Intune App SDK per Android - Funzionalità di partecipazione alle app

Lo SDK per app di Microsoft Intune per Android consente di incorporare i criteri di protezione dell'app di Intune (noti anche come criteri MAM) nell'app Android Java/Kotlin nativa. Un'applicazione gestita da Intune si integra con l'SDK per app di Intune. Gli amministratori di Intune possono distribuire facilmente i criteri di protezione delle app all'applicazione gestita da Intune quando Intune gestisce attivamente l'app.

Fase 7: Funzionalità di partecipazione all'app

Obiettivi della fase

• Informazioni sulle funzionalità di partecipazione alle app offerte da Intune App SDK.
• Integrare le funzionalità di partecipazione all'app pertinenti per l'app e gli utenti.
• Testare l'integrazione di queste funzionalità.

Che cosa sono le "Funzionalità di partecipazione alle app"?

Questo processo di integrazione SDK tenta di ridurre al minimo la quantità di codice specifico dell'app che gli sviluppatori devono scrivere. Completando correttamente le fasi precedenti dell'integrazione dell'SDK, l'app ora applica la maggior parte delle impostazioni dei criteri di protezione delle app, ad esempio la crittografia dei file, le restrizioni di copia/incolla, il blocco degli screenshot e le restrizioni del trasferimento dei dati.

Tuttavia, alcune impostazioni richiedono che il codice specifico dell'app venga applicato correttamente. Queste impostazioni sono denominate funzionalità di partecipazione alle app. In genere, l'SDK non ha abbastanza contesto sul codice dell'applicazione o sullo scenario dell'utente finale per applicare automaticamente queste impostazioni e quindi si basa sugli sviluppatori per chiamare le API SDK in modo appropriato.

Le funzionalità di partecipazione alle app non sono necessariamente facoltative. A seconda delle funzionalità esistenti dell'app, queste funzionalità potrebbero essere necessarie. Per informazioni dettagliate, vedi Decisioni chiave per l'integrazione dell'SDK .

Le fasi precedenti di questa guida descrivono già diverse funzionalità di partecipazione alle app:

• Multi-identità come descritto nella Fase 5: Multi-identità.
• Configurazione dell'app come descritto nella Fase 6: Configurazione app.

Il resto di questa guida descrive il set rimanente di funzionalità di partecipazione all'app:

• Applica criteri che limitano il salvataggio o l'apertura di file dall'archiviazione locale o cloud.
• Applicare criteri che limitano il contenuto nelle notifiche.
• Applicare criteri che proteggono i dati di backup.
• Applicare i criteri che limitano l'acquisizione dello schermo (se l'app ha un codice di acquisizione dello schermo personalizzato).
• Supporto App Protection CA.
• Registrati per ricevere le notifiche dall'SDK.
• Applicare temi dell'applicazione personalizzati.
• Usare certificati attendibili di Intune, garantendo la catena di attendibilità agli endpoint locali.

Partecipazione alle app Nozioni di base sulle funzionalità

L'interfaccia AppPolicy contiene molti metodi che informano l'app se determinate azioni sono consentite.

La maggior parte delle funzionalità di partecipazione alle app include:

• Identificare il punto del codice dell'app in cui verificare se è consentita un'azione.
• Chiamata di un AppPolicy metodo per verificare se è consentita un'azione, in base ai criteri attualmente configurati.
• A seconda del risultato, consentendo il completamento dell'azione o modificando il comportamento dell'app quando l'azione viene bloccata.

Per recuperare un'istanza AppPolicy , utilizzare uno dei metodi MAMPolicyManager , ad esempio getPolicy(final Context context) o getPolicyForIdentityOID(final String oid).

Metodi informativi in AppPolicy

Non tutti i metodi sono AppPolicy associati a una funzionalità di partecipazione all'app. Alcuni metodi sono informativi e forniscono all'app i dati sui criteri attualmente configurati, anche se tali criteri vengono applicati automaticamente dall'SDK. Questi metodi esistono per offrire all'app l'opportunità di presentare esperienze utente personalizzate quando vengono configurati criteri specifici.

Esempio: determinare se gli screenshot sono bloccati

Se l'app dispone di un controllo che consente all'utente di acquisire uno screenshot, è consigliabile disabilitare o nascondere tale controllo se i criteri di protezione delle app bloccano gli screenshot.

L'app può controllare chiamando MAMPolicyManager.getPolicy(currentActivity).getIsScreenCaptureAllowed().

Criteri per limitare il trasferimento dei dati tra le app e le posizioni di archiviazione del dispositivo o del cloud

Molte app consentono all'utente finale di salvare dati o aprirli da servizi di archiviazione file locali o cloud. Intune App SDK consente agli amministratori IT di proteggersi dall'ingresso e dalla perdita di dati, limitando la posizione in cui le app possono salvare e aprire i dati.

Salvataggio nel dispositivo o nello spazio di archiviazione nel cloud

L'API getIsSaveToLocationAllowedForOID consente all'app di sapere se è consentito il salvataggio in determinate posizioni per una determinata identità, in base al criterio configurato:

MAMPolicyManager.getPolicy(currentActivity).getIsSaveToLocationAllowedForOID(
SaveLocation service, String oid);

Per determinare se l'app deve implementare il getIsSaveToLocationAllowedForOID controllo, determinare se l'app supporta l'uscita dei dati esaminando la tabella seguente:

I Files inseriti in un'archiviazione privata dell'app, necessari per il funzionamento dell'app o scaricati temporaneamente per la visualizzazione, sono sempre consentiti; non c'è bisogno di controllaregetIsSaveToLocationAllowedForOID. Verifica SaveLocation.LOCAL la presenza di

1. Files salvati all'esterno dell'archivio app privato.
2. Files scaricati in un'archiviazione privata dell'app che non sono necessari per il funzionamento dell'app (ad esempio, quando l'utente sceglie esplicitamente di scaricare nel dispositivo).

Apertura dei dati da una posizione di archiviazione locale o nel cloud

L'API getIsOpenFromLocationAllowedForOID consente all'app di sapere se l'apertura da determinate posizioni è consentita per una determinata identità, in base ai criteri configurati:

MAMPolicyManager.getPolicy(currentActivity).getIsOpenFromLocationAllowedForOID(
OpenLocation location, String oid);

Per determinare se l'app deve implementare il getIsOpenFromLocationAllowedForOID controllo, determinare se l'app supporta l'ingresso dei dati esaminando la tabella seguente:

Finestra di dialogo Condivisione bloccata

L'SDK fornisce una finestra di dialogo per notificare all'utente quando i criteri MAM bloccano un'azione di trasferimento dei dati.

La finestra di dialogo dovrebbe essere visualizzata all'utente ogni volta che la getIsSaveToLocationAllowedForOID chiamata o getIsOpenFromLocationAllowedForOID API comporta il blocco dell'azione di salvataggio/apertura. La finestra di dialogo visualizza un messaggio generico e ritorna alla chiamata Activity quando viene ignorata.

Per visualizzare la finestra di dialogo, aggiungere il codice seguente:

MAMUIHelper.showSharingBlockedDialog(currentActivity)

Consenti condivisione file

Se il salvataggio in posizioni di archiviazione pubbliche non è consentito, l'app deve comunque consentire all'utente di visualizzare i file scaricandoli nell'archivio privato dell'app e quindi aprendoli con la selezione di sistema.

Criterio per limitare il contenuto nelle notifiche

Per le app con identità singola, il comportamento predefinito di Intune App SDK tenta di bloccare tutte le notifiche quando i criteri di protezione delle app limitano le notifiche.

Il comportamento predefinito dell'SDK è limitato. L'SDK non può rispettare automaticamente il valore "Blocca dati organizzazione", che ha lo scopo di rimuovere solo il contenuto gestito dalle notifiche. Per le app con più identità, l'SDK non è in grado di determinare quali notifiche contengono contenuto gestito.

Se l'app visualizza notifiche e se è multi-identità e/o deve rispettare il valore "Blocca dati organizzazione", deve controllare i criteri di restrizione delle notifiche per l'account associato alla notifica prima di visualizzare la notifica.

Per determinare se il criterio viene applicato, effettuare la chiamata seguente:

NotificationRestriction notificationRestriction =
    MAMPolicyManager.getPolicyForIdentityOID(notificationIdentityOid).getNotificationRestriction();

L'enumerazione restituita NotificationRestriction ha i valori seguenti:

Se l'app non richiama getNotificationRestrictioncorrettamente , MAM SDK fa del suo meglio per limitare automaticamente le notifiche solo per le app con identità singola.

In questo caso, BLOCK_ORG_DATA viene trattato allo stesso modo di BLOCKED e la notifica non viene mostrata affatto.

Per un controllo più dettagliato, controllare il valore e modificare le notifiche delle getNotificationRestriction app in modo appropriato.

Criteri per la protezione dei dati di backup

L'SDK dell'app Intune può bloccare il caricamento dei dati nella funzionalità di backup e ripristino integrata di Android. Per ulteriori informazioni sul backup e il ripristino in Android, vedere la guida API Android e le modifiche introdotte in Android S / 12 in Modifica al backup e al ripristino.

Backup automatico per le app

A partire da Android M, Android fornisce backup completi automatici su Google Drive per le app, indipendentemente dall'API di destinazione dell'app.

Intune consente di usare tutte le funzionalità di backup automatico offerte da Android, inclusa la possibilità di definire regole personalizzate in XML, con indicazioni specifiche sull'integrazione di Intune per garantire la protezione dei dati.

Configurazione del comportamento di backup nel manifesto dell'app

Per impostazione predefinita, android:allowBackup è impostato su true come descritto in Abilitare e disabilitare il backup.

Se l'app non richiede funzionalità di backup e ripristino complete, impostare android:allowBackup su false. In questo caso, non sono necessarie altre azioni e i dati aziendali rimangono all'interno dell'app.

Se l'app richiede funzionalità di backup e ripristino complete, impostarle android:allowBackup su true ed eseguire la procedura seguente:

1. Se l'app non usa il proprio personalizzatoBackupAgent, usare MAMBackupAgent predefinito per abilitare i backup completi automatici conformi ai criteri di Intune. Inserisci quanto segue nel manifesto dell'app:

   <application
   ...
     android:fullBackupOnly="true"
     android:backupAgent="com.microsoft.intune.mam.client.app.backup.MAMDefaultBackupAgent"
     ...>
     </application>
   

2. Facoltativo. Se si implementa un personalizzato BackupAgent, è necessario utilizzare MAMBackupAgent o MAMBackupAgentHelper. Vedere le sezioni seguenti. Prendere in considerazione il passaggio a MAMDefaultBackupAgent di Intune, descritto nel passaggio 1, che fornisce un facile backup su Android M e versioni successive.

3. Quando si decide quale tipo di backup completo deve ricevere l'app (non filtrato, filtrato o nessuno), impostare l'attributo android:fullBackupContent su true, falseoppure una risorsa XML nell'app.

4. Quindi, è necessario copiare il valore nel android:fullBackupContentcom.microsoft.intune.mam.FullBackupContent tag dei metadati e, per le app che supportano il formato di configurazione XML aggiunto nell'API 31, nel tag dei com.microsoft.intune.mam.DataExtractionRules metadati.

   • Esempio 1: Se si desidera che l'app disponga di backup completi senza esclusioni, è necessario impostare gli attributi e i tag dei metadati su true:

     <application
       ...
       android:fullBackupContent="true"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="true" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="true" />
     

   • Esempio 2: se si desidera che l'app utilizzi i backup automatici personalizzati BackupAgent e conformi ai criteri di Intune, è necessario impostare gli attributi e i tag dei metadati su false:

     <application
       ...
       android:fullBackupContent="false"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="false" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="false" />
     

   • Esempio 3: se desideri che la tua app disponga di backup completi in base alle regole personalizzate definite in un file XML, imposta l'attributo e il tag dei metadati sulla stessa risorsa XML:

     <application
       ...
       android:fullBackupContent="@xml/my_full_backup_content_scheme"
       android:dataExtractionRules="@xml/my_data_extraction_rules_scheme"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:resource="@xml/my_full_backup_content_scheme" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:resource="@xml/my_data_extraction_rules_scheme" />
     

Backup chiave/valore

L'opzione di backup chiave/valore è disponibile per tutte le API 8+ e carica i dati dell'app nel servizio di backup Android. La quantità di dati per app è limitata a 5 MB. Se si usa il backup chiave/valore, è necessario usare un BackupAgentHelper o un BackupAgent.

BackupAgentHelper

BackupAgentHelper è più facile da implementare rispetto a BackupAgent sia in termini di funzionalità native Android che di integrazione di Intune MAM. BackupAgentHelper consente allo sviluppatore di registrare interi file e preferenze condivise in un FileBackupHelper e SharedPreferencesBackupHelper (rispettivamente) che vengono quindi aggiunti a BackupAgentHelper al momento della creazione. Seguire questa procedura per usare un BackupAgentHelper con Intune MAM:

1. Per utilizzare il backup multi-identità con un BackupAgentHelper, seguire la guida di Android per estendere BackupAgentHelper.

2. Chiedere alla classe di estendere l'equivalente MAM di BackupAgentHelper, FileBackupHelper e SharedPreferencesBackupHelper.

Seguendo queste linee guida è possibile eseguire correttamente il backup e il ripristino di più identità.

Agente di backup

Un BackupAgent consente di essere molto più espliciti sui dati di cui viene eseguito il backup. Poiché lo sviluppatore è responsabile dell'implementazione, sono necessari ulteriori passaggi per garantire un'adeguata protezione dei dati da Intune. Poiché la maggior parte del lavoro è su di te come sviluppatore, l'integrazione di Intune è leggermente più complessa.

Integrare MAM:

1. Leggere attentamente la guida di Android per il backup chiave/valore e in particolare l'estensione di BackupAgent per assicurarsi che l'implementazione di BackupAgent segua le linee guida di Android.

2. Chiedere alla classe di estendere MAMBackupAgent.

Backup multi-identità:

1. Prima di iniziare il backup, verificare che il backup dei file o dei buffer di dati di cui si intende eseguire il backup sia consentito dall'amministratore IT in scenari con più identità. Usare isBackupAllowed in MAMFileProtectionManager e MAMDataProtectionManager per determinare questo comportamento. Se non è possibile eseguire il backup del file o del buffer di dati, non è consigliabile includerlo nel backup.

2. Ad un certo punto durante il backup, se si desidera eseguire il backup delle identità per i file archiviati nel passaggio 1, è necessario chiamare backupMAMFileIdentity(BackupDataOutput data, File … files) con i file da cui si prevede di estrarre i dati. Questo metodo crea automaticamente nuove entità di backup e le scrive nell'app BackupDataOutput per te. Queste entità vengono consumate automaticamente al momento del ripristino.

Ripristino di più identità: La guida al backup dei dati specifica un algoritmo generale per il ripristino dei dati dell'applicazione e fornisce un esempio di codice nella sezione Estensione di BackupAgent . Per eseguire correttamente il ripristino di più identità, è necessario seguire la struttura generale fornita in questo esempio di codice con particolare attenzione ai punti seguenti:

1. Devi usare un while(data.readNextHeader())ciclo * per passare attraverso le entità di backup.

2. Devi chiamare data.skipEntityData()se data.getKey() non corrisponde alla chiave che hai scritto in onBackup. Senza questo passaggio, i ripristini potrebbero non riuscire.

3. Evitare di tornare mentre si consumano le entità di while(data.readNextHeader())backup nel costrutto *, perché in questo caso tutte le entità che scriviamo automaticamente vengono perse.

• Dov'è data il nome della variabile locale per MAMBackupDataInput che l'app riceve al momento del ripristino.

Restrizioni Trascrivi schermata personalizzate

Se l'app contiene una funzionalità di acquisizione dello schermo personalizzata che ignora la restrizione a livello FLAG_SECURE di WindowAndroid, è necessario controllare i criteri di acquisizione dello schermo prima di consentire l'accesso completo alla funzionalità. Ad esempio, se l'applicazione utilizza un motore di rendering personalizzato per eseguire il rendering della visualizzazione corrente in un file PNG, dovete prima controllare AppPolicy.getIsScreenCaptureAllowed().

Supporto della CA di protezione delle app

La CA (Conditional Access) di Protezione delle app, nota anche come CA basata su app, limita l'accesso alle risorse. I criteri di protezione delle app di Intune devono gestire l'applicazione prima che possa accedere a queste risorse. Microsoft Entra ID applica questo criterio richiedendo all'app di registrarsi e di essere gestita dai criteri di protezione delle app di Intune prima di concedere un token per accedere a una risorsa protetta dall'accesso condizionale.

Gestire la non conformità con MSAL

Quando l'app acquisisce un token per un account, la libreria MSAL potrebbe restituire o generare un MsalIntuneAppProtectionPolicyRequiredException per indicare la non conformità con la gestione dei criteri di protezione delle app. È possibile estrarre più parametri dall'eccezione per l'uso nella correzione della conformità (vedere MAMComplianceManager). Al termine della correzione, l'app può ritentare l'acquisizione del token tramite MSAL.

MAMComplianceManager

L'interfaccia MAMComplianceManager viene usata quando viene ricevuto l'errore richiesto dai criteri da MSAL. Contiene il metodo [remediateCompliance] che è necessario chiamare per tentare di mettere l'app in uno stato conforme. È possibile ottenere un riferimento al MAMComplianceManager seguente:

MAMComplianceManager mgr = MAMComponents.get(MAMComplianceManager.class);

// make use of mgr

L'istanza MAMComplianceManager restituita è garantita per non essere null.

package com.microsoft.intune.mam.policy;

public interface MAMComplianceManager {
    void remediateCompliance(String upn, String aadId, String tenantId, String authority, boolean showUX);
}

Il remediateCompliance() metodo tenta di gestire l'app per soddisfare le condizioni affinché Microsoft Entra ID conceda il token richiesto. I primi quattro parametri possono essere estratti dall'eccezione ricevuta dal metodo MSAL AuthenticationCallback.onError() . Il parametro finale è un valore booleano che controlla se un'esperienza utente viene visualizzata durante il tentativo di conformità.

remediateCompliance Visualizza una semplice finestra di dialogo di stato del blocco in modo che le app non debbano mostrare esperienze personalizzate durante questa operazione. Questa finestra di dialogo viene visualizzata solo mentre è in corso la correzione della conformità. Non visualizza il risultato finale. L'app può registrare un ricevitore per la COMPLIANCE_STATUS notifica per gestire l'esito positivo o negativo del tentativo di correzione della conformità. Per altri dettagli, vedere Notifiche sullo stato di conformità .

remediateCompliance() potrebbe avviare una registrazione MAM come parte dello stabilire la conformità. L'app potrebbe ricevere una notifica di registrazione se ha registrato un ricevitore di notifica per le notifiche di registrazione. Il metodo registrato MAMServiceAuthenticationCallback dell'app è acquireToken() chiamato per ottenere un token per la registrazione. acquireToken() viene chiamato prima che l'app acquisisca il proprio token. È possibile che tutte le attività di contabilità o creazione di account eseguite dall'app dopo un'acquisizione di token riuscita non siano ancora state eseguite. In questo caso, il callback deve essere in grado di acquisire un token.

Se non è possibile restituire un token da acquireToken(), il tentativo di correzione della conformità avrà esito negativo.

Se in seguito si chiama updateToken con un token valido per la risorsa richiesta, la correzione della conformità riprende immediatamente con il token specificato.

Ecco un esempio che riceve l'errore AuthenticationCallback.onError() richiesto dai criteri nel metodo e chiama MAMComplianceManager per gestire l'errore.

public void onError(@Nullable MsalException exc) {
    if (exc instanceof MsalIntuneAppProtectionPolicyRequiredException) {

        final MsalIntuneAppProtectionPolicyRequiredException policyRequiredException =
            (MsalIntuneAppProtectionPolicyRequiredException) ex;

        final String upn = policyRequiredException.getAccountUpn();
        final String aadId = policyRequiredException.getAccountUserId();
        final String tenantId = policyRequiredException.getTenantId();
        final String authority = policyRequiredException.getAuthorityURL();

        MAMComplianceManager complianceManager = MAMComponents.get(MAMComplianceManager.class);
        complianceManager.remediateCompliance(upn, aadId, tenantId, authority, showUX);
    }
}

Notifiche sullo stato di conformità

Se l'app si registra per le notifiche di tipo COMPLIANCE_STATUS, il sistema invia a MAMComplianceNotification per informare l'app dello stato finale del tentativo di correzione della conformità. Per informazioni dettagliate sulla registrazione, vedi Registrazione per le notifiche dall'SDK .

public interface MAMComplianceNotification extends MAMUserNotification {
    MAMCAComplianceStatus getComplianceStatus();
    String getComplianceErrorTitle();
    String getComplianceErrorMessage();
}

Il getComplianceStatus() metodo restituisce il risultato del tentativo di correzione della conformità come valore dall'enumerazione [MAMCAComplianceStatus].

Se lo stato di conformità è MAMCAComplianceStatus.COMPLIANT, l'app deve riavviare l'acquisizione del token originale (per la propria risorsa).

Se il tentativo di correzione della conformità non è riuscito, i getComplianceErrorTitle() metodi AND getComplianceErrorMessage() restituiscono stringhe localizzate che l'app può visualizzare all'utente finale, se lo desidera. L'app non è in grado di risolvere la maggior parte dei casi di errore. In generale, non eseguire la creazione dell'account o l'accesso e consentire all'utente di riprovare in un secondo momento.

Se un errore è persistente, i log del Portale aziendale potrebbero aiutare a determinarne la causa. L'utente finale può inviare i log. Per altre informazioni, vedere Caricare e inviare log via e-mail.

Di seguito è riportato un esempio di registrazione di un ricevitore usando una classe anonima per implementare l'interfaccia MAMNotificationReceiver:

final MAMNotificationReceiverRegistry notificationRegistry = MAMComponents.get(MAMNotificationReceiverRegistry.class);
// create a receiver
final MAMNotificationReceiver receiver = new MAMNotificationReceiver() {
    public boolean onReceive(MAMNotification notification) {
        if (notification.getType() == MAMNotificationType.COMPLIANCE_STATUS) {
            MAMComplianceNotification complianceNotification = (MAMComplianceNotification) notification;

            // take appropriate action based on complianceNotification.getComplianceStatus()

            // unregister this receiver if no longer needed
            notificationRegistry.unregisterReceiver(this, MAMNotificationType.COMPLIANCE_STATUS);
        }
        return true;
    }
};
// register the receiver
notificationRegistry.registerReceiver(receiver, MAMNotificationType.COMPLIANCE_STATUS);

Dichiarazione del supporto per la CA di protezione delle app

Quando l'app è pronta per gestire la correzione dell'autorità di certificazione dell'app, è possibile indicare a Microsoft Identity che l'app è pronta per l'app CA. Per eseguire questa operazione nell'applicazione MSAL, compilare il client pubblico con le funzionalità client di "protapp"

{
      "client_id" : "[YOUR_CLIENT_ID]",
      "authorization_user_agent" : "DEFAULT",
      "redirect_uri" : "[YOUR_REDIRECT_URI]",
      "multiple_clouds_supported":true,
      "broker_redirect_uri_registered": true,
      "account_mode": "MULTIPLE",
      "client_capabilities": "protapp",
      "authorities" : [
        {
          "type": "AAD",
          "audience": {
            "type": "AzureADandPersonalMicrosoftAccount"
          }
        }
      ]
    }

Una volta completati i passaggi, passare a Convalida della CA di protezione delle app.

Note di implementazione

AcquireTokenSilentParameters acquireTokenSilentParameters =
        builder.withScopes(Arrays.asList(scopes))
               .forceRefresh(false)
               .build();

acquireTokenSilentAsync(acquireTokenSilentParameters);

Registrati per le notifiche dall'SDK

La guida di Intune App SDK illustra diversi scenari in cui potrebbe essere necessario registrare l'app per le notifiche dall'SDK, ad esempio:

• Gestione WRONG_USER di app con più identità (vedere Identità gestite e non gestite)
• Gestione di app con più identità (vedere Protezione del buffer dei MANAGEMENT_REMOVED dati).
• Gestione WIPE_USER_DATA di app con più identità o WIPE_USER_AUXILIARY_DATA (vedere Cancellazione selettiva).
• App che implementano la gestione della REFRESH_APP_CONFIG configurazione dell'app (vedere Recupero della configurazione dell'app dall'SDK).

Questa sezione descrive ogni tipo di notifica che l'SDK può inviare, quando e perché l'applicazione desidera ascoltarla e come implementare un ricevitore di notifica.

Tipi di notifiche

Tutte le notifiche SDK implementano l'interfaccia MAMNotification , che ha una singola funzione, getType(), che restituisce un'enumerazione MAMNotificationType .

La maggior parte delle notifiche sono istanze MAMUserNotification , che forniscono informazioni specifiche per una singola identità. L'OID dell'identità può essere recuperato tramite la getUserOid() funzione e l'UPN dell'identità può essere recuperato tramite getUserIdentity().

MAMEnrollmentNotification e MAMComplianceNotification si estendono MAMUserNotificationulteriormente, che contiene rispettivamente i risultati per i tentativi di registrare un utente o un dispositivo con il servizio MAM e i risultati per i tentativi di correggere la conformità per la CA di protezione delle app.

(*) I wipe possono verificarsi per molte ragioni, ad esempio:

• L'app denominata unregisterAccountForMAM.
• Un amministratore IT ha avviato una cancellazione remota.
• I criteri di accesso condizionale richiesti dall'amministratore non sono stati soddisfatti.

MANAGEMENT_REMOVED

La MANAGEMENT_REMOVED notifica informa l'app che un account precedentemente gestito tramite criteri sta per non essere più gestito. Dopo aver annullato la gestione dell'account, l'app non può più leggere i file crittografati dell'account, leggere i dati crittografati dell'account con MAMDataProtectionManager, interagire con gli Appunti crittografati o partecipare in altro modo all'ecosistema di app gestite.

Ciò non richiede la cancellazione dei dati dell'utente o la disconnessione dell'utente (se fosse necessaria una cancellazione, verrebbe inviata una WIPE_USER_DATA notifica). Molte app potrebbero non aver bisogno di gestire questa notifica, ma le app che usano MAMDataProtectionManager devono gestire questa notifica. Per informazioni dettagliate, vedi Protezione del buffer dei dati .

Quando l'SDK chiama il destinatario dell'app MANAGEMENT_REMOVED , si verifica quanto segue:

• L'SDK ha già decrittografato in precedenza i file crittografati (ma non i buffer di dati protetti) che appartengono all'app. I file in posizioni pubbliche sulla scheda SD che non appartengono direttamente all'app (ad esempio, le cartelle Documenti o Download) non vengono decrittografati.

• Tutti i nuovi file o buffer di dati protetti creati dal metodo destinatario (o qualsiasi altro codice eseguito dopo l'avvio del ricevitore) non sono crittografati.

• L'app ha ancora accesso alle chiavi di crittografia, quindi operazioni come la decrittografia dei buffer di dati hanno esito positivo.

Dopo il ritorno del ricevitore, l'app non ha più accesso alle chiavi di crittografia.

Implementazione di MAMNotificationReceiver

Per eseguire la registrazione per le notifiche dall'SDK, l'app deve creare un MAMNotificationReceiver e registrarlo in MAMNotificationReceiverRegistry.

Per registrare il ricevitore, chiamare registerReceiver il destinatario e il tipo di notifica desiderato nel metodo Application.onCreate :

@Override
public void onCreate() {
  super.onCreate();
  MAMComponents.get(MAMNotificationReceiverRegistry.class)
    .registerReceiver(
      new ToastNotificationReceiver(),
      MAMNotificationType.WIPE_USER_DATA);
}

L'implementazione MAMNotificationReceiver dell'app deve includere il onReceive(MAMNotification notification) metodo. Questo metodo richiama singolarmente per ogni notifica ricevuta e deve restituire un errore .boolean In genere, questo metodo dovrebbe sempre restituire true, a meno che l'applicazione non abbia riscontrato un errore durante la risposta a una notifica.

Come con altri tipi di ricevitori Android, l'applicazione offre flessibilità nella gestione delle notifiche:

• Può creare implementazioni MAMNotificationReceiver distinte per tipi di notifica distinti. In questo caso, assicurati di registrare separatamente ogni implementazione e ogni tipo di notifica.
• Può usare una singola implementazione MAMNotificationReceiver che contiene la logica per rispondere a più tipi di notifica distinti. In questo caso, deve essere registrato per ogni tipo di notifica a cui può rispondere.
• Può creare più implementazioni MAMNotificationReceiver che rispondono ognuna allo stesso tipo di notifica. In questo caso, entrambe devono essere registrate sullo stesso tipo di notifica.

Temi personalizzati

È possibile fornire un tema personalizzato all'SDK dell'app Intune. Questo tema personalizzato si applica a tutte le schermate e le finestre di dialogo dell'SDK. Se non viene fornito un tema, viene usato il tema SDK predefinito.

Fornire un tema personalizzato

Per fornire un tema, aggiungi la seguente riga di codice nel Application.onMAMCreate metodo:

MAMThemeManager.setAppTheme(R.style.AppTheme);

Nell'esempio, sostituiscilo R.style.AppTheme con il tema di stile che l'SDK dovrebbe applicare.

Gestione dei certificati radice attendibili

Se l'applicazione richiede certificati SSL/TLS emessi da un'autorità di certificazione locale o privata per fornire un accesso sicuro a siti Web e applicazioni interni, l'SDK dell'app Intune ha aggiunto il supporto per la gestione dell'attendibilità dei certificati con le classi API MAMTrustedRootCertsManager e MAMCertTrustWebViewClient.

La gestione dei certificati radice attendibili fornisce supporto per:

• SSLContext
• SSLSocketFactory
• TrustManager
• WebView

Requisiti

• La gestione dei certificati radice attendibili richiede una licenza di Microsoft Tunnel per la gestione delle applicazioni per dispositivi mobili. Per altre informazioni, visita: Microsoft Tunnel con gestione delle applicazioni per dispositivi mobili.
• Configurare i criteri di Intune Configurazione app per recapitare certificati radice attendibili alle app line-of-business e a Microsoft Edge su Android. Vedere: Utilizzare Microsoft Tunnel VPN con dispositivi Android che non si registrano con Microsoft Intune.

Uso di certificati radice attendibili da Intune per stabilire trust anchor

La gestione dei certificati radice attendibili consente all'app di usare certificati radice attendibili di Intune in combinazione con i certificati del dispositivo.

Le classi API MAMTrustedRootCertsManager e MAMCertTrustWebViewClient usano i certificati radice attendibili di Intune recapitati tramite Criteri di Configurazione app come opzione di fallback se gli archivi certificati radice attendibili del dispositivo non contengono i certificati radice attendibili necessari per stabilire una connessione sicura alle risorse locali. In questo modo, l'app può usare sia i certificati del dispositivo che quelli di Intune per verificare connessioni sicure e comunicazioni con origini attendibili.

Per migliorare le impostazioni di sicurezza di rete, un'app può usare il file XML di configurazione della sicurezza di rete. La gestione dei certificati radice attendibili rispetta questa sicurezza aggiuntiva verificando se il codice XML di configurazione della sicurezza di rete dell'app include una di queste funzionalità:

• Trust anchor personalizzati con CA aggiuntive, come certificati autofirmati.
• Regole specifiche del dominio per limitare le CA attendibili.
• Set di pin per i certificati per domini specifici.

Se uno di questi si applica a un dominio che viene controllato per l'attendibilità, Trusted Root Certificates Management ignora i controlli di attendibilità personalizzati per questo dominio e lascia che solo i trust manager predefiniti della piattaforma eseguano i controlli.

Classe MAMTrustedRootCertsManager

Questa classe fornisce le API seguenti:

• createSSLContextForOID(String oid, String protocol): crea un SSLContext oggetto che utilizza certificati radice attendibili per l'identità specificata e il protocollo SSL/TLS specificato. L'oggetto restituito SSLContext da questa classe è già inizializzato correttamente con X509TrustManager oggetti che usano i certificati radice attendibili combinati dal dispositivo e dal servizio MAM.
• createSSLSocketFactoryForOID(String oid, String protocol): crea un SSLSocketFactory oggetto che utilizza certificati radice attendibili per l'identità specificata e il protocollo SSL/TLS specificato. L'oggetto restituito SSLSocketFactory è referenziato dallo stesso SSLContext oggetto in questa classe.
• createX509TrustManagersForOID(String oid): crea una matrice di X509TrustManager oggetti che usano i certificati radice attendibili combinati del dispositivo e del servizio MAM per l'identità specificata.

Di seguito sono disponibili alcuni esempi di utilizzo di questa classe.

Esempio di utilizzo di HttpsUrlConnection

// Create an SSL socket factory using supplying the optional parameters identity and protocol
SSLSocketFactory sslSocketFactory = MAMTrustedRootCertsManager.createSSLSocketFactoryForOID(oid, "TLSv1.3");

// Create a URL object for the desired endpoint
URL url = new URL("https://example.com");

// Open a connection using the URL object
HttpsURLConnection httpsURLConnection = (HttpsURLConnection) url.openConnection();

// Set the SSL socket factory for the connection
httpsURLConnection.setSSLSocketFactory(sslSocketFactory);

// Perform any other configuration or operations on the connection as needed
...

Esempio di utilizzo di OkHttpClient

// Get the TrustManager instances for an identity from the SDK
TrustManager[] trustManagers = MAMTrustedRootCertsManager.createX509TrustManagersForOID(oid);

// Get SSLContext from the platform
SSLContext sslContext = SSLContext.getInstance("TLSv1.3");

// Initialize the SSLContext with the trust managers from the Intune App SDK
sslContext.init(null, trustManagers, null);

// Create an OkHttpClient.Builder object
OkHttpClient.Builder builder = new OkHttpClient.Builder();

// Set the SSLSocketFactory and the trust managers from the SDK
builder.sslSocketFactory(sslContext.socketFactory, trustManagers[0] as X509TrustManager).build();

// Build an OkHttpClient object from the builder
OkHttpClient okHttpClient = builder.build();

// Create a Request object for the desired endpoint
Request request = new Request.Builder().url("https://example.com").build();

// Execute the request using the OkHttpClient object and get a Response object
Response response = okHttpClient.newCall(request).execute();

// Perform any other operations on the response as needed
...

Classe MAMCertTrustWebViewClient

Questa classe fornisce un'implementazione personalizzata della classe android.webkit.WebViewClientAndroid. La classe fornisce un modo per gestire l'errore android.net.http.SslError.SSL_UNTRUSTED SSL in WebView.

Nella gestione dell'errore, la classe utilizza certificati radice attendibili configurati da Intune e forniti dal servizio MAM. Questo approccio verifica l'affidabilità dell'host dall'URL di destinazione che ha generato l'errore SSL in WebView. Se l'implementazione personalizzata non gestisce l'errore SSL, il sistema richiama il comportamento predefinito ereditato dalla superclasse.

Quando si utilizza questa classe, crearne un'istanza e quindi chiamarla WebView.setWebViewClient(WebViewClient) per registrarla con un'istanza WebView .

Ecco un esempio di utilizzo di questa classe.

Esempio di utilizzo di WebView

// Get the MAM implementation of WebViewClient from the Intune App SDK
MAMCertTrustWebViewClient mamCertTrustWebViewClient = new MAMCertTrustWebViewClient();

// Set the MAM WebViewClient from the SDK as the current handler on the instance of WebView
webView.setWebViewClient(mamCertTrustWebViewClient);

// Perform any other operations on WebView
...

Conformità in materia di privacy dell'App Store cinese

Alcuni app store cinesi richiedono alle applicazioni di visualizzare una finestra di dialogo di consenso della privacy agli utenti prima di eseguire operazioni che interagiscono con altre app nel dispositivo. Ciò include la registrazione di ricevitori broadcast che ascoltano gli eventi di installazione/disinstallazione del pacchetto. MAM SDK esegue questa operazione per ascoltare la presenza del Portale aziendale, dove risiede la maggior parte della logica MAM.

Se l'app viene distribuita tramite app store cinesi che hanno questo requisito, usa l'integrazione seguente per rinviare le operazioni di avvio offline fino all'ottenimento del consenso sulla privacy.

1. Aggiungi contrassegno manifesto

Aggiungere i metadati seguenti agli oggetti dell'app AndroidManifest.xml:

<application>
    <meta-data
        android:name="com.microsoft.intune.mam.OfflineStartupDeferredUntilAppSignal"
        android:value="true"/>
</application>

2. Disponibilità del segnale dopo la finestra di dialogo sulla privacy

Dopo che l'utente ha accettato la finestra di dialogo di consenso della privacy, chiamare l'SDK per segnalare che le operazioni di avvio offline possono procedere:

// After user accepts privacy dialog
MAMComponents.get(DeferredStartupManager::class.java)
    .setOfflineStartupReady()

O in Java:

// After user accepts privacy dialog
MAMComponents.get(DeferredStartupManager.class)
    .setOfflineStartupReady();

Comportamento

Lo stato pronto viene mantenuto anche dopo l'avvio delle app. Una volta setOfflineStartupReady() chiamata, i lanci successivi registreranno il ricevitore immediatamente durante l'inizializzazione dell'app.

Note

• Il setOfflineStartupReady() metodo è idempotente; chiamarlo più volte è sicuro.
• Se il Portale aziendale è già installato (modalità online), la chiamata setOfflineStartupReady() non ha alcun effetto perché il destinatario non è necessario.
• Importante: l'utente deve sempre chiamare setOfflineStartupReady() dopo che la finestra di dialogo sulla privacy è stata accettata.

Criteri di chiusura

Per altre informazioni, vedere Test rapido con criteri di modifica per facilitare il test.

Convalidare le restrizioni Salva in e Apri da

Ignorare questa sezione se non sono stati implementati i criteri per limitare il trasferimento dei dati tra le app e le posizioni di archiviazione nel dispositivo o nel cloud.

Acquisisci familiarità con ogni scenario in cui la tua app può salvare dati in servizi cloud o dati locali e aprire dati da servizi cloud o dati locali.

Per semplicità, questi test presuppongono che l'app includa solo il supporto per il salvataggio e l'apertura dei dati da OneDrive da un'unica posizione all'interno dell'app. Tuttavia, è necessario convalidare ogni combinazione: ogni percorso di salvataggio supportato rispetto a ogni posizione consentita dall'app consente il salvataggio dei dati e ogni posizione aperta supportata rispetto a ogni posizione consentita dall'app nell'apertura dei dati.

Per questi test, installare l'app e il Portale aziendale Intune; accedere con un account gestito prima di iniziare il test. Inoltre:

• Impostare il criterio dell'account gestito su:
  • "Invia dati dell'organizzazione ad altre app" impostato su "App gestite da criteri".
  • "Ricevi dati da altre app" impostato su "App gestite da criteri".

Convalida delle restrizioni di notifica

Ignora questa sezione se non hai implementato i criteri per limitare il contenuto all'interno delle notifiche.

Per quanto riguarda i criteri di protezione delle app, l'applicazione potrebbe generare tre diversi tipi di notifiche:

1. Notifiche che non contengono dati dell'account.
2. Notifiche che contengono dati appartenenti a un account gestito.
3. Notifiche che contengono dati appartenenti a un account non gestito.

Se l'applicazione è a identità singola, solo le prime due sono rilevanti, poiché non vengono applicate protezioni se l'unico account non è gestito.

È possibile convalidare le restrizioni delle notifiche attivando tutti e tre i tipi di notifiche con valori di criteri diversi configurati.

Per questi test, installare l'app e il Portale aziendale Intune; accedere con un account gestito prima di iniziare il test. Se l'app utilizza più identità, è anche possibile accedere all'app con un account non gestito.

Convalida del backup e del ripristino dei dati

Ignorare questa sezione se non sono stati implementati i criteri per la protezione dei dati di backup.

Acquisisci familiarità con il contenuto (file e coppie chiave-valore) che l'app ha configurato per il backup. È necessario verificare che solo il contenuto previsto faccia parte del ripristino. Il contenuto extra nel ripristino può causare una perdita di dati.

Per questi test, installare l'app e il Portale aziendale Intune; accedere con un account gestito prima di iniziare il test. Se l'app utilizza più identità, accedere all'app anche con un account non gestito.

Segui le istruzioni ufficiali di Android per testare il backup. Queste istruzioni sono diverse per il backup automatico e il backup chiave/valore, quindi seguile attentamente.

Convalida dell'acquisizione dello schermo personalizzata in base ai criteri

Ignorare questa sezione se non sono state implementate restrizioni per l'trascrivi dello schermo personalizzato.

Se l'applicazione dispone di una funzionalità che ignora il livello FLAG_SECUREdi Android , verificare che questa funzione sia bloccata dalle restrizioni dell'acquisizione dello schermo dei criteri di Windowprotezione delle app.

Per questi test, installare l'app e il Portale aziendale Intune; accedere con un account gestito prima di iniziare il test.

Convalida della CA di protezione delle app

Ignorare questa sezione se non è stato implementato Support App Protection CA.

Oltre ai passaggi di convalida tipici della creazione e dell'assegnazione di criteri di protezione delle app all'account di app e di test, è necessario creare e assegnare anche criteri di accesso condizionale per la protezione delle app all'account di test. Per informazioni dettagliate, vedere Configurare criteri di accesso condizionale basati su app con Intune.

Fasi del test:

1. Disinstallare Microsoft Authenticator e il Portale aziendale Intune prima di iniziare questo test.
2. Installare l'app.
3. Accedere all'app con l'account di test mirato con i criteri di protezione delle app e i criteri CA basati su app.
4. Verificare che l'app richieda di installare il Portale aziendale.
5. Accedi di nuovo.
6. Conferma che l'app ti richieda di registrare il dispositivo. Seguire le istruzioni visualizzate. Se l'app non richiede la registrazione qui, verificare che il dispositivo di test abbia prima disinstallato altre app abilitate per l'SDK, il Portale aziendale e Authenticator. Se il messaggio continua a non essere visualizzato, rivedere le istruzioni di implementazione.
7. Conferma di essere in grado di accedere a tutti i dati dell'app dopo la registrazione.

Convalida dei ricevitori di notifica

Ignorare questa sezione se non è stato implementato Registrati per le notifiche dall'SDK.

I passaggi di convalida dipendono dai tipi di notifiche a cui l'app è registrata. Per tutti i tipi di notifiche, aggiungi la registrazione per assicurarti che il destinatario venga richiamato correttamente.

MAM_ENROLLMENT_RESULT Può essere attivato accedendo all'applicazione con un account definito come target dai criteri di protezione delle app.

È possibile attivare REFRESH_APP_CONFIG e REFRESH_POLICY aggiornando i rispettivi criteri di configurazione app e criteri di protezione delle app destinati all'account di test e attendendo che l'SDK riceva criteri aggiornati.

È possibile attivare MANAGEMENT_REMOVED, WIPE_USER_DATA, WIPE_USER_AUXILIARY_DATAe notifiche WIPE_COMPLETEDemettendo una cancellazione selettiva da Microsoft Intune.

Convalida dei temi personalizzati

Ignorare questa sezione se non sono stati implementati temi personalizzati.

È possibile convalidare il supporto del tema personalizzato controllando i colori nelle finestre di dialogo dell'SDK. La finestra di dialogo più semplice da controllare è la schermata del PIN MAM.

Presupposti:

• Impostare il criterio dell'account gestito su:
  • "PIN per l'accesso" impostato su "Obbligatorio".
• Installare l'app e il Portale aziendale Intune.

Fasi del test:

1. Avviare l'applicazione e accedere con l'account di test.
2. Verifica che la schermata del PIN MAM venga visualizzata e che sia a tema in base al tema personalizzato fornito all'SDK.

Operazioni successive

Se è stata seguita questa guida nell'ordine e sono stati completati tutti i criteri di uscita precedenti in questo articolo, l'app è ora completamente integrata con Intune App SDK e può applicare criteri di protezione delle app. Se hai ignorato una delle sezioni di partecipazione all'app precedenti, Fase 5: Multi-identità e Fase 6: Configurazione app, e non sei sicuro che la tua app debba supportare queste funzionalità, rivedi Decisioni chiave per l'integrazione dell'SDK.

La protezione di app è ora uno scenario fondamentale per la tua app. Continua a fare riferimento a questa guida e all'Appendice mentre continui a sviluppare la tua app.