Autenticazione mediata e accesso condizionato per l'app mobile Warehouse Management

L'app per dispositivi mobili Warehouse Management supporta l'autenticazione brokered, un metodo di accesso in cui un broker di identità a livello di sistema operativo, ad esempio Microsoft Authenticator o Intune Portale aziendale, gestisce la gestione di autenticazione e token per conto dell'app. Quando si usa l'autenticazione negoziata, il broker fornisce Microsoft Entra ID con identità del dispositivo, stato di conformità e segnali di sicurezza durante ogni richiesta di autenticazione.

L'autenticazione mediata non è un metodo di autenticazione separato. È un'opzione di autenticazione per nome utente/password che fa due funzioni: abilita il single sign-on (SSO) e rende l'app compatibile con le policy di Accesso condizionale di Microsoft Entra che dipendono dai segnali del dispositivo. Questo articolo copre entrambi. Usalo come unico riferimento per l'autenticazione brokerata, che tu usi o meno l'Accesso Condizionale.

Accesso condizionale di Microsoft Entra è un motore di policy opzionale che controlla l'accesso in base a condizioni come identità utente, conformità del dispositivo, posizione e livello di rischio. Non è necessario eseguire l'app per dispositivi mobili Warehouse Management.

Questo articolo illustra come abilitare l'autenticazione negoziata nell'app per dispositivi mobili Warehouse Management in modo che l'organizzazione possa applicare i criteri di accesso condizionale.

Funzionamento dell'autenticazione negoziata

Quando si usa l'autenticazione negoziata, si verifica il flusso seguente durante l'accesso:

1. L'app per dispositivi mobili Warehouse Management delega l'autenticazione all'app broker (Microsoft Authenticator o Intune Portale aziendale) installata nel dispositivo.
2. Il broker convalida l'identità dell'app e recupera il token di aggiornamento primario (PRT) del dispositivo, ovvero un token associato al dispositivo che contiene attestazioni di identità e conformità del dispositivo.
3. Il broker invia la richiesta di autenticazione a Microsoft Entra ID, inclusi i segnali del dispositivo.
4. Microsoft Entra ID valuta i criteri di accesso condizionale applicabili all'utente, al dispositivo o all'app e concede o nega l'accesso.
5. Se viene concesso l'accesso, il broker restituisce il token di autenticazione all'app per dispositivi mobili Warehouse Management.

Questo processo abilita funzionalità come Single Sign-On (SSO) tra app, imposizione MFA e protezione dei token associati a dispositivo, senza richiedere direttamente all'app per dispositivi mobili Warehouse Management di gestire questi problemi di sicurezza.

Requisiti dei dispositivi

Per usare l'autenticazione negoziata, il dispositivo deve soddisfare i requisiti seguenti:

• È necessario eseguire l'app per dispositivi mobili Warehouse Management versione 4.0.28 o successiva.
• Il dispositivo deve eseguire una versione supportata di Windows, Android o iOS.
• Il dispositivo deve essere registrato con Microsoft Entra ID. Il broker può effettuare questa registrazione (Workplace Join) durante il primo accesso, quindi non è necessariamente qualcosa da configurare in anticipo. L'app in sé non richiede uno stato di registrazione particolare. Scopri di più sui requisiti di registrazione dei dispositivi.
• Un'app broker deve essere installata nel dispositivo (vedere la tabella seguente). Se non è installato alcun broker, l'app torna all'accesso tramite browser e i segnali del dispositivo non sono disponibili per l'Accesso Condizionato.

Configurare Microsoft Authenticator (Android e iOS)

Seguire questa procedura per configurare Microsoft Authenticator. La procedura è la stessa per Android e iOS.

1. Installare Microsoft Authenticator dall'App Store del dispositivo (Google Play per Android, App Store per iOS).
2. Aprire l'app e selezionare il pulsante Menu .
3. Seleziona Impostazioni.
4. Selezionare Registrazione del dispositivo.
5. Immettere l'indirizzo di posta elettronica o l'account aziendale.
6. Selezionare Registra dispositivo.

Registrazione dell'app

L'autenticazione negoziata funziona con l'applicazione Microsoft Entra ID globale, non è necessaria una registrazione manuale dell'app. È consigliabile usare l'applicazione globale perché è più semplice configurare e gestire.

L'applicazione globale viene fornita come applicazione Microsoft first-party (FPA) ed è disponibile nel cloud commerciale Azure. Se l'ambiente viene distribuito in un cloud per enti pubblici degli Stati Uniti, ad esempio US Government Community Cloud (GCC) o GCC High, l'applicazione globale non è disponibile ed è necessario usare invece una registrazione manuale dell'app.

Se si usa già una registrazione manuale dell'app per altri motivi (ad esempio i requisiti dell'ambiente locale o una distribuzione cloud per enti pubblici), funziona anche con l'autenticazione negoziata. Scopri di più in Crea una registrazione personalizzata per l'applicazione.

Configurare i dispositivi per l'uso dell'autenticazione negoziata

Quando usi l'applicazione globale, l'impostazione "UseBroker" è predefinita true su tutte le piattaforme, quindi l'app cerca di usare un broker senza configurazioni aggiuntive. Un broker deve comunque essere presente sul dispositivo affinché l'autenticazione tramite broker abbia effetto. È possibile configurare i dispositivi manualmente tramite l'interfaccia utente dell'app o automaticamente distribuendo un file JSON tramite codice a matrice o MDM.

Se non si vuole usare l'autenticazione negoziata, impostare l'opzione Di autenticazione negoziata su No nella pagina Modifica connessione (o impostare "UseBroker": false nella configurazione JSON). Se il dispositivo non ha Microsoft Authenticator installato, l'app esegue il fallback a una connessione standard di nome utente e password.

Configurare la connessione manualmente

Per configurare manualmente una connessione, seguire questa procedura in ogni dispositivo:

1. Aprire l'app Warehouse Management per dispositivi mobili e aprire la pagina Modifica connessione eseguendo una delle operazioni seguenti:

   • Se il dispositivo non ha ancora connessioni definite, selezionare Connetti per crearne uno nuovo.
   • Per modificare una connessione esistente, selezionare Tocca per modificare, scegliere la connessione di destinazione e quindi selezionare Modifica impostazioni di connessione.
   • Per aggiungere una nuova connessione, selezionare Configura connessione e quindi selezionare Input manualmente.

2. Impostare le impostazioni seguenti nella pagina Modifica connessione :

   • Metodo di autenticazione : impostare su Nome utente e Password.
   • Cloud : impostare su Azure Globale (scelta consigliata). Se usi una registrazione personalizzata dell'app, imposta questo campo su Manuale e fornisci il valore dell'ID client Microsoft Entra ID.

   Configurare tutte le altre impostazioni come descritto in Configurare manualmente l'applicazione.

3. Seleziona Salva.

4. Accedi con le credenziali Microsoft Entra del lavoratore.

Configura la connessione utilizzando un codice QR per la configurazione della connessione o un sistema MDM

Per distribuire le impostazioni di connessione tramite un codice QR di configurazione connessione o un sistema MDM, crea un file JSON di configurazione della connessione che contenga i dettagli della connessione. Scopri di più nel riferimento delle impostazioni di connessione.

Un codice QR per la configurazione della connessione importa le impostazioni di connessione. Non è la stessa cosa di un codice QR per accedere. Scopri di più sull'accesso tramite codice QR e PIN per l'app mobile Warehouse Management.

Per tutte le piattaforme, la connessione deve utilizzare l'autenticazione per nome utente/password, che specifici come segue nel file JSON di configurazione della connessione:

• "ConnectionType": "UsernamePassword"

Quando usi l'applicazione globale ("AuthCloud": "AzureGlobal"), l'autenticazione mediata è abilitata di default, quindi non devi impostare "UseBroker" esplicitamente.

L'esempio seguente illustra una configurazione JSON che usa l'applicazione globale con l'autenticazione negoziata abilitata:

{
    "ConnectionList": [
        {
            "ConnectionName": "Connection1",
            "ActiveDirectoryResource": "https://yourenvironment.cloudax.dynamics.com",
            "Company": "USMF",
            "ConnectionType": "UsernamePassword",
            "AuthCloud": "AzureGlobal"
        }
    ]
}

Scopri di più su come distribuire il file JSON ai tuoi dispositivi nelle impostazioni di Importa connessione da un QR code e distribuisci in massa l'app mobile con autenticazione basata sull'utente.

Configurazione dei criteri di accesso condizionale

Dopo aver attivato l'autenticazione brokerata sui tuoi dispositivi, gli amministratori IT della tua organizzazione decidono quali policy di Accesso Condizionato applicare e le configurano nel Interfaccia di amministrazione di Microsoft Entra. I seguenti esempi mostrano i tipi di politiche che le organizzazioni applicano comunemente. Sono solo esempi, non raccomandazioni, e la scelta dipende dai requisiti di sicurezza della tua organizzazione:

• Richiedi autenticazione a più fattori: richiedere l'autenticazione a più fattori per tutti gli utenti o gruppi specifici.
• Richiedi dispositivo conforme : blocca l'accesso dai dispositivi che non soddisfano i requisiti di conformità dell'organizzazione.
• Accesso basato sulla posizione : limitare l'accesso a percorsi di rete o intervalli IP specifici.
• Accesso basato su rischio: bloccare o mettere alla prova gli accessi che Microsoft Entra ID rileva come rischiosi.

L'app mobile Warehouse Management non ha bisogno di configurazioni aggiuntive per funzionare con queste policy e non ha impostazioni che le sovrascrivano. Quando si usa l'autenticazione negoziata, il broker passa i segnali del dispositivo e dell'utente necessari a Microsoft Entra ID, che valuta i criteri e concede o nega l'accesso di conseguenza. Se un accesso è bloccato, la valutazione della policy è avvenuta in Microsoft Entra ID, quindi i tuoi amministratori IT devono esaminare la policy e i log di accesso presenti.

Per altre informazioni, vedere la documentazione di Microsoft Entra sulle condizioni di accesso.

Informazioni pertinenti

• Panoramica dell'accesso condizionale di Microsoft Entra
• Installare e configurare l'app per dispositivi mobili Warehouse Management
• Autenticazione basata sull'utente per l'app Warehouse
• Distribuire in massa l'app per dispositivi mobili con l'autenticazione basata sull'utente
• Domande frequenti sull'autenticazione basata sull'utente