, debe cumplir algunos requisitos previos generales:

• Descargue el Microsoft Intune App Wrapping Tool para iOS desde GitHub.

• Un equipo macOS que tiene instalada la versión 16.0 o posterior del conjunto de herramientas Xcode.

• Su empresa o un proveedor de software independiente (ISV) debe desarrollar y firmar la aplicación iOS de entrada.

  • El archivo debe tener la extensión .ipa o .app.

  • Debe compilarse para iOS 16.0 o posterior.

  • No se puede cifrar.

  • No hay atributos de archivo extendidos.

  • Establezca los derechos antes de procesar la aplicación con el Intune App Wrapping Tool. Los derechos proporcionan a la aplicación más permisos y capacidades más allá de los permisos que normalmente se conceden. Consulte Configuración de derechos de aplicación para obtener instrucciones.

• Asegúrese de que existen certificados de firma válidos en el almacén de claves del sistema. Si tienes problemas con la firma de código de la aplicación, sigue estos pasos para resolverlos:
  • Restablecer la configuración de confianza para todos los certificados relacionados
  • Instalar certificados intermedios en el almacén de claves del sistema y en el almacén de claves de inicio de sesión
  • Desinstale y vuelva a instalar todos los certificados relacionados

Registro de la aplicación con Microsoft Entra ID

1. Registra tus aplicaciones con Microsoft Entra ID. Para obtener más información, consulte Registro de una aplicación con la Plataforma de identidad de Microsoft.
2. Agrega la URL de redirección personalizada a la configuración de la aplicación. Para obtener más información, consulte Configuración de MSAL.
3. Conceda a la aplicación acceso al servicio MAM de Intune. Para obtener más información, consulte Conceder acceso de la aplicación al servicio de administración de aplicaciones móviles de Intune.
4. Una vez completados los cambios anteriores, ejecute la versión más reciente de la herramienta de ajuste de aplicaciones de Intune. Configuración de las aplicaciones para la biblioteca de autenticación de Microsoft (MSAL): agrega el id. de cliente de aplicación Microsoft Entra en los parámetros de línea de comandos con el Intune App Wrapping Tool. Para obtener más información, consulte Parámetros de línea de comandos.

5. Implemente la aplicación.

Requisitos previos para desarrolladores de Apple para la App Wrapping Tool

Para distribuir apps empaquetadas exclusivamente a los usuarios de tu organización, necesitas una cuenta con Apple Developer Enterprise Program y varias entidades para la firma de apps que estén vinculadas a tu cuenta de Apple Developer.

Para obtener más información sobre la distribución de aplicaciones iOS internamente a los usuarios de su organización, lea la guía oficial sobre la distribución de aplicaciones del Programa Enterprise para desarrolladores de Apple.

Necesita lo siguiente para distribuir aplicaciones encapsuladas por Intune:

• Una cuenta de desarrollador con el Programa Enterprise para desarrolladores de Apple.

• Certificado de firma de distribución interno y ad-hoc con identificador de equipo válido.

  • Necesita el hash SHA1 del certificado de firma como parámetro para el Intune App Wrapping Tool.

• Perfil de aprovisionamiento de distribución interna.

Crear una cuenta de desarrollador Enterprise de Apple

1. Vaya al sitio del Programa Apple Developer Enterprise.

2. En la parte superior derecha de la página, seleccione Inscribirse.

3. Lea la lista de verificación de lo que necesita inscribirse. Seleccione Iniciar su inscripción en la parte inferior de la página.

4. Inicie sesión con la cuenta de Apple de su organización. Si no tienes una, selecciona Crear cuenta de Apple.

5. Seleccione el tipo de entidad y haga clic en Continuar.

6. Rellene el formulario con la información de su organización. Seleccione Continuar. En este momento, Apple se pondrá en contacto contigo para verificar que tienes autorización para inscribir a tu organización.

7. Después de la comprobación, seleccione Aceptar licencia.

8. Después de aceptar la licencia, finalice comprando y activando el programa.

9. Si eres el agente del equipo (la persona que se une al Apple Developer Enterprise Program de tu organización), invita a los miembros del equipo y asigna roles para formar tu equipo. Para obtener información sobre cómo administrar su equipo, lea la documentación de Apple sobre cómo administrar su equipo de cuentas de desarrollador.

Crear un certificado de firma de Apple

1. Vaya al Portal para desarrolladores de Apple.

2. En la parte superior derecha de la página, seleccione Cuenta.

3. Inicia sesión con la cuenta de Apple de tu organización.

4. Seleccione certificados, identificadores & perfiles.

   

5. Seleccione el en la esquina superior derecha. Esta acción agrega un certificado iOS.

6. Elija crear un certificado interno y ad hoc en Producción.

   

   Nota:

   Si no tiene previsto distribuir la aplicación y solo quiere probarla internamente, puede usar un certificado de desarrollo de aplicaciones iOS en lugar de un certificado para producción. Si usa un certificado de desarrollo, asegúrese de que el perfil de aprovisionamiento móvil incluya los dispositivos en los que planea instalar la aplicación.

7. Seleccione Siguiente en la parte inferior de la página.

8. Lea las instrucciones sobre cómo crear una solicitud de firma de certificado (RSC) mediante la aplicación Acceso a llaveros en su equipo macOS.

   

9. Siga las instrucciones anteriores para crear una solicitud de firma de certificado. En su equipo macOS, inicie la aplicación Acceso a llaveros .

10. En el menú macOS de la parte superior de la pantalla, vaya a Acceso a llaveros > Asistente > para certificados Solicitar un certificado a una entidad de certificación.

    

11. Siga las instrucciones del sitio para desarrolladores de Apple para crear un archivo de solicitud de firma de certificado (RSC). Guarde el archivo CSR en su equipo macOS.

    

12. Vuelva al sitio para desarrolladores de Apple. Seleccione Continuar. Después, cargue el archivo RSC.

13. Apple genera el certificado de firma. Descárguelo y guárdelo en un lugar memorable de su equipo macOS.

    

14. Haga doble clic en el archivo de certificado que ha descargado para agregar el certificado a un llavero.

15. Abra Acceso a llaveros de nuevo. Busque su certificado buscando su nombre en la barra de búsqueda superior derecha. Haz clic con el botón derecho en el elemento para que aparezca el menú y selecciona Obtener información. En las pantallas de ejemplo, estamos usando un certificado de desarrollo en lugar de un certificado de producción.

    

16. Aparecerá una ventana informativa. Desplázate hasta la parte inferior y mira debajo de la etiqueta Huellas dactilares . Copie la cadena SHA1 (difuminada) para usarla como argumento de "-c" en la App Wrapping Tool.

    

Crear un perfil de aprovisionamiento de distribución de In-House

1. Volver al portal de la cuenta de desarrollador de Apple e inicia sesión con la cuenta de Apple de tu organización.

2. Seleccione certificados, identificadores & perfiles.

3. Seleccione el en la esquina superior derecha. Esta acción agrega un perfil de aprovisionamiento de iOS.

4. Elija crear un perfil de aprovisionamiento interno en Distribución.

   

5. Seleccione Continuar. Asegúrese de vincular el certificado de firma generado anteriormente al perfil de aprovisionamiento.

6. Siga los pasos para descargar su perfil (con extensión .mobileprovision) en su equipo macOS.

7. Guarda el archivo en una ubicación fácil de recordar. Este archivo se utiliza para el parámetro -p mientras se utiliza el App Wrapping Tool.

Descargar la App Wrapping Tool

1. Descargue los archivos de la herramienta de ajuste de aplicaciones App Wrapping Tool desde GitHub a un equipo macOS.

2. Haga doble clic en Microsoft Intune Application Restrictions Packager for iOS.dmg. Aparece una ventana con el Contrato de licencia para el usuario final (CLUF). Lea el documento cuidadosamente.

3. Elija Aceptar para aceptar el CLUF, que monta el paquete en el equipo.

Ejecutar la App Wrapping Tool

Usar terminal

Abra la terminal macOS y ejecute el siguiente comando:

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> [-aa <authority URI of input app>] [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>] [-dt] [-dl] [-ds]

Ejemplo: El siguiente comando de ejemplo ejecuta la App Wrapping Tool en la aplicación denominada MyApp.ipa. Se especifican un perfil de aprovisionamiento y un hash SHA-1 del certificado de firma y se usan para firmar la aplicación envuelta. La aplicación de salida (MyApp_Wrapped.ipa) se crea y se almacena en la carpeta Escritorio.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -ac "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -ar "msauth.myAppsBundleID://auth" -v

Parámetros de línea de comandos

Puede usar los siguientes parámetros de línea de comandos con la App Wrapping Tool:

Ejemplo: En el siguiente comando de ejemplo se ejecuta la App Wrapping Tool e incorpora los comandos necesarios al encapsular una aplicación para su uso en un único inquilino.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v

Usar un plist para introducir argumentos

Una manera fácil de ejecutar la App Wrapping Tool es poner todos los argumentos de comando en un archivo plist. Plist es un formato de archivo similar a XML que puede usar para ingresar los argumentos de la línea de comandos mediante una interfaz de formulario.

En la carpeta IntuneMAMPackager/Contents/MacOS, abra Parameters.plist (una plantilla de lista de puntos en blanco) con un editor de texto o Xcode. Escriba los argumentos para las siguientes claves:

Ejecute IntuneMAMPackager con el plist como único argumento:

./IntuneMAMPackager –f Parameters.plist

Ajuste posterior

Una vez completado el proceso de ajuste, se mostrará el mensaje "La aplicación se ha encapsulado correctamente". Si se produce un error, consulte Mensajes de error para obtener ayuda.

La aplicación empaquetada se guarda en la carpeta de salida que especificó anteriormente. Puede cargar la aplicación en el Centro de administración de Intune y asociarla a una directiva de administración de aplicaciones móviles.

Ahora puede implementar la aplicación en sus grupos de usuarios y dirigir las directivas de protección de aplicaciones a la aplicación. La aplicación se ejecuta en el dispositivo mediante las directivas de protección de aplicaciones especificadas.

¿Con qué frecuencia debo volver a encapsular mi aplicación iOS con el Intune App Wrapping Tool?

Los escenarios principales en los que necesitaría volver a envolver las aplicaciones son los siguientes:

• La propia aplicación publicó una nueva versión. La versión anterior de la aplicación se ajustó y cargó en el Centro de administración de Intune.
• La Intune App Wrapping Tool para iOS publicó una nueva versión que permite correcciones de errores clave o nuevas características específicas de directiva de protección de aplicaciones Intune. El lanzamiento de una nueva versión se produce cada 6 a 8 semanas a través del repositorio de GitHub para el Microsoft Intune App Wrapping Tool para iOS.

Para iOS/iPadOS, puede ajustar la aplicación con un certificado o perfil de aprovisionamiento diferente al que se usó originalmente para firmar la aplicación. Sin embargo, si el nuevo perfil de aprovisionamiento no incluye las autorizaciones especificadas en la aplicación, se produce un error en el proceso de ajuste. Si usas la opción de línea de comandos "-e", que quita cualquier derecho que falte en la aplicación, para forzar el ajuste para que no falle en este escenario, se puede producir una funcionalidad rota en la aplicación.

Entre las prácticas recomendadas para volver a encapsular se incluyen:

• Asegurarse de que un perfil de aprovisionamiento diferente tiene todas las autorizaciones necesarias que cualquier perfil de aprovisionamiento anterior.

Mensajes de error y archivos de registro

Use la siguiente información para solucionar los problemas que pueda tener con la herramienta de ajuste de aplicaciones.

Mensajes de error

Si la herramienta de ajuste de aplicaciones no finaliza correctamente, se muestra uno de los siguientes mensajes de error en la consola:

Recopilar registros para las aplicaciones encapsuladas desde el dispositivo

Siga estos pasos para obtener registros para las aplicaciones ajustadas durante la solución de problemas.

1. Vaya a la aplicación de configuración de iOS en el dispositivo y seleccione la aplicación de LOB.
2. Seleccione Microsoft Intune.
3. Cambie la configuración de la consola de diagnóstico de pantalla a Activado.
4. Inicie la aplicación de LOB.
5. Selecciona el vínculo "Comenzar".
6. Ahora puede enviar registros directamente a Microsoft o compartirlos a través de otra aplicación en el dispositivo.

Collecting crash logs from the system (Recopilación de registros de bloqueo del sistema)

Es posible que la aplicación esté registrando información útil en la consola del dispositivo cliente de iOS. Esta información es útil cuando tiene problemas con la aplicación y necesita determinar si el problema está relacionado con la App Wrapping Tool o con la propia aplicación. Para recuperar esta información, siga estos pasos:

1. Reproduzca el problema ejecutando la aplicación.

2. Para recopilar la salida de la consola, siga las instrucciones de Apple para depurar aplicaciones iOS implementadas.

Las aplicaciones envolventes también presentarán a los usuarios la opción de enviar registros directamente desde el dispositivo por correo electrónico después de que la aplicación se bloquee. Los usuarios pueden enviarle los registros para examinarlos y reenviarlos a Microsoft si es necesario.

Certificado, perfil de aprovisionamiento y requisitos de autenticación

La herramienta App Wrapping Tool para iOS tiene algunos requisitos que deben cumplirse para garantizar su funcionalidad total.

Configuración de derechos de aplicación

Antes de encapsular la aplicación, puede conceder derechos para conceder a la aplicación permisos y funcionalidades adicionales que superen lo que una aplicación puede hacer normalmente. Un archivo de derechos se usa durante la firma de código para especificar permisos especiales dentro de la aplicación (por ejemplo, acceso a un llavero compartido). Los servicios de aplicaciones específicos denominados funcionalidades se habilitan en Xcode durante el desarrollo de la aplicación. Una vez habilitadas, las funcionalidades se reflejan en el archivo de derechos. Para obtener más información acerca de los derechos y las funcionalidades, consulte Agregar capacidades en la Biblioteca para desarrolladores de iOS. Para obtener una lista completa de las funcionalidades admitidas, consulte Funcionalidades compatibles.

Funcionalidades admitidas para App Wrapping Tool para iOS

Pasos para habilitar los derechos

1. Habilite las funcionalidades en la aplicación:

   a. En Xcode, vaya al destino de la aplicación y seleccione Capacidades.

   b. Active las funcionalidades apropiadas. Para obtener información detallada sobre cada funcionalidad y cómo determinar los valores correctos, consulte Agregar capacidades en la biblioteca para desarrolladores de iOS.

   c. Anote cualquier identificador que haya creado durante el proceso. Estos identificadores se pueden denominar AppIdentifierPrefix valores.

   d. Cree y firme la aplicación que se va a ajustar.

2. Habilite los derechos en su perfil de aprovisionamiento:

   a. Inicia sesión en el Centro de miembros para desarrolladores de Apple.

   b. Cree un perfil de aprovisionamiento para la aplicación. Para obtener instrucciones, consulte Cómo obtener los requisitos previos para el Intune App Wrapping Tool para iOS.

   c. En el perfil de aprovisionamiento, habilite los mismos derechos que tiene en la aplicación. Debe proporcionar los mismos identificadores (los AppIdentifierPrefix valores) que especificó durante el desarrollo de la aplicación.

   d. Finalice el asistente para perfiles de aprovisionamiento y descargue el archivo.

3. Asegúrese de que cumple todos los requisitos previos y, a continuación, ajuste la aplicación.

Solucionar errores comunes con los derechos

Si la herramienta App Wrapping Tool para iOS muestra un error de derecho, pruebe los siguientes pasos de solución de problemas.

Buscar los derechos existentes de una aplicación firmada

Para revisar los derechos existentes de una aplicación firmada y un perfil de aprovisionamiento:

1. Busque el archivo .ipa y cambie su extensión a .zip.

2. Expanda el archivo .zip. Esta acción crea una carpeta que contiene tu paquete .app.

3. Usa la herramienta de codiseño para comprobar los derechos en el paquete de .app, donde YourApp.app está el nombre real de tu paquete .app.

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. Usa la herramienta de seguridad para comprobar los derechos del perfil de aprovisionamiento insertado de la aplicación, donde YourApp.app está el nombre real del paquete de .app.

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

Quitar derechos de una aplicación mediante el parámetro –e

Este comando quita las funcionalidades habilitadas de la aplicación que no están en el archivo de derechos. Si quita las funcionalidades que usa la aplicación, puede romper su aplicación. Un ejemplo en el que podría quitar las funcionalidades que faltan es en una aplicación producida por el proveedor que tiene todas las funcionalidades de forma predeterminada.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> `–p` /<path to provisioning profile> –c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> -e

Seguridad y privacidad de App Wrapping Tool

Use los siguientes procedimientos recomendados de seguridad y privacidad cuando use el App Wrapping Tool.

• El certificado de firma, el perfil de aprovisionamiento y la aplicación de línea de negocio que especifique deben estar en el mismo equipo macOS que usa para ejecutar la herramienta de ajuste de aplicaciones. Si los archivos están en una ruta UNC, asegúrese de que la máquina macOS pueda acceder a ellos. La ruta de acceso se debe proteger mediante la firma IPsec o SMB.

  La aplicación ajustada importada en el centro de administración debe estar en el mismo equipo en el que ejecuta la herramienta. Si el archivo está en una ruta de acceso UNC, asegúrese de que sea accesible en el equipo que ejecuta el centro de administración. La ruta de acceso se debe proteger mediante la firma IPsec o SMB.

• El entorno en el que se descarga el App Wrapping Tool desde el repositorio de GitHub debe protegerse mediante la firma IPsec o SMB.

• La aplicación que procese debe proceder de una fuente de confianza para garantizar la protección contra ataques.

• Asegúrese de que la carpeta de salida que especifica en la App Wrapping Tool está protegida, especialmente si es una carpeta remota.

• Las aplicaciones de iOS que incluyen un cuadro de diálogo de carga de archivos pueden permitir a los usuarios eludir, cortar, copiar y pegar las restricciones aplicadas a la aplicación. Por ejemplo, un usuario podría usar el cuadro de diálogo de carga de archivos para cargar una captura de pantalla de los datos de la aplicación.

• Al supervisar la carpeta documentos del dispositivo desde una aplicación encapsulada, es posible que vea una carpeta denominada .msftintuneapplauncher. Si cambia o elimina este archivo, podría afectar al funcionamiento correcto de las aplicaciones restringidas.

• El registro de esquemas de direcciones URL personalizadas permite que direcciones URL específicas se redirijan a la aplicación. iOS y iPadOS permiten que varias aplicaciones registren el mismo esquema de dirección URL personalizado y el sistema operativo determina qué aplicación se invoca. Consulta la documentación de Apple Definir un esquema de URL personalizado para tu app para obtener recomendaciones que ayuden a evitar conflictos de esquemas de URL personalizados y directrices de seguridad para controlar URL con un formato incorrecto.

Recursos adicionales

• Decidir cómo preparar aplicaciones para la administración de aplicaciones móviles con Microsoft Intune
• Preguntas comunes, problemas y resoluciones con directivas y perfiles de dispositivos
• Usar el SDK para habilitar las aplicaciones para la administración de aplicaciones móviles