Préparer les applications iOS aux stratégies de protection des applications avec le Intune App Wrapping Tool

Utilisez le Microsoft Intune App Wrapping Tool pour iOS pour activer Intune stratégies de protection des applications pour les applications iOS internes sans modifier le code de l’application elle-même.

L’outil est une application en ligne de commande macOS qui crée une enveloppe autour d’une application. Une fois qu’une application est traitée, vous pouvez modifier les fonctionnalités de l’application en y déployant des stratégies de protection des applications .

Pour télécharger l’outil, consultez Microsoft Intune App Wrapping Tool pour iOS sur GitHub.

Conditions générales préalables pour l’App Wrapping Tool

Avant d’exécuter l’App Wrapping Tool, vous devez remplir certaines conditions préalables générales :

• Téléchargez le Microsoft Intune App Wrapping Tool pour iOS à partir de GitHub.

• Un ordinateur macOS sur lequel Xcode toolset version 16.0 ou ultérieure est installé.

• Votre entreprise ou un éditeur de logiciels indépendant (ISV) doit développer et signer l’application iOS d’entrée.

  • Le fichier doit avoir l’extension .ipa ou .app.

  • Il doit être compilé pour iOS 16.0 ou version ultérieure.

  • il ne peut pas être chiffré.

  • Aucun attribut de fichier étendu.

  • Définissez les droits avant de traiter l’application avec le Intune App Wrapping Tool. Les droits donnent à l’application plus d’autorisations et de fonctionnalités au-delà des autorisations généralement accordées. Pour obtenir des instructions, consultez Définition des droits d’application .

• Assurez-vous que des certificats de signature valides existent dans votre trousseau système. Si vous rencontrez des problèmes de signature de code d’application, procédez comme suit pour les résoudre :
  • Réinitialiser les paramètres de confiance pour tous les certificats associés
  • Installer des certificats intermédiaires dans le trousseau système et le trousseau de connexion
  • Désinstallez et réinstallez tous les certificats associés

Inscrire votre application avec Microsoft Entra ID

1. Inscrivez vos applications avec Microsoft Entra ID. Pour plus d’informations, voir Inscrire une application sur la Plateforme d’identités Microsoft.
2. Ajoutez l’URL de redirection personnalisée aux paramètres de votre application. Pour plus d’informations, consultez Configuration de MSAL.
3. Accordez à votre application l’accès au service GAM d’Intune. Pour plus d’informations, reportez-vous à la rubrique Autoriser votre application à accéder au service Intune Gestion des applications mobiles.
4. Une fois les modifications ci-dessus terminées, exécutez la dernière version de l’outil d’habillage d’application Intune. Configurer vos applications pour la bibliothèque d’authentification Microsoft (MSAL) : ajoutez l’ID client de l’application Microsoft Entra dans les paramètres de ligne de commande avec le Intune App Wrapping Tool. Pour plus d’informations, consultez Paramètres de ligne de commande.

5. Déployez l’application.

Conditions préalables pour les développeurs Apple pour l’App Wrapping Tool

Pour distribuer des applications encapsulées exclusivement aux utilisateurs de votre organisation, vous avez besoin d’un compte avec l’Apple Developer Enterprise Program et de plusieurs entités pour la signature d’applications liées à votre compte Apple Developer.

Pour en savoir plus sur la distribution d’applications iOS en interne aux utilisateurs de votre organisation, lisez le guide officiel de distribution d’applications Apple Developer Enterprise Program.

Vous avez besoin des éléments suivants pour distribuer les applications encapsulées par Intune :

• Un compte de développeur avec le programme Apple Developer Enterprise.

• Certificat de signature de distribution interne et ad hoc avec identificateur d’équipe valide.

  • Vous avez besoin du hachage SHA1 du certificat de signature en tant que paramètre du Intune App Wrapping Tool.

• Profil d’approvisionnement de distribution interne.

Créer un compte Apple Developer Enterprise

1. Accédez au site Apple Developer Enterprise Program.

2. Dans le coin supérieur droit de la page, sélectionnez S’inscrire.

3. Lisez la liste de contrôle de ce que vous devez inscrire. Sélectionnez Commencer votre inscription en bas de la page.

4. Connectez-vous avec le compte Apple de votre organization. Si vous n’en avez pas, sélectionnez Créer un compte Apple.

5. Sélectionnez votre type d’entité , puis sélectionnez Continuer.

6. Remplissez le formulaire avec les informations de votre organisation. Cliquez sur Continuer. À ce stade, Apple vous contacte pour vérifier que vous êtes autorisé à inscrire votre organisation.

7. Après vérification, sélectionnez Accepter la licence.

8. Après avoir accepté la licence, terminez en achetant et en activant le programme.

9. Si vous êtes l’agent d’équipe (la personne qui rejoint le programme Apple Developer Enterprise pour votre organisation), invitez des membres de l’équipe et attribuez-leur des rôles pour constituer votre équipe. Pour savoir comment gérer votre équipe, consultez la documentation Apple sur la gestion de votre équipe de compte de développeur.

Créer un certificat de signature Apple

1. Accédez au portail Apple Developer.

2. En haut à droite de la page, sélectionnez Compte.

3. Connectez-vous à l’aide de votre compte Apple professionnel.

4. Sélectionnez Certificats, ID & profils.

   

5. Sélectionnez le dans le coin supérieur droit. Cette action ajoute un certificat iOS.

6. Choisissez de créer un certificat interne et ad hoc en cours de production.

   

   Remarque

   Si vous n’envisagez pas de distribuer l’application et souhaitez uniquement la tester en interne, vous pouvez utiliser un certificat de développement d’applications iOS au lieu d’un certificat pour la production. Si vous utilisez un certificat de développement, assurez-vous que le profil d’approvisionnement mobile inclut les appareils sur lesquels vous prévoyez d’installer l’application.

7. Sélectionnez Suivant en bas de la page.

8. Lisez les instructions de création d’une demande de signature de certificat (CSR) à l’aide de l’application Trousseau d’accès sur votre ordinateur macOS.

   

9. Suivez les instructions précédentes pour créer une demande de signature de certificat. Sur votre ordinateur macOS, lancez l’application Trousseau d’accès .

10. Dans le menu macOS en haut de l’écran, accédez à Trousseau d’accès > Assistant > Certificat Demander un certificat auprès d’une autorité de certification.

    

11. Suivez les instructions du site des développeurs Apple pour créer un fichier de demande de signature de certificat (CSR). Enregistrez le fichier CSR sur votre ordinateur macOS.

    

12. Revenez au site des développeurs Apple. Cliquez sur Continuer. Téléchargez ensuite le fichier CSR.

13. Apple génère votre certificat de signature. Téléchargez-le et enregistrez-le dans un emplacement mémorable sur votre ordinateur macOS.

    

14. Double-cliquez sur le fichier de certificat que vous avez téléchargé pour ajouter le certificat à un trousseau.

15. Ouvrez de nouveau Trousseau d’accès . Localisez votre certificat en recherchant son nom dans la barre de recherche supérieure droite. Faites un clic droit sur l’élément pour afficher le menu et sélectionnez Obtenir des informations. Dans les écrans d’exemple, nous utilisons un certificat de développement au lieu d’un certificat de production.

    

16. Une fenêtre d’information s’affiche. Faites défiler vers le bas et regardez sous l’étiquette Empreintes digitales . Copiez la chaîne SHA1 (floutée) pour l’utiliser comme argument de « -c » pour l’App Wrapping Tool.

    

Créer un profil de provisionnement de la distribution In-House

1. Retour au portail du compte de développeur Apple et connectez-vous avec votre compte Apple professionnel.

2. Sélectionnez Certificats, ID & profils.

3. Sélectionnez le dans le coin supérieur droit. Cette action ajoute un profil d’approvisionnement iOS.

4. Choisissez de créer un profil d’approvisionnement interne sous Distribution.

   

5. Cliquez sur Continuer. Assurez-vous de lier le certificat de signature précédemment généré au profil d’approvisionnement.

6. Suivez les étapes pour télécharger votre profil (avec extension .mobileprovision) sur votre ordinateur macOS.

7. Enregistrez le fichier dans un emplacement mémorable. Ce fichier est utilisé pour le paramètre -p lors de l’utilisation de l’App Wrapping Tool.

Télécharger l’App Wrapping Tool

1. Téléchargez les fichiers de l’App Wrapping Tool depuis GitHub vers un ordinateur macOS.

2. Double-cliquez sur Microsoft Intune Application Restrictions Packager pour iOS.dmg. Une fenêtre avec le Contrat de Licence Utilisateur Final (CLUF) s’affiche. Lisez attentivement le document.

3. Sélectionnez Accepter pour accepter le CLUF, qui monte le package sur votre ordinateur.

Exécuter l’App Wrapping Tool

Utiliser le terminal

Ouvrez le Terminal macOS et exécutez la commande suivante :

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> [-aa <authority URI of input app>] [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>] [-dt] [-dl] [-ds]

Exemple : L’exemple de commande suivant exécute l’App Wrapping Tool sur l’application MyApp.ipa. Un profil d’approvisionnement et un hachage SHA-1 du certificat de signature sont spécifiés et utilisés pour signer l’application encapsulée. L’application de sortie (MyApp_Wrapped.ipa) est créée et stockée dans votre dossier Bureau.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -ac "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -ar "msauth.myAppsBundleID://auth" -v

Paramètres de ligne de commande

Vous pouvez utiliser les paramètres de ligne de commande suivants avec l’App Wrapping Tool :

Exemple : L’exemple de commande suivant exécute l’App Wrapping Tool, en incorporant les commandes requises lors de l’encapsulation d’une application pour une utilisation dans un seul locataire.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v

Utiliser un plist pour saisir des arguments

Une manière simple d’exécuter l’App Wrapping Tool consiste à placer tous les arguments de commande dans un fichier plist. Plist est un format de fichier similaire au XML que vous pouvez utiliser pour entrer vos arguments de ligne de commande à l’aide d’une interface de formulaire.

Dans le dossier IntuneMAMPackager/Contents/MacOS, ouvrez Parameters.plist (un modèle de plist vide) avec un éditeur de texte ou Xcode. Entrez vos arguments pour les clés suivantes :

Exécutez IntuneMAMPackager avec le plist comme seul argument :

./IntuneMAMPackager –f Parameters.plist

Post-emballage

Une fois le processus de découpage terminé, le message « L’application a été correctement emballée » s’affiche. Si une erreur se produit, consultez la section Messages d’erreur pour obtenir de l’aide.

L’application encapsulée est enregistrée dans le dossier de sortie que vous avez spécifié précédemment. Vous pouvez télécharger l’application dans le Centre d’administration Intune et l’associer à une stratégie de gestion des applications mobiles.

Vous pouvez maintenant déployer l’application vers vos groupes d’utilisateurs et cibler les stratégies de protection des applications sur l’application. L’application s’exécute sur l’appareil à l’aide des stratégies de protection des applications que vous avez spécifiées.

À quelle fréquence dois-je réencapsuler mon application iOS avec le Intune App Wrapping Tool ?

Les principaux scénarios dans lesquels vous auriez besoin de réencapsuler vos applications sont les suivants :

• L’application elle-même a publié une nouvelle version. La version précédente de l’application a été encapsulée et téléchargée dans le Centre d’administration Intune.
• Le Intune App Wrapping Tool d’iOS a publié une nouvelle version qui active des correctifs de bogues clés ou de nouvelles fonctionnalités spécifiques Intune la stratégie de protection des applications. La publication d’une nouvelle version a lieu toutes les 6 à 8 semaines via le référentiel GitHub pour le Microsoft Intune App Wrapping Tool pour iOS.

Pour iOS/iPadOS, vous pouvez encapsuler l’application avec un certificat ou un profil d’approvisionnement différent de celui utilisé à l’origine pour signer l’application. Toutefois, si le nouveau profil d’approvisionnement n’inclut pas les droits spécifiés dans l’application, le processus d’encapsulation échoue. Si vous utilisez l’option de ligne de commande « -e », qui supprime les droits manquants dans l’application, pour forcer l’exécution de l’encapsulation à ne pas échouer, ce scénario peut entraîner une rupture de fonctionnalité dans l’application.

Voici quelques bonnes pratiques pour le réencapsulage :

• S’assurer qu’un profil d’approvisionnement différent dispose de tous les droits requis comme n’importe quel profil d’approvisionnement précédent.

Messages d’erreur et fichiers journaux

Utilisez les informations suivantes pour résoudre les problèmes que vous rencontrez avec l’outil de wrappage d’application.

Messages d’erreur

Si l’outil d’habillage d’application ne se termine pas correctement, l’un des messages d’erreur suivants s’affiche dans la console :

Collecte des journaux de vos applications encapsulées à partir de l’appareil

Procédez comme suit pour obtenir les journaux de vos applications encapsulées pendant la résolution des problèmes.

1. Accédez à l’application Paramètres iOS sur votre appareil, puis sélectionnez votre application métier.
2. Sélectionnez Microsoft Intune.
3. Positionnez le paramètre de la console de diagnostic de l’affichage sur Activé.
4. Lancez votre application métier.
5. Sélectionnez le lien « Prise en main ».
6. Vous pouvez maintenant envoyer des journaux directement à Microsoft ou les partager via une autre application sur l’appareil.

Collecte des journaux d’activité d’incident à partir du système

Votre application enregistre peut-être des informations utiles sur la console de l’appareil client iOS. Ces informations sont utiles lorsque vous rencontrez des problèmes avec l’application et que vous devez déterminer si le problème est lié à l’App Wrapping Tool ou à l’application elle-même. Pour récupérer ces informations, procédez de la manière suivante :

1. Reproduisez le problème en exécutant l’application.

2. Collectez la sortie de la console en suivant les instructions d’Apple pour Déboguer les applications iOS déployées.

Les applications encapsulées offriront également aux utilisateurs la possibilité d’envoyer des journaux directement depuis l’appareil par e-mail après le plantage de l’application. Les utilisateurs peuvent vous envoyer les journaux pour examen et transfert à Microsoft si nécessaire.

Exigences en matière de certificat, de profil d’approvisionnement et d’authentification

L’App Wrapping Tool pour iOS a certaines exigences qui doivent être satisfaites afin de garantir une fonctionnalité complète.

Définition des droits d’application

Avant d’encapsuler votre application, vous pouvez accorder des droits pour accorder à l’application des autorisations et des fonctionnalités supplémentaires qui dépassent ce qu’une application peut généralement faire. Un fichier de droits est utilisé lors de la signature du code pour spécifier des autorisations spéciales au sein de votre application (par exemple, l’accès à un trousseau partagé). Des services d’application spécifiques appelés fonctionnalités sont activés dans Xcode pendant le développement d’applications. Une fois activées, les fonctionnalités apparaissent dans votre fichier de droits. Pour plus d’informations sur les droits et les fonctionnalités, consultez Ajout de fonctionnalités dans la bibliothèque pour développeurs iOS. Pour obtenir la liste complète des fonctionnalités prises en charge, consultez Fonctionnalités prises en charge.

Fonctionnalités prises en charge pour l’App Wrapping Tool pour iOS

Étapes pour activer les droits

1. Activez les fonctionnalités dans votre application :

   a. Dans Xcode, accédez à la cible de votre application et sélectionnez Fonctionnalités.

   b. Activez les fonctionnalités appropriées. Pour plus d’informations sur chaque fonctionnalité et sur la façon de déterminer les valeurs correctes, consultez Ajout de fonctionnalités dans la Bibliothèque pour développeurs iOS.

   c. Notez les ID que vous avez créés au cours du processus. Ces ID peuvent être appelés les AppIdentifierPrefix valeurs.

   d. Générez et signez votre application pour qu’elle soit encapsulée.

2. Activez les droits dans votre profil d’approvisionnement :

   a. Connectez-vous à l’Espace membres Développeur Apple.

   b. Créez un profil d’approvisionnement pour votre application. Pour obtenir des instructions, consultez Comment obtenir les conditions préalables pour le Intune App Wrapping Tool pour iOS.

   c. Dans votre profil d’approvisionnement, activez les mêmes droits que ceux dont vous disposez dans votre application. Vous devez fournir les mêmes ID ( AppIdentifierPrefix les valeurs) que vous avez spécifiés lors du développement de votre application.

   d. Finalisez l’Assistant Profil de configuration et téléchargez votre fichier.

3. Assurez-vous que vous remplissez toutes les conditions préalables, puis encapsulez l’application.

Résoudre les erreurs courantes liées aux droits

Si l’App Wrapping Tool pour iOS affiche une erreur d’autorisation, essayez les étapes de dépannage suivantes.

Rechercher les droits existants d’une application signée

Pour vérifier les droits existants d’une application signée et d’un profil d’approvisionnement :

1. Recherchez le fichier .ipa et remplacez son extension par .zip.

2. Développez le fichier .zip. Cette action crée un dossier de charge utile contenant votre offre groupée .app.

3. Utilisez l’outil de co-conception pour case activée les droits sur l’offre groupée .app, où YourApp.app se trouve le nom réel de votre offre groupée .app.

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. Utilisez l’outil de sécurité pour case activée les droits du profil d’approvisionnement intégré de l’application, où YourApp.app se trouve le nom réel de votre offre groupée .app.

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

Supprimer des droits d’une application à l’aide du paramètre –e

Cette commande supprime toutes les fonctionnalités activées dans l’application qui ne sont pas dans le fichier de droits. Si vous supprimez les fonctionnalités utilisées par l’application, votre application peut s’arrêter. Vous pouvez par exemple supprimer des fonctionnalités manquantes dans une application produite par un fournisseur qui dispose de toutes les fonctionnalités par défaut.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> `–p` /<path to provisioning profile> –c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> -e

Sécurité et confidentialité pour l’App Wrapping Tool

Utilisez les meilleures pratiques de sécurité et de confidentialité suivantes lorsque vous utilisez l’App Wrapping Tool.

• Le certificat de signature, le profil d’approvisionnement et l’application cœur de métier que vous spécifiez doivent se trouver sur le même ordinateur macOS que celui que vous utilisez pour exécuter l’outil d’habillage d’application. Si les fichiers se trouvent sur un chemin UNC, assurez-vous que l’ordinateur macOS peut y accéder. Le chemin d’accès doit être sécurisé via une signature IPsec ou SMB.

  L’application encapsulée importée dans le Centre d’administration doit se trouver sur le même ordinateur que celui sur lequel vous exécutez l’outil. Si le fichier se trouve sur un chemin UNC, assurez-vous qu’il est accessible sur l’ordinateur exécutant le Centre d’administration. Le chemin d’accès doit être sécurisé via une signature IPsec ou SMB.

• L’environnement dans lequel l’App Wrapping Tool est téléchargé à partir du référentiel GitHub doit être sécurisé via une signature IPsec ou SMB.

• L’application que vous traitez doit provenir d’une source fiable pour garantir la protection contre les attaques.

• Assurez-vous que le dossier de sortie que vous spécifiez dans l’App Wrapping Tool est sécurisé, en particulier s’il s’agit d’un dossier distant.

• Les applications iOS qui incluent une boîte de dialogue de téléchargement de fichier peuvent permettre aux utilisateurs de contourner, couper, copier et coller les restrictions appliquées à l’application. Par exemple, un utilisateur peut utiliser la boîte de dialogue de chargement de fichier pour télécharger une capture d’écran des données de l’application.

• Lorsque vous surveillez le dossier documents sur votre appareil à partir d’une application encapsulée, il est possible qu’un dossier nommé .msftintuneapplauncher. Si vous modifiez ou supprimez ce fichier, cela peut affecter le bon fonctionnement des applications restreintes.

• L’inscription de schémas d’URL personnalisés permet à des URL spécifiques de rediriger vers votre application. iOS et iPadOS permettent à plusieurs applications d’enregistrer le même schéma d’URL personnalisé et le système d’exploitation détermine l’application invoquée. Reportez-vous à la documentation Apple Définition d’un schéma d’URL personnalisé pour votre application afin d’obtenir des recommandations pour éviter les collisions de schémas d’URL personnalisés et des instructions de sécurité pour la gestion des URL malformées.

Ressources supplémentaires

• Décider comment préparer les applications pour la gestion des applications mobiles avec Microsoft Intune
• Questions courantes, problèmes et résolutions concernant les profils et les stratégies d’appareils
• Utiliser le SDK pour activer les applications pour la gestion des applications mobiles