Domande frequenti su MAM e sulla protezione delle app

Panoramica di MAM

i criteri di protezione App sono regole che garantiscono che i dati di un'organizzazione rimangano sicuri o contenuti in un'app gestita. Un criterio è una regola applicata da Intune quando l'utente tenta di accedere o spostare dati aziendali. Può anche definire azioni che Intune blocca o monitora mentre l'utente è nell'app.

Per informazioni dettagliate su ogni impostazione dei criteri di protezione delle app, vedere Impostazioni dei criteri di protezione delle app Android e Impostazioni dei criteri di protezione delle app iOS/iPadOS.

Se si applica un criterio MAM all'utente senza impostare lo stato di gestione dei dispositivi, l'utente ottiene i criteri MAM sia nel dispositivo personale, noto anche come BYOD (Bring-Your-Own-Device), sia nel dispositivo gestito da Intune. È anche possibile applicare un criterio MAM in base allo stato di gestione dei dispositivi. Pertanto, quando si crea un criterio di protezione delle app, accanto a Imposta come target per le app in tutti i tipi di dispositivi, si seleziona No. Scegli quindi una delle seguenti opzioni:

• Applicare un criterio MAM meno rigoroso ai dispositivi gestiti di Intune e applicare criteri MAM più restrittivi ai dispositivi non registrati con MDM.
• Applicare un criterio MAM altrettanto rigoroso ai dispositivi gestiti da Intune e ai dispositivi non gestiti da Microsoft.
• Applicare un criterio MAM solo ai dispositivi non registrati.

Per altre informazioni, vedere Come monitorare i criteri di protezione delle app.

Qualsiasi app integrata con Intune App SDK o di cui è stato eseguito il wrapping dal Intune App Wrapping Tool può essere gestita usando Intune criteri di protezione delle app. Visualizzare l'elenco ufficiale di app gestite da Intune disponibile per uso pubblico.

• L'utente finale deve disporre di un account Microsoft Entra. Per altre informazioni su come creare utenti di Intune in Microsoft Entra ID, vedere Aggiungere utenti e concedere autorizzazioni amministrative a Intune.

• L'utente finale deve avere una licenza per Microsoft Intune assegnata al proprio account Microsoft Entra. Per ulteriori informazioni su come assegnare licenze di Intune agli utenti finali, vedere Gestire le licenze di Intune.

• L'utente finale deve appartenere a un gruppo di sicurezza destinato a un criterio di protezione delle app. I criteri di protezione delle app devono essere mirati per la specifica app in uso. I criteri di protezione di app possono essere creati e distribuiti nell'interfaccia di amministrazione di Microsoft Intune. I gruppi di sicurezza possono attualmente essere creati nell'interfaccia di amministrazione di Microsoft 365.

• L'utente finale deve accedere all'app usando il proprio account Microsoft Entra.

Il team di sviluppo di Intune SDK testa e gestisce attivamente il supporto per le app create con le piattaforme native Android, iOS/iPadOS (Obj-C, Swift), .NET e MAUI. Alcuni clienti integrano correttamente l'SDK di Intune con altre piattaforme, come React Native e NativeScript. Tuttavia, Microsoft non fornisce indicazioni o plug-in per piattaforme diverse da quelle supportate.

Intune App SDK può usare Libreria di Autenticazione Microsoft per gli scenari di autenticazione e avvio condizionale. Si basa anche su MSAL per registrare l'identità dell'utente con il servizio MAM per la gestione senza scenari di registrazione del dispositivo.

• L'utente finale deve avere l'app per dispositivi mobili Outlook installata nel dispositivo.

• L'utente finale deve disporre di una cassetta postale di Microsoft 365 Exchange Online e di una licenza collegata al proprio account di Microsoft Entra.

  Nota

  L'app Outlook per dispositivi mobili attualmente supporta solo Intune App Protection per Microsoft Exchange Online ed Exchange Server con autenticazione moderna ibrida e non supporta Exchange in Office 365 Dedicated.

• L'utente finale deve avere una licenza per Microsoft 365 Apps for business o enterprise collegata al proprio account Microsoft Entra. L'abbonamento deve includere le app di Office nei dispositivi mobili e può includere un account di archiviazione cloud con OneDrive, archiviazione cloud e condivisione di file per le aziende. Le licenze di Microsoft 365 possono essere assegnate nell'interfaccia di amministrazione di Microsoft 365 seguendo queste istruzioni.

• L'utente finale deve disporre di una posizione gestita configurata usando la funzionalità Salva con nome granulare nell'impostazione dei criteri di protezione dell'applicazione "Salva copie dei dati dell'organizzazione". Ad esempio, se il percorso gestito è OneDrive, l'app OneDrive deve essere configurata nell'app Word, Excel o PowerPoint dell'utente finale.

• Se il percorso gestito è OneDrive, l'app deve essere destinata ai criteri di protezione delle app distribuiti all'utente finale.

  Nota

  Le app di Office per dispositivi mobili attualmente supportano solo SharePoint Online e non SharePoint locale.

Intune contrassegna tutti i dati nell'app come "aziendali" o "personali". I dati sono considerati "aziendali" quando provengono da una sede aziendale. Per le app di Office, Intune considera la posta elettronica (Exchange) e l'archiviazione nel cloud (OneDrive) come sedi aziendali.

Vedere Requisiti di licenza di Skype for Business. Per le configurazioni ibride e locali di Skype for Business (SfB), vedere Autenticazione moderna ibrida per SfB ed Exchange goes GA e Autenticazione moderna per SfB locale con Microsoft Entra ID, rispettivamente.

Il supporto per più identità consente a Intune App SDK di applicare i criteri di protezione delle app solo all'account aziendale o dell'istituto di istruzione connesso all'app. Se un account personale è connesso all'app, i dati non vengono modificati.

Il supporto multi-identità consente alle app con destinatari sia "aziendali" che consumer (ovvero le app di Office) di essere rilasciate pubblicamente con funzionalità di protezione delle app di Intune per gli account "aziendali".

Poiché Outlook dispone di una visualizzazione combinata di messaggi personali e aziendali, l'app Outlook richiede di immettere il PIN di Intune all'avvio.

Il PIN (Personal Identification Number) è un passcode utilizzato per verificare che l'utente corretto acceda ai dati dell'organizzazione in un'applicazione.

Intune richiede il PIN dell'app dell'utente quando l'utente sta per accedere ai dati "aziendali". Nelle app con più identità, ad esempio Word/Excel/PowerPoint, all'utente viene richiesto il PIN quando prova ad aprire un documento o un file aziendale. Nelle app con identità singola, ad esempio le app line-of-business gestite con il Intune App Wrapping Tool, il PIN viene richiesto all'avvio, perché l'App SDK di Intune sa che l'esperienza dell'utente nell'app è sempre "aziendale".

L'amministratore IT può definire l'impostazione dei criteri di protezione dell'app di Intune "Ricontrollare i requisiti di accesso dopo (minuti)" nell'interfaccia di amministrazione di Microsoft Intune. Questa impostazione specifica la quantità di tempo prima che i requisiti di accesso vengano verificati sul dispositivo e che venga nuovamente visualizzata la schermata del PIN dell'applicazione. Tuttavia, dettagli importanti sul PIN che influiscono sulla frequenza con cui viene richiesta agli utenti sono:

• Il PIN è condiviso tra app dello stesso autore per migliorare l'usabilità: In iOS/iPadOS, un PIN dell'app viene condiviso tra tutte le app dello stesso autore di app. In Android un PIN dell'app viene condiviso tra tutte le app.
• Comportamento "Ricontrollare i requisiti di accesso dopo (minuti)" dopo il riavvio di un dispositivo: Un "timer PIN" tiene traccia del numero di minuti di inattività che determinano quando mostrare il successivo PIN dell'app Intune. In iOS/iPadOS, il timer PIN non è influenzato dal riavvio del dispositivo. Pertanto, il riavvio del dispositivo non ha alcun effetto sul numero di minuti di inattività dell'utente da un'app iOS/iPadOS con criteri PIN di Intune. In Android, il timer PIN viene reimpostato al riavvio del dispositivo. Di conseguenza, le app Android con criteri PIN di Intune richiederanno probabilmente un PIN dell'app indipendentemente dal valore dell'impostazione "Ricontrollare i requisiti di accesso dopo (minuti)" dopo il riavvio del dispositivo.
• La natura rolling del timer associato al PIN: Dopo che viene immesso un PIN per accedere a un'app (app A) e l'app lascia il primo piano (stato attivo dell'input principale) sul dispositivo, il timer PIN viene reimpostato per tale PIN. Le app (app B) che condividono questo PIN non chiedono all'utente di immettere il PIN perché il timer è stato reimpostato. Il prompt verrà visualizzato di nuovo una volta soddisfatto nuovamente il valore "Ricontrollare i requisiti di accesso dopo (minuti)".

Nei dispositivi iOS/iPadOS le app di editori diversi possono condividere lo stesso PIN. Tuttavia, quando viene raggiunto il valore Ricontrolla i requisiti di accesso dopo (minuti), Intune chiede all'utente di immettere un PIN se l'app non era lo stato attivo dell'input principale. Ad esempio, un utente ha l'app A dell'editore X e l'app B dell'editore Y, e queste due app condividono lo stesso PIN. L'utente è concentrato sull'app A (primo piano) e l'app B viene ridotta a icona. Dopo che il valore Ricontrolla i requisiti di accesso dopo (minuti) è soddisfatto e l'utente passa all'app B, sarà necessario il PIN.

Il PIN di Intune funziona in base a un timer basato sull'inattività (il valore di "Ricontrollare i requisiti di accesso dopo (minuti)"). Di conseguenza, le richieste PIN di Intune vengono visualizzate indipendentemente dalle richieste PIN delle app predefinite per Outlook e OneDrive, che spesso sono collegate all'avvio dell'app per impostazione predefinita. Se l'utente riceve entrambe le richieste di PIN contemporaneamente, il comportamento previsto deve essere che il PIN di Intune abbia la precedenza.

Il PIN consente solo all'utente corretto di accedere ai dati dell'organizzazione nell'app. Pertanto, un utente finale deve accedere con il proprio account aziendale o dell'istituto di istruzione prima di poter impostare o reimpostare il PIN dell'app Intune. Microsoft Entra ID gestisce questa autenticazione tramite lo scambio di token sicuro e non è trasparente per l'SDK dell'app Intune. Dal punto di vista della sicurezza, il modo migliore per proteggere i dati aziendali o dell'istituto di istruzione è crittografarli. La crittografia non è correlata al PIN dell'app, ma è un criterio di protezione dell'app specifico.

Come parte dei criteri PIN dell'app, l'amministratore IT può impostare il numero massimo di volte in cui un utente può provare ad autenticare il PIN prima di bloccare l'app. Una volta raggiunto il numero di tentativi, l'SDK per app di Intune può cancellare i dati aziendali nell'app.

MAM in iOS/iPadOS supporta PIN a livello di applicazione con caratteri alfanumerici e speciali (chiamati passcode). Per applicare le impostazioni del passcode, app come Word, Excel, PowerPoint, Outlook, Managed Browser e Yammer devono integrare la SDK delle app Intune per iOS/iPadOS. Senza questa integrazione, Intune non può applicare le impostazioni del passcode per tali app. Intune ha introdotto questa funzionalità nella versione SDK 7.1.12 per iOS/iPadOS.

Per supportare questa funzionalità e mantenere la compatibilità con le versioni precedenti di Intune SDK per iOS/iPadOS, versione 7.1.12 e successive gestire tutti i PIN (numerici o passcode) separatamente dal PIN numerico utilizzato nelle versioni precedenti. Pertanto, se un dispositivo ha applicazioni con versioni di Intune SDK per iOS/iPadOS precedenti alla 7.1.12 E successive alla 7.1.12 dallo stesso editore, dovranno configurare due PIN.

Detto questo, i due PIN (per ogni app) non sono correlati in alcun modo. Devono rispettare i criteri di protezione dell'app applicati all'app. Di conseguenza, solo se alle app A e B sono applicati gli stessi criteri (per quanto riguarda il PIN), l'utente potrebbe configurare lo stesso PIN due volte.

Questo comportamento è specifico del PIN nelle applicazioni iOS/iPadOS abilitate con Gestione app mobili di Intune. Con il passare del tempo, man mano che le applicazioni adottano versioni successive di Intune SDK per iOS/iPadOS, la necessità di impostare due volte un PIN per le app dello stesso autore diventa un problema minore.

Gli amministratori IT possono distribuire un criterio di protezione delle app che richiede la crittografia dei dati delle app. Come parte del criterio, l'amministratore IT può anche specificare quando il contenuto deve essere crittografato.

Intune crittografa i dati in base all'impostazione dei criteri di protezione dell'app per la crittografia. Per informazioni dettagliate, vedere Impostazioni dei criteri di protezione delle app Android e Impostazioni dei criteri di protezione delle app iOS/iPadOS.

Solo i dati contrassegnati come "aziendali" vengono crittografati in base ai criteri di protezione delle app dell'amministratore IT. I dati sono considerati "aziendali" quando provengono da una sede aziendale. Per le app di Office, Intune considera la posta elettronica (Exchange) e l'archiviazione nel cloud (OneDrive) come sedi aziendali. Per le app line-of-business gestite dal Intune App Wrapping Tool, tutti i dati dell'app sono considerati "aziendali".

Intune può cancellare i dati delle app in tre modi diversi: cancellazione completa del dispositivo, cancellazione selettiva per MDM e cancellazione selettiva MAM. Per altre informazioni sulla cancellazione remota per MDM, vedi Rimuovere i dispositivi usando la cancellazione o il ritiro. Per altre informazioni sulla cancellazione selettiva con MAM, vedere l'azione Ritira e Come cancellare solo i dati aziendali dalle app.

La cancellazione rimuove tutti i dati e le impostazioni dell'utente dal dispositivo ripristinando le impostazioni predefinite di fabbrica. Il dispositivo viene rimosso da Intune.

La cancellazione selettiva per MDM rimuove dal dispositivo solo i dati aziendali senza influire sui dati personali. Per ulteriori informazioni, vedere Rimozione dispositivi - ritiro.

La cancellazione selettiva per MAM rimuove semplicemente i dati dell'app aziendale da un'app. La richiesta viene avviata tramite l'interfaccia di amministrazione di Microsoft Intune. Per informazioni su come avviare una richiesta di cancellazione, vedere Come cancellare solo i dati aziendali dalle app.

Se l'utente usa l'app quando viene avviata la cancellazione selettiva, l'App SDK di Intune verifica ogni 30 minuti la presenza di una richiesta di cancellazione selettiva da parte del servizio MAM Intune. Verifica anche la presenza di cancellazione selettiva quando l'utente avvia l'app per la prima volta e accede con il proprio account aziendale o dell'istituto di istruzione.

La protezione dell'app Intune dipende dall'identità dell'utente per essere coerente tra l'applicazione e l'SDK dell'app Intune. L'unico modo per garantirlo è attraverso l'autenticazione moderna. Esistono scenari in cui le app potrebbero funzionare con una configurazione locale, ma non sono coerenti o garantiti.

Sì. L'amministratore IT può distribuire e impostare i criteri di protezione per l'app Microsoft Edge. L'amministratore IT può richiedere l'apertura di tutti i collegamenti Web nelle app gestite da Intune tramite l'app Microsoft Edge.

App Portale aziendale e protezione dell'app Intune

I criteri di protezione delle app di Intune per l'accesso vengono applicati in un ordine specifico ai dispositivi degli utenti finali che tentano di accedere a un'app di destinazione dal proprio account aziendale. In generale, avrebbe la precedenza un blocco e poi un avviso ignorabile. Ad esempio, se applicabile all'utente o all'app specifici, dopo l'impostazione della versione minima della patch Android che blocca l'accesso all'utente verrà applicata un'impostazione della versione patch minima che avvisa un utente di eseguire un aggiornamento patch. Quindi, nello scenario in cui l'amministratore IT configura la versione minima della patch Android alla 2018-03-01 e la versione minima della patch Android (solo avviso) alla 2018-02-01, mentre il dispositivo che tenta di accedere all'app è in una versione della patch 2018-01-01, l'utente finale verrebbe bloccato in base all'impostazione più restrittiva per la versione minima della patch Android che comporta l'accesso bloccato.

Quando si gestiscono diversi tipi di impostazioni, un requisito di versione dell'app ha la precedenza, seguito dal requisito di versione del sistema operativo Android e dal requisito della versione della patch Android. Quindi, vengono controllati eventuali avvisi per tutti i tipi di impostazioni nello stesso ordine.

Il servizio Intune contatta Google Play a intervalli non configurabili determinati dal carico del servizio. Qualsiasi azione configurata dall'amministratore IT per l'impostazione di controllo dell'integrità del dispositivo di Google Play verrà eseguita in base all'ultimo risultato segnalato al servizio Intune al momento dell'avvio condizionale. Se il risultato dell'integrità del dispositivo di Google è conforme, non viene intrapresa alcuna azione. Se il risultato dell'integrità del dispositivo di Google non è conforme, l'azione configurata dall'amministratore IT viene eseguita immediatamente. Se la richiesta al controllo dell'integrità del dispositivo di Google Play non riesce per qualsiasi motivo, il risultato memorizzato nella cache della richiesta precedente verrà utilizzato per un massimo di 24 ore o al successivo riavvio del dispositivo, a seconda di quale evento si verifica per primo. A quel punto, i criteri di protezione delle app di Intune bloccano l'accesso fino a quando non è possibile ottenere un risultato corrente.

Le istruzioni su come eseguire questa operazione variano leggermente in base al dispositivo. Il processo generale prevede di accedere al Google Play Store, quindi fare clic su Le mie app & giochi, fare clic sul risultato dell'ultima scansione dell'app che ti porterà nel menu Play Protect. Assicurati che l'interruttore per Cerca minacce alla sicurezza nel dispositivo sia attivato.

Intune applica le API di integrità di Google Play per aggiungere ai controlli di rilevamento radice esistenti per i dispositivi non registrati. Google ha sviluppato e mantenuto questo set di API per le app Android da adottare se non vogliono che le loro app vengano eseguite su dispositivi rootati. L'app Android Pay ha incorporato questo, ad esempio. Sebbene Google non condivida pubblicamente tutti i controlli di rilevamento delle radici che vengono eseguiti, ci aspettiamo che queste API rilevino gli utenti che hanno effettuato il root dei loro dispositivi. Questi utenti possono quindi essere bloccati dall'accesso o i loro account aziendali cancellati dalle app abilitate ai criteri. "Controlla integrità di base" indica l'integrità generale del dispositivo. I dispositivi rooted, gli emulatori, i dispositivi virtuali e i dispositivi con segni di manomissione non rispettano l'integrità di base. "Controlla l'integrità di base & dispositivi certificati" ti informa sulla compatibilità del dispositivo con i servizi di Google. Solo i dispositivi non modificati che sono stati certificati da Google possono superare questo controllo. I dispositivi che non funzionano includono:

• Dispositivi che non soddisfano l'integrità di base
• Dispositivi con un bootloader sbloccato
• Dispositivi con un'immagine di sistema/ROM personalizzata
• Dispositivi che il produttore non ha richiesto o non ha superato la certificazione Google
• Dispositivi con un'immagine di sistema creata direttamente dai file sorgente del Programma Open Source Android
• Dispositivi con un'immagine di sistema in anteprima beta/per sviluppatori

Per i dettagli tecnici , vedi la documentazione di Google sull'API Play Integrity .

I controlli API di Google Play Integrity richiedono che l'utente finale sia online, almeno durante il periodo in cui viene eseguito il "roundtrip" per determinare i risultati dell'attestazione. Se l'utente finale è offline, l'amministratore IT può comunque aspettarsi che venga applicato un risultato dall'impostazione "dispositivi jailbroken/rooted". Detto questo, se l'utente finale è rimasto offline troppo a lungo, entra in gioco il valore "Periodo di tolleranza offline" e l'accesso ai dati aziendali o dell'istituto di istruzione viene bloccato una volta raggiunto il valore del timer, fino a quando non è disponibile l'accesso alla rete. L'attivazione di entrambe le impostazioni consente un approccio a più livelli per mantenere integri i dispositivi degli utenti finali, che è importante quando gli utenti finali accedono ai dati aziendali o dell'istituto di istruzione su dispositivi mobili.

Sia l'impostazione "Verdetto integrità riproduzione" sia "Analisi delle minacce nelle app" richiedono che la versione determinata da Google di Google Play Services funzioni correttamente. Poiché si tratta di impostazioni che rientrano nell'area della sicurezza, l'utente finale viene bloccato se è interessato da queste impostazioni e non soddisfa la versione appropriata di Google Play Services o non ha accesso a Google Play Services.

I criteri di protezione delle app di Intune consentono di controllare l'accesso alle app solo all'utente con licenza Intune. Uno dei modi per controllare l'accesso all'app è richiedere Touch ID o Face ID di Apple sui dispositivi supportati. Intune implementa un comportamento in cui, se viene apportata una modifica al database biometrico del dispositivo, Intune richiede all'utente di immettere un PIN quando viene soddisfatto il successivo valore di timeout di inattività. Le modifiche ai dati biometrici includono l'aggiunta o la rimozione di un'impronta digitale o di un volto. Se l'utente di Intune non ha un PIN impostato, viene portato a configurare un PIN di Intune.

Lo scopo di questa operazione è continuare a mantenere i dati dell'organizzazione all'interno dell'app sicuri e protetti a livello di app. Questa funzionalità è disponibile solo per iOS/iPadOS e richiede la partecipazione di applicazioni che integrano Intune APP SDK per iOS/iPadOS, versione 9.0.1 o successiva. L'integrazione dell'SDK è necessaria affinché il comportamento possa essere applicato alle applicazioni di destinazione. Questa integrazione avviene su base continuativa e dipende dai team applicativi specifici. Alcune app che partecipano includono WXP, Outlook, Managed Browser e Yammer.

I criteri di protezione dell'app Intune non possono controllare l'estensione di condivisione iOS senza gestire il dispositivo. Pertanto, Intune crittografa i dati aziendali prima che vengano condivisi all'esterno dell'app. È possibile convalidare questa condizione provando ad aprire il file "aziendale" all'esterno dell'app gestita. Il file deve essere crittografato e non può essere aperto all'esterno dell'app gestita.

I criteri di protezione delle app di Intune per l'accesso verranno applicati in un ordine specifico ai dispositivi degli utenti finali che tentano di accedere a un'app di destinazione dal proprio account aziendale. In generale, una cancellazione ha la precedenza, seguita da un blocco e quindi da un avviso ignorabile. Ad esempio, se applicabile all'utente o all'app specifici, dopo l'impostazione minima del sistema operativo iOS/iPadOS che avvisa un utente di aggiornare la versione di iOS/iPadOS verrà applicata dopo l'impostazione minima del sistema operativo iOS/iPadOS che blocca l'accesso all'utente. Quindi, nello scenario in cui l'amministratore IT configura il sistema operativo iOS min su 11.0.0.0 e il sistema operativo iOS / iPadOS min (solo avviso) su 11.1.0.0, mentre il dispositivo che tenta di accedere all'app è in iOS / iPadOS 10, l'utente finale verrebbe bloccato in base all'impostazione più restrittiva per la versione minima del sistema operativo iOS / iPadOS che comporta l'accesso bloccato.

Quando si gestiscono diversi tipi di impostazioni, ha la precedenza un requisito di versione di App SDK per Intune, quindi un requisito di versione dell'app, seguito dal requisito di versione del sistema operativo iOS/iPadOS. Quindi, vengono controllati eventuali avvisi per tutti i tipi di impostazioni nello stesso ordine. È consigliabile configurare il requisito della versione di Intune App SDK solo su indicazione del team del prodotto Intune per gli scenari di blocco essenziali.

Vedere anche

• Distribuire Intune
• Creare un piano di implementazione
• Impostazioni dei criteri di gestione delle app mobili Android in Microsoft Intune
• Impostazioni dei criteri di gestione delle app mobili iOS/iPadOS
• Criteri di protezione delle app Aggiornamento dei criteri
• Convalidare i criteri di protezione delle app
• Aggiungere criteri di configurazione dell'app per le app gestite senza registrazione di dispositivi
• Come ottenere supporto in Microsoft Intune