App SDK di Intune per Android - Pianificare l'integrazione

Lo SDK per app di Microsoft Intune per Android consente di incorporare i criteri di protezione dell'app di Intune (noti anche come criteri MAM) nell'app Android Java/Kotlin nativa. Un'applicazione gestita da Intune è un'applicazione integrata con l'SDK per app di Intune. Gli amministratori di Intune possono distribuire facilmente i criteri di protezione delle app all'applicazione gestita da Intune quando Intune gestisce attivamente l'app.

Fase 1: pianificare l'integrazione

Questa guida è destinata agli sviluppatori Android che desiderano aggiungere il supporto per i criteri di protezione delle app di Microsoft Intune all'interno dell'app Android esistente.

Obiettivi della fase

  • Informazioni sulle impostazioni dei criteri di protezione delle app disponibili per Android e sul relativo funzionamento all'interno dell'applicazione.
  • Comprendi i punti decisionali chiave durante il processo di integrazione dell'SDK e pianifica l'integrazione della tua app.
  • Comprendere i requisiti per le applicazioni che integrano l'SDK.
  • Creare un tenant di test di Intune e configurare un criterio di protezione delle app Android.

Informazioni su MAM

Prima di iniziare a integrare Intune App SDK nell'applicazione Android, prendere un momento per familiarizzare con la soluzione di gestione delle applicazioni mobili di Microsoft Intune:

Nota

Alcune impostazioni dei criteri di protezione delle app Android richiedono un codice specifico per il supporto. Vedi Fase 7: Funzionalità di partecipazione all'app per maggiori dettagli.

Decisioni chiave per l'integrazione dell'SDK

È necessario registrare l'applicazione in Microsoft Identity Platform?

Sì, tutte le app che si integrano con Intune SDK devono essere registrate in Microsoft Identity Platform. Seguire i passaggi descritti in Guida introduttiva: Registrare un'app in Microsoft Identity Platform - Microsoft Identity Platform.

Si ha accesso al codice sorgente dell'applicazione?

Se non si ha accesso al codice sorgente dell'applicazione ma si ha accesso solo all'applicazione compilata in formato .apk o .aab, non sarà possibile integrare l'SDK nell'applicazione. Tuttavia, l'applicazione potrebbe essere ancora compatibile con i criteri di protezione delle app di Intune. Per altri dettagli, vedi App Wrapping Tool per Android.

L'applicazione deve integrare Libreria di Autenticazione Microsoft (MSAL)?

Fare riferimento a Panoramica di Libreria di Autenticazione Microsoft (MSAL) per determinare se l'applicazione dovrà integrare MSAL. La maggior parte delle applicazioni deve integrare MSAL prima di integrare Intune SDK.

L'app può ignorare l'integrazione di MSAL solo se tutte le condizioni seguenti sono vere:

  • L'applicazione non ha o non deve avere un'esperienza utente finale interattiva di accesso e disconnessione.
  • L'applicazione non supporta più account connessi contemporaneamente.
  • L'applicazione non deve supportare gli account non di Intune.
  • L'applicazione non concede l'accesso alle risorse protette dall'Accesso Condizionale.

Se l'app soddisfa tutte le condizioni precedenti e non integra MSAL, può comunque essere protetta dai criteri di protezione delle app, anche se non con alcuna opzione per l'utilizzo non gestito. Per informazioni dettagliate, vedere Registrazione predefinita .

Vedere la fase 2: prerequisito MSAL per istruzioni sull'integrazione di MSAL e altri dettagli sugli scenari di identità all'interno dell'applicazione.

L'applicazione è a identità singola o multi-identità?

Senza il supporto dei criteri di protezione delle app di Intune, in che modo l'applicazione gestisce l'autenticazione utente e gli account?

  • L'applicazione consente attualmente l'accesso a un solo account? L'applicazione forza esplicitamente l'account connesso a disconnettersi ed eliminare i dati dell'account precedente prima di consentire l'accesso a un altro account? In tal caso, l'applicazione è a identità singola.

  • L'applicazione consente attualmente l'accesso a un secondo account, anche se è già stato eseguito l'accesso con un account diverso? L'applicazione visualizza i dati di più account su uno schermo condiviso? L'applicazione memorizza i dati di più account? L'applicazione consente agli utenti di passare da un account connesso all'altro? In tal caso, la tua domanda è multi-identità e dovrai seguire la fase 5: multi-identità. Questa sezione è obbligatoria per l'app.

Anche se l'applicazione è multi-identità, seguire questa guida all'integrazione nell'ordine. L'integrazione e il test iniziali come identità singola consentiranno di garantire una corretta integrazione e prevenire bug in cui i dati aziendali non sono protetti.

L'applicazione ha o richiede impostazioni di Configurazione app?

Android supporta configurazioni di gestione specifiche dell'applicazione che si applicano alle applicazioni distribuite in modalità di gestione Android Enterprise. Gli amministratori possono configurare questi criteri di configurazione delle applicazioni per i dispositivi Android Enterprise gestitinell'interfaccia di amministrazione di Microsoft Intune.

Intune supporta anche configurazioni delle applicazioni che si applicano alle applicazioni integrate nell'SDK, indipendentemente dalla modalità di gestione dei dispositivi. Gli amministratori possono configurare questi criteri di configurazione delle applicazioni per le app gestitenell'interfaccia di amministrazione di Microsoft Intune.

L'SDK dell'app Intune supporta entrambi i tipi di configurazione dell'applicazione e fornisce una singola API per l'accesso alle configurazioni da entrambi i canali. Se l'applicazione ha o supporterà uno di questi tipi di configurazione dell'applicazione, è necessario seguire la fase 6: Configurazione app.

L'applicazione deve definire una protezione granulare per l'ingresso e l'uscita dei dati?

Se l'app consente agli utenti di salvare dati o aprire dati da servizi cloud o posizioni di dispositivi, deve apportare modifiche per supportare i criteri di trasferimento dati avanzati. Vedere i criteri per limitare il trasferimento dei dati tra le app e le posizioni di archiviazione del dispositivo o del cloud nella fase 7: Funzionalità di partecipazione alle app.

L'applicazione visualizza notifiche che contengono informazioni specifiche dell'utente?

Le app con più identità devono eseguire modifiche al codice per rispettare correttamente i criteri di notifica. Le app con identità singola potrebbero voler apportare modifiche al codice in modo che questo criterio di notifica non blocchi il 100% delle notifiche dell'app. Consulta i criteri per limitare il contenuto all'interno delle notifiche nella fase 7: Funzionalità di partecipazione all'app.

L'applicazione supporta la funzionalità di backup e ripristino di Android?

Android supporta le funzionalità di backup e ripristino per preservare i dati e la personalizzazione per gli utenti quando eseguono l'aggiornamento a un nuovo dispositivo o reinstallano l'app.

Intune supporta anche funzionalità di backup e ripristino per applicazioni integrate con SDK, per garantire che i dati aziendali non possano essere trapelati tramite un ripristino.

Se l'app supporta questa funzionalità, è necessario apportare modifiche al codice per proteggere i dati aziendali durante il ripristino. Vedere Criterio per la protezione dei dati di backup nella Fase 7: Funzionalità di partecipazione all'app.

L'applicazione dispone di risorse che devono essere protette dall'accesso condizionale?

Accesso condizionale (CA) è una funzionalità di Microsoft Entra ID che può essere usata per controllare l'accesso alle risorse di Microsoft Entra. Gli amministratori di Intune possono definire regole di firma che consentano l'accesso alle risorse solo da dispositivi o app gestiti da Intune.

Intune supporta due tipi di CA: CA basata sul dispositivo e CA basata su app, nota anche come CA di protezione delle app. L'autorità di certificazione basata sul dispositivo blocca l'accesso alle risorse protette finché l'intero dispositivo non viene gestito da Intune. La CA basata su app blocca l'accesso alle risorse protette finché l'app specifica non viene gestita dai criteri di protezione delle app di Intune.

Se l'app acquisisce token di accesso di Microsoft Entra e accede a risorse che possono essere protette da CA, sarà necessario seguire Support App Protection CA nella fase 7: Funzionalità di partecipazione alle app.

L'applicazione ha un tema distinto che deve essere conservato nell'interfaccia utente mostrata da Intune App SDK?

Per impostazione predefinita, l'SDK dell'app Intune visualizzerà i componenti dell'interfaccia utente per l'applicazione dei criteri colorati in base al tema predefinito.

La possibilità di sovrascrivere il tema predefinito è cosmetica e facoltativa. Vedere Fornire un tema personalizzato nel Passaggio 7: Funzioni di partecipazione all'app.

Requisiti

App Portale aziendale

SDK per app Intune per Android si basa sulla presenza dell'app Portale aziendale nel dispositivo per abilitare i criteri di protezione delle app. Il Portale aziendale recupera i criteri di protezione delle app dal servizio Intune. Quando un'app integrata nell'SDK viene inizializzata, carica i criteri e il codice per applicare tali criteri dal Portale aziendale.

Nota

Quando l'app Portale aziendale non è presente nel dispositivo, un'app integrata nell'SDK si comporta come una normale app che non supporta i criteri di protezione dell'app Intune. Anche se l'app Portale aziendale si trova nel dispositivo, un'app integrata nell'SDK si comporta come di consueto quando l'utente finale non è interessato ai criteri di protezione dell'app.

L'utente non è tenuto ad accedere all'app del Portale aziendale o ad avviarla per il funzionamento dei criteri di protezione delle app.

Versioni di Android

Nota

Assicurati che la tua app sia compatibile con i requisiti di Google Play.

L'SDK supporta completamente l'API Android 28 (Android 9.0) fino all'API Android 36 (Android 16). Per usare come destinazione l'API Android 36 (Android 16), devi usare Intune App SDK v12.0.0 o versione successiva.

Le API da 26 a 27 (Android 8.0 - 8.1) hanno un supporto limitato. L'app Portale aziendale non è supportata in base all'API Android 26 (Android 8.0). I criteri di protezione delle app non sono supportati al di sotto dell'API Android 28 (Android 9.0).

Se l'app dichiara minSdkVersion un livello API inferiore all'API 28 (Android 9.0), Intune App SDK non bloccherà l'utilizzo dell'app per gli utenti che non sono interessati dai criteri di protezione delle app.

Telemetria

La Intune App SDK per Android non controlla la raccolta dei dati dall'app. L'applicazione Portale aziendale registra i dati generati dal sistema per impostazione predefinita. Questi dati vengono inviati a Microsoft Intune. In base ai criteri Microsoft, Intune non raccoglie dati personali.

Consiglio

Se gli utenti finali scelgono di non inviare questi dati, devono disattivare la telemetria in Impostazioni nell'app Portale aziendale. Per altre informazioni, vedere Disattivare la raccolta dei dati di utilizzo di Microsoft.

Creazione di un criterio di protezione delle app Android di test

Configurazione del tenant demo

Se non si ha già un tenant con la società, è possibile creare un tenant demo con o senza dati pregenerati. È necessario registrarsi come partner Microsoft per accedere a Microsoft CDX. Per creare un nuovo account:

  1. Passare al sito di creazione tenant di Microsoft CDX e creare un tenant di Microsoft 365 Enterprise.
  2. Configurare Intune per abilitare la gestione di dispositivi mobili (MDM).
  3. Creare utenti.
  4. Creare gruppi.
  5. Assegnare le licenze in base alle esigenze dei test.

Configurazione dei criteri di protezione di app

Creare e assegnare criteri di protezione delle app nell'interfaccia di amministrazione di Microsoft Intune. Oltre a creare criteri di protezione delle app, è possibile creare e assegnare criteri di configurazione delle app in Intune.

Prima di testare le impostazioni dei criteri di protezione delle app all'interno della propria applicazione, è utile acquisire familiarità con il comportamento di queste impostazioni all'interno di altre applicazioni integrate nell'SDK.

Consiglio

Se l'app non è elencata nell'interfaccia di amministrazione di Microsoft Intune, è possibile assegnarle un criterio selezionando l'opzione Altre app e specificando il nome del pacchetto nella casella di testo. Per testare correttamente l'integrazione, è necessario utilizzare i criteri di protezione delle app come target dell'app e distribuirli a un utente. Anche se i criteri sono mirati e distribuiti, l'app non applicherà correttamente i criteri finché non avrà integrato correttamente l'SDK.

Criteri di chiusura

  • Hai familiarizzato con il comportamento delle diverse impostazioni dei criteri di protezione delle app all'interno della tua applicazione Android?
  • L'app è stata esaminata e l'integrazione dell'app è stata pianificata per quanto riguarda MSAL, l'accesso condizionale, l'identità multipla, la configurazione app e tutte le funzionalità SDK aggiuntive?
  • Sono stati creati criteri di protezione delle app Android nel tenant di test?

Domande frequenti

Perché l'app Portale aziendale è necessaria per i criteri di protezione delle applicazioni in Android?

Il Portale aziendale Android recupera e mantiene i criteri di protezione delle app dal servizio Intune per conto di tutte le applicazioni abilitate per MAM nel dispositivo. Quando le applicazioni abilitate per MAM vengono inizializzate, i dettagli dei criteri e il codice per applicare tali impostazioni dei criteri vengono importati dal Portale aziendale. Il Portale aziendale contiene anche codice per ridurre il numero di richieste di autenticazione visualizzate agli utenti finali. Infine, il Portale aziendale raccoglie i dati di sistema per migliorare il servizio Intune. Per informazioni dettagliate, vedere Telemetria.

Nota

La funzionalità del Portale aziendale per i criteri di protezione delle app è specifica di Android.

Cosa succede quando gli utenti con dispositivi non supportati hanno indirizzato i criteri di protezione delle app?

L'esperienza dell'utente finale nei dispositivi Android non supportati dai criteri di protezione dell'app Intune dipende dalla versione del sistema operativo Android del dispositivo:

Versioni del sistema operativo Android Comportamento di Google Play Comportamento dell'app MAM
Sotto Android 8.0 L'app Portale aziendale non sarà disponibile per il download da Google Play. I dispositivi in cui è già installato il Portale aziendale non potranno essere aggiornati alle nuove versioni del Portale aziendale. La funzionalità MAM non verrà bloccata universalmente. Tuttavia, poiché le app integrate nell'SDK vengono fornite con le nuove versioni dell'SDK, agli utenti destinati a MAM verrà impedito l'accesso a queste app, perché non possono aggiornare il Portale aziendale. Quando un utente che ha definito mirato i criteri MAM e che ha precedentemente eseguito l'accesso all'app avvia un'app di questo tipo, gli verrà richiesto di aggiornare il Portale aziendale. Gli utenti possono attenuare questo comportamento rimuovendo l'account di destinazione MAM dall'applicazione. Se gli utenti disinstallano il Portale aziendale, il loro account verrà automaticamente rimosso dall'app, ma non potranno accedere di nuovo con l'account di destinazione MAM.
Android 8.x L'app del Portale aziendale sarà disponibile per il download da Google Play. I dispositivi in cui è già installato il Portale aziendale potranno comunque essere aggiornati alle nuove versioni del Portale aziendale. La funzionalità MAM non è bloccata attivamente. Tuttavia, Android 8.x non è supportato e le funzionalità di MAM potrebbero non funzionare come previsto.

Che cos'è lo strumento App Wrapping?

Gli sviluppatori di app Android possono integrare le funzionalità di Intune nelle loro applicazioni in diversi modi. Oltre all'SDK, descritto in questa guida, gli sviluppatori possono utilizzare anche l'App Wrapping Tool per Android. Per un confronto dettagliato tra l'SDK e lo strumento di wrapping delle app, vedi Preparare i criteri di protezione delle app line-of-business per le app.

Operazioni successive

Dopo aver completato tutti i criteri di uscita precedenti, passare alla fase 2: prerequisito MSAL.

  • Last updated on