Panoramica dei criteri di protezione delle app

I criteri di protezione delle app di Intune garantiscono che i dati di un'organizzazione rimangano al sicuro o contenuti in un'app gestita. Questi criteri consentono di controllare la modalità di accesso e condivisione dei dati da parte delle app nei dispositivi mobili. Un criterio può applicare regole quando l'utente tenta di accedere o spostare dati aziendali. Può anche proibire o monitorare le azioni quando l'utente si trova all'interno dell'app. Un'app gestita in Intune è un'app protetta in cui Intune applica i criteri di protezione delle app e gestisce l'app.

I criteri di protezione app di Intune offrono diversi vantaggi. Questi vantaggi includono la protezione dei dati aziendali nei dispositivi mobili senza richiedere la registrazione dei dispositivi e il controllo delle modalità di accesso e condivisione dei dati da parte delle app nei dispositivi mobili.

Esempi di utilizzo dei criteri di protezione delle app con Microsoft Intune includono:

• Richiedere un PIN o un'impronta digitale per accedere alla posta elettronica aziendale in un dispositivo mobile
• Impedire agli utenti di copiare e incollare i dati aziendali nelle app personali
• Limitazione dell'accesso ai dati aziendali alle sole app approvate

Intune MAM gestisce molte app di produttività, ad esempio le app Microsoft 365 (Office). Consultare l'elenco ufficiale di app gestite da Microsoft Intune disponibile per uso pubblico.

Come proteggere i dati delle app

I dipendenti usano dispositivi mobili per attività personali e lavorative. Mentre ti assicuri che i tuoi dipendenti siano produttivi, evita la perdita di dati. Sono incluse le perdite di dati sia intenzionali che involontarie. Inoltre, è possibile proteggere i dati aziendali a cui si accede da dispositivi non gestiti dall'utente.

È possibile usare i criteri di protezione dell'app di Intune indipendentemente da qualsiasi soluzione di gestione dei dispositivi mobili (MDM). Ciò consente di proteggere i dati aziendali con o senza la registrazione dei dispositivi in una soluzione di gestione dei dispositivi. Implementando i criteri a livello di app, è possibile limitare l'accesso alle risorse aziendali e mantenere i dati di competenza del reparto IT.

Criteri di protezione delle app nei dispositivi

Configurare i criteri di protezione per le app eseguite in dispositivi che sono:

• Registrato in Microsoft Intune: questi dispositivi sono in genere di proprietà dell'azienda.

• Iscritto a una soluzione di gestione dei dispositivi mobili (MDM) non Microsoft: Questi dispositivi sono in genere di proprietà dell'azienda.

  Nota

  I criteri di gestione delle app per dispositivi mobili non devono essere usati con soluzioni di gestione di app per dispositivi mobili non Microsoft o con soluzioni di contenitori sicuri.

• Non sei iscritto ad alcuna soluzione di gestione dei dispositivi mobili: Questi dispositivi sono in genere dispositivi di proprietà dei dipendenti non gestiti o registrati in Intune o altre soluzioni MDM.

Vantaggi dell'utilizzo dei criteri di protezione delle app

I vantaggi importanti dell'uso dei criteri di protezione delle app sono i seguenti:

• Protezione dei dati aziendali a livello dell'app. Poiché la gestione delle app per dispositivi mobili non richiede la gestione dei dispositivi, è consigliabile proteggere i dati aziendali nei dispositivi gestiti e non gestiti. La gestione è incentrata sull'identità utente, che elimina il requisito per la gestione dei dispositivi.

• La produttività dell'utente non viene influenzata e i criteri non si applicano quando si usa l'app in un contesto personale. Intune applica i criteri solo in un contesto aziendale, offrendo la possibilità di proteggere i dati aziendali senza influire sui dati personali.

• I criteri di protezione di app assicurano che le protezioni a livello di app siano attive. Ad esempio:

  • Richiedere un PIN per aprire un'app in un contesto aziendale
  • Controllare la condivisione dei dati tra le app
  • Impedire il salvataggio dei dati dell'app aziendale in una posizione di archiviazione personale

• MDM con MAM garantisce la protezione del dispositivo. Ad esempio, richiedere un PIN per accedere al dispositivo o distribuire app gestite nel dispositivo. Distribuisci anche le app nei dispositivi tramite la soluzione MDM, per avere un maggiore controllo sulla gestione delle app.

Ci sono più vantaggi nell'usare MDM con i criteri di protezione delle app e le aziende possono usare contemporaneamente i criteri di protezione delle app con e senza MDM. Si consideri, ad esempio, un dipendente che utilizza sia un telefono fornito dall'azienda che il proprio tablet personale. Il telefono aziendale viene registrato in MDM e protetto dai criteri di protezione delle app, Il dispositivo personale è protetto solo dai criteri di protezione delle app.

Se si applica un criterio MAM all'utente senza impostare lo stato del dispositivo, l'utente ottiene il criterio MAM sia nel BYOD (Bring Your Own Device) che nel dispositivo gestito da Intune. Applica anche i criteri MAM in base allo stato di gestione dei dispositivi. Per altre informazioni, vedere Criteri di protezione delle app di destinazione in base allo stato di gestione dei dispositivi. Quando si crea un criterio di protezione delle app, selezionare No accanto a Imposta come target per tutti i tipi di app. Eseguire quindi una delle operazioni seguenti:

• Applicare un criterio MAM meno rigoroso ai dispositivi gestiti di Intune e applicare criteri MAM più restrittivi ai dispositivi non registrati con MDM.
• Applicare un criterio MAM solo ai dispositivi non registrati.

Piattaforme supportate per i criteri di protezione delle app

Intune offre una vasta gamma di funzionalità che consentono di ottenere le app desiderate sui dispositivi su cui le si vuole eseguire. Per altre informazioni, vedere Funzionalità di gestione delle app per piattaforma.

Criteri di protezione delle app di Intune Il supporto della piattaforma è allineato con il supporto della piattaforma applicazione mobile di Office per dispositivi Android e iOS/iPadOS. Per informazioni dettagliate, vedere la sezione App per dispositivi mobili dei requisiti di sistema di Office.

Crea anche criteri di protezione delle app per i dispositivi Windows. Per informazioni dettagliate, vedere Esperienza di protezione delle app per i dispositivi Windows.

Framework di protezione dei dati dei criteri di protezione delle app

Le scelte disponibili nei criteri di protezione delle app consentono alle organizzazioni di personalizzare la protezione in base alle proprie esigenze specifiche. Per alcuni, potrebbe non essere ovvio quali impostazioni di criteri siano necessarie per implementare uno scenario completo. Per aiutare le organizzazioni a dare priorità alla protezione avanzata degli endpoint dei client mobili, Microsoft introduce la tassonomia per i criteri di protezione delle app, framework di protezione dei dati per la gestione delle app mobili iOS e Android.

Il framework di protezione dei dati dei criteri di protezione delle app è organizzato in tre livelli di configurazione distinti, ognuno dei quali si basa sul livello precedente:

• La protezione di base dei dati aziendali (livello 1) garantisce che le app siano protette con un PIN e crittografate ed esegue operazioni di cancellazione selettiva. Per i dispositivi Android, questo livello convalida l'attestazione del dispositivo Android. La configurazione di livello 1 è una configurazione di livello base che fornisce un controllo di protezione dei dati simile nei criteri delle cassette postali di Exchange Online e introduce il reparto IT e la popolazione di utenti in APP.
• La protezione dei dati avanzata ( livello 2) aziendale introduce criteri di protezione delle app, meccanismi di prevenzione della perdita di dati e requisiti minimi del sistema operativo. La configurazione di livello 2 è applicabile alla maggior parte degli utenti di dispositivi mobili che accedono ai dati aziendali o dell'istituto di istruzione.
• L'Enterprise High Data Protection (Livello 3) introduce meccanismi avanzati di protezione dei dati, una configurazione avanzata del PIN e criteri di protezione delle app Mobile Threat Defense. La configurazione di livello 3 è auspicabile per gli utenti che accedono a dati ad alto rischio.

Per visualizzare le raccomandazioni specifiche per ogni livello di configurazione e le applicazioni minime che devono essere protette, consultare il documento Framework di protezione dei dati utilizzando i criteri di protezione delle app.

In che modo i criteri di protezione delle app proteggono i dati delle app

App senza criteri di protezione delle app

Quando si usano app senza restrizioni, i dati aziendali e personali possono mescolarsi. I dati aziendali possono finire in posizioni come l'archiviazione personale o trasferiti ad app aldilà della propria portata, e ciò potrebbe comportare la perdita di tali dati. Le frecce nel diagramma seguente mostrano lo spostamento illimitato dei dati tra app aziendali e personali e in posizioni di archiviazione.

Framework di protezione dei dati con i criteri di protezione delle app

Utilizzare i criteri di protezione di app per impedire il salvataggio dei dati aziendali nell'archivio locale del dispositivo (vedere l'immagine seguente). Limitare anche lo spostamento dei dati ad altre app che non sono protette dai criteri di protezione delle app. Le impostazioni del criterio di protezione delle app includono:

• Criteri di trasferimento dei dati, ad esempio Salva copie dei dati dell'organizzazione e Limita operazioni di taglio, copia e incolla.
• Accedere alle impostazioni dei criteri come Richiedi PIN semplice per l'accesso e Blocca l'esecuzione delle app gestite in dispositivi con jailbreak o con root.

Protezione dei dati con APP su dispositivi gestiti da una soluzione MDM

La figura seguente mostra i livelli di protezione offerti congiuntamente dai criteri di protezione delle app e MDM.

La soluzione MDM aggiunge valore fornendo quanto segue:

• Registra il dispositivo
• Distribuisce le app nel dispositivo
• Fornisce la conformità e la gestione dei dispositivi continua

I criteri di Protezione di app aggiungono valore fornendo quanto segue:

• Proteggere i dati aziendali dalla perdita di informazioni sulle app e i servizi consumer
• Applicare restrizioni alle app client, ad esempio salvataggio con nome, appunti o PIN
• Cancella i dati aziendali quando necessario dalle app senza rimuoverle dal dispositivo

Protezione dei dati con APP per dispositivi senza registrazione

Il diagramma seguente illustra il funzionamento dei criteri di protezione dei dati a livello di app senza MDM.

Per i dispositivi BYOD non registrati in alcuna soluzione MDM, i criteri di protezione di app consentono di proteggere i dati aziendali a livello di app. Esistono tuttavia alcune limitazioni da tenere presenti:

• Le app non vengono distribuite nel dispositivo. L'utente scarica le app dallo Store.
• Non viene eseguito il provisioning dei profili di certificato in questi dispositivi.
• Non viene eseguito il provisioning delle impostazioni VPN e Wi-Fi aziendali in questi dispositivi.

App che è possibile gestire con i criteri di protezione delle app

Qualsiasi app che si integra con Intune SDK o esegue il wrapping da parte dell'Intune App Wrapping Tool può essere gestita usando Intune criteri di protezione delle app. Vedi l'elenco ufficiale delle app protette di Microsoft Intune che usano questi strumenti e sono disponibili per uso pubblico.

Il team di sviluppo di Intune SDK testa e gestisce attivamente il supporto per le app create con le piattaforme native Android e iOS/iPadOS (Obj-C, Swift). Mentre alcuni clienti hanno avuto successo con l'integrazione di Intune SDK con altre piattaforme come React Native e NativeScript, le indicazioni esplicite o i plug-in non vengono forniti agli sviluppatori di app che usano altro che le piattaforme supportate.

Requisiti degli utenti per l'uso dei criteri di protezione delle app

L'elenco seguente fornisce i requisiti utente per l'uso dei criteri di protezione delle app in un'app gestita da Intune:

• L'utente deve disporre di un account Microsoft Entra. Vedere Aggiungere utenti e concedere autorizzazioni amministrative a Intune per informazioni su come creare utenti di Intune in Microsoft Entra ID.

• L'utente deve disporre di una licenza per Microsoft Intune assegnata al proprio account Microsoft Entra. Per informazioni su come assegnare le licenze di Intune agli utenti, vedere Gestire le licenze di Intune.

• L'utente deve appartenere a un gruppo di sicurezza destinato a un criterio di protezione delle app. I criteri di protezione delle app devono essere mirati per la specifica app in uso. I criteri di protezione di app possono essere creati e distribuiti nell'interfaccia di amministrazione di Microsoft Intune. I gruppi di sicurezza possono attualmente essere creati nell'interfaccia di amministrazione di Microsoft 365.

• L'utente deve accedere all'app utilizzando il proprio account Microsoft Entra.

Criteri di protezione di app per le app di Microsoft 365 (Office)

Esistono altri requisiti di cui è necessario tenere conto quando si usano i criteri di protezione di app con le app di Microsoft 365 (Office).

App per dispositivi mobili Outlook

I requisiti per l'uso dell'app mobile Outlook sono i seguenti:

• L'utente deve avere l'app per dispositivi mobili Outlook installata nel dispositivo.

• L'utente deve disporre di una cassetta postale di Microsoft 365 Exchange Online e di una licenza collegata al proprio account di Microsoft Entra.

  Nota

  L'app Outlook per dispositivi mobili attualmente supporta solo Intune App Protection per Microsoft Exchange Online ed Exchange Server con autenticazione moderna ibrida e non supporta Exchange in Office 365 Dedicated.

Word, Excel e PowerPoint

I requisiti per usare le app Word, Excel e PowerPoint sono i seguenti:

• L'utente deve avere una licenza per Microsoft 365 Apps for business o enterprise collegata al proprio account Microsoft Entra. L'abbonamento deve includere le app Microsoft 365 su dispositivi mobili e può includere un account di archiviazione cloud con Microsoft OneDrive. Le licenze di Microsoft 365 possono essere assegnate nell'interfaccia di amministrazione di Microsoft 365 seguendo queste istruzioni.

• È necessario che l'utente disponga di una posizione gestita configurata usando la funzionalità di salvataggio granulare con nome nell'impostazione dei criteri di protezione dell'applicazione "Salva copie dei dati dell'organizzazione". Ad esempio, se il percorso gestito è OneDrive, l'app OneDrive deve essere configurata nell'app Word, Excel o PowerPoint dell'utente.

• Se la posizione gestita è OneDrive, l'app deve essere destinata ai criteri di protezione delle app distribuiti all'utente.

  Nota

  Le app di Office per dispositivi mobili attualmente supportano solo SharePoint Online e non SharePoint locale.

Posizione gestita necessaria per Office

Per Office è necessaria una posizione gestita, ovvero OneDrive. Intune contrassegna tutti i dati nell'app come "aziendali" o "personali". I dati sono considerati "aziendali" quando provengono da una sede aziendale. Per le app Microsoft 365, Intune considera le seguenti come sedi aziendali: posta elettronica (Exchange) o archiviazione nel cloud (app OneDrive con un account OneDrive aziendale o dell'istituto di istruzione).

Skype for Business

Esistono più requisiti per usare Skype for Business. Vedere Requisiti di licenza di Skype for Business. Per le configurazioni ibride e locali di Skype for Business (SfB), vedere Autenticazione moderna ibrida per SfB ed Exchange goes GA e Autenticazione moderna per SfB locale con Microsoft Entra ID, rispettivamente.

Protezione di app Criteri globali

Se un amministratore di OneDrive passa a admin.onedrive.com e seleziona Accesso al dispositivo, può impostare i controlli di gestione delle applicazioni mobili sulle app client OneDrive e SharePoint.

Con le impostazioni rese disponibili per la console di amministrazione di OneDrive, configura uno speciale criterio di protezione dell'app di Intune denominato criterio globale. Questo criterio globale si applica a tutti gli utenti nel tenant e non è possibile controllare la destinazione dei criteri.

Una volta abilitate, le app OneDrive e SharePoint per iOS/iPadOS e Android sono protette con le impostazioni selezionate per impostazione predefinita. Un professionista IT può modificare questo criterio nell'interfaccia di amministrazione di Microsoft Intune per aggiungere app più mirate e modificare qualsiasi impostazione di criterio.

Per impostazione predefinita, può essere presente un solo criterio globale per tenant. È tuttavia possibile usare le API di Intune Graph per creare criteri globali aggiuntivi per ogni tenant, ma non è consigliabile. Non è consigliabile creare criteri globali aggiuntivi perché la risoluzione dei problemi relativi all'implementazione di tali criteri può diventare complicata.

Anche se il criterio globale si applica a tutti gli utenti nel tenant, qualsiasi criterio di protezione dell'app Intune standard sostituisce queste impostazioni.

Funzionalità di protezione di app

Multi-identità

Il supporto per più identità consente a un'app di supportare più destinatari. Questi gruppi di destinatari sono sia utenti "aziendali" che utenti "personali". I destinatari "aziendali" utilizzano gli account aziendali e dell'istituto di istruzione, mentre i destinatari consumer, come gli utenti di Microsoft 365 (Office), utilizzerebbero account personali. Un'app che supporta l'identità multipla può essere rilasciata pubblicamente, dove i criteri di protezione delle app si applicano solo quando l'app viene usata nel contesto aziendale e dell'istituto di istruzione ("aziendale"). Il supporto per più identità usa Intune SDK per applicare i criteri di protezione delle app solo all'account aziendale o dell'istituto di istruzione connesso all'app. Se un account personale è connesso all'app, i dati rimangono invariati. I criteri di protezione di app possono essere usati per impedire il trasferimento dei dati dell'account aziendale o dell'istituto di istruzione ad account personali all'interno dell'app con più identità, account personali all'interno di altre app o app personali.

I criteri di protezione delle app sono supportati per più account gestiti (MMA), che consentono agli utenti di aggiungere più account aziendali o dell'istituto di istruzione all'interno di un'app supportata, con criteri applicati in modo indipendente per ogni account.

Per un esempio di contesto "personale", si consideri un utente che avvia un nuovo documento in Word. Questo è considerato un contesto personale, quindi i criteri di protezione delle app di Intune non vengono applicati. Una volta salvato il documento nell'account OneDrive "aziendale", viene considerato contesto "aziendale" e vengono applicati i criteri di protezione dell'app Intune.

Consideriamo gli esempi seguenti per il contesto aziendale o aziendale:

• Un utente avvia l'app OneDrive usando il proprio account aziendale. Nel contesto aziendale, non possono spostare i file in una posizione di archiviazione personale. In seguito, quando usano OneDrive con il loro account personale, possono copiare e spostare i dati dal loro OneDrive personale senza restrizioni.
• un utente inizia a scrivere un messaggio di posta elettronica nell'app Outlook. Una volta popolato l'oggetto o il corpo del messaggio, l'utente non è in grado di trasferire l'indirizzo FROM dal contesto di lavoro a quello personale perché l'oggetto e il corpo del messaggio sono protetti dai criteri di protezione delle app.

PIN app Intune

Il PIN (Personal Identification Number) è un passcode utilizzato per verificare che l'utente corretto acceda ai dati dell'organizzazione in un'applicazione.

Richiesta PIN
Intune richiede il PIN dell'app dell'utente quando l'utente sta per accedere ai dati "aziendali". Nelle app con più identità come Word, Excel o PowerPoint, all'utente viene richiesto di immettere il PIN quando prova ad aprire un documento o un file aziendale. Nelle app con identità singola, ad esempio le app line-of-business gestite con il Intune App Wrapping Tool, il PIN viene richiesto all'avvio, perché l'SDK Intune sa che l'esperienza dell'utente nell'app è sempre "aziendale".

Richiesta di PIN o richiesta di credenziali aziendali, frequenza
L'amministratore IT può definire l'impostazione dei criteri di protezione dell'app Intune Ricontrollare i requisiti di accesso dopo (minuti)nell'interfaccia di amministrazione di Microsoft Intune. Questa impostazione specifica la quantità di tempo che deve trascorrere prima che i requisiti di accesso vengano verificati nel dispositivo e che la schermata del PIN dell'applicazione o la richiesta delle credenziali aziendali vengano nuovamente visualizzate. Tuttavia, dettagli importanti sul PIN che influiscono sulla frequenza con cui viene richiesta all'utente sono:

• Il PIN è condiviso tra app dello stesso autore per migliorare l'usabilità:
  In iOS/iPadOS, un PIN dell'app viene condiviso tra tutte le app dello stesso autore di app. Ad esempio, tutte le app Microsoft condividono lo stesso PIN. In Android un PIN dell'app viene condiviso tra tutte le app.
• Il comportamento di ricontrollo dei requisiti di accesso dopo (minuti) dopo il riavvio di un dispositivo:
  Un timer tiene traccia del numero di minuti di inattività che determinano quando visualizzare il successivo prompt di Intune, app, PIN o credenziali aziendali. In iOS/iPadOS, il timer non è influenzato dal riavvio del dispositivo. Pertanto, il riavvio del dispositivo non ha alcun effetto sul numero di minuti in cui l'utente rimane inattivo da un'app iOS/iPadOS con il criterio PIN (o credenziali aziendali) di Intune mirato. In Android, il timer viene reimpostato al riavvio del dispositivo. Di conseguenza, le app Android con criteri PIN (o credenziali aziendali) di Intune richiedono probabilmente un PIN dell'app o una richiesta di credenziali aziendali, indipendentemente dal valore dell'impostazione "Ricontrollare i requisiti di accesso dopo (minuti)" dopo il riavvio del dispositivo.
• La natura rolling del timer associato al PIN:
  Dopo che viene immesso un PIN per accedere a un'app (app A) e l'app lascia il primo piano (input principale) sul dispositivo, il timer viene reimpostato per quel PIN. Qualsiasi app (app B) che condivide questo PIN non chiederà all'utente di immettere il PIN perché il timer è stato reimpostato. Il prompt viene visualizzato di nuovo quando viene nuovamente soddisfatto il valore "Ricontrollare i requisiti di accesso dopo (minuti)".

Per i dispositivi iOS/iPadOS, anche se il PIN è condiviso tra app di editori diversi, la richiesta viene visualizzata nuovamente quando viene soddisfatto nuovamente il valore Ricontrolla i requisiti di accesso dopo (minuti) per l'app che non è lo stato attivo dell'input principale. Ad esempio, un utente ha l'app A dell'editore X e l'app B dell'editore Y, e queste due app condividono lo stesso PIN. L'utente è concentrato sull'app A (primo piano) e l'app B viene ridotta a icona. Dopo che il valore Ricontrolla i requisiti di accesso dopo (minuti) è soddisfatto e l'utente passa all'app B, il PIN è obbligatorio.

PIN dell'app predefiniti per Outlook e OneDrive
Il PIN di Intune funziona in base a un timer basato sull'inattività (il valore di Ricontrolla i requisiti di accesso dopo (minuti). Di conseguenza, le richieste di PIN di Intune vengono visualizzate indipendentemente dalle richieste PIN delle app predefinite per Outlook e OneDrive, che spesso sono collegate all'avvio dell'app per impostazione predefinita. Se l'utente riceve entrambe le richieste di PIN contemporaneamente, il comportamento previsto è che il PIN di Intune abbia la precedenza.

Sicurezza del PIN di Intune
Il PIN consente solo all'utente corretto di accedere ai dati dell'organizzazione nell'app. Pertanto, l'utente deve accedere con il proprio account aziendale o dell'istituto di istruzione prima di poter impostare o reimpostare il PIN dell'app Intune. Microsoft Entra ID gestisce questa autenticazione tramite scambio di token sicuro e l'SDK di Intune non lo vede. Dal punto di vista della sicurezza, il modo migliore per proteggere i dati aziendali o dell'istituto di istruzione è crittografarli. La crittografia non è correlata al PIN dell'app, ma è un criterio di protezione dell'app specifico.

Protezione dagli attacchi di forza bruta e dal PIN di Intune
Come parte dei criteri PIN dell'app, l'amministratore IT può impostare il numero massimo di volte in cui un utente può provare ad autenticare il PIN prima di bloccare l'app. Una volta raggiunto il numero di tentativi, l'SDK di Intune può cancellare i dati "aziendali" nell'app.

PIN di Intune e cancellazione selettiva
In iOS/iPadOS le informazioni sul PIN a livello di app vengono archiviate nel keychain condiviso tra le app con lo stesso autore, ad esempio tutte le app Microsoft proprietarie. Queste informazioni PIN sono anche collegate a un account utente. Una cancellazione selettiva di un'app non influisce su un'altra app.

Ad esempio, un PIN impostato per Outlook per l'utente connesso viene archiviato in un keychain condiviso. Quando l'utente accede a OneDrive (anch'esso pubblicato da Microsoft), viene visualizzato lo stesso PIN di Outlook perché usa lo stesso portachiavi condiviso. Quando ci si disconnette da Outlook o si cancellano i dati utente in Outlook, l'SDK di Intune non cancella il portachiavi perché OneDrive potrebbe ancora usare quel PIN. Per questo motivo, le cancellazioni selettive non cancellano il portachiavi condiviso, incluso il PIN. Questo comportamento rimane invariato anche se nel dispositivo esiste una sola app creata da un editore.

Poiché il PIN viene condiviso tra le app con lo stesso autore, se la cancellazione passa a una singola app, l'SDK di Intune non sa se ci sono altre app nel dispositivo con lo stesso autore. Pertanto, l'SDK di Intune non cancella il PIN perché potrebbe essere ancora usato per altre app. L'attesa è che il PIN dell'app venga cancellato quando l'ultima app di quell'autore viene rimossa come parte di una pulizia del sistema operativo.

Se si osserva che il PIN viene cancellato in alcuni dispositivi, è probabile che si verifichi il comportamento seguente: Poiché il PIN è associato a un'identità, se l'utente accede con un account diverso dopo una cancellazione, viene richiesto di immettere un nuovo PIN. Se invece si accede con un account già esistente, è possibile usare un PIN archiviato nel portachiavi per accedere.

Impostare un PIN due volte sulle app dello stesso autore?
MAM (su iOS/iPadOS) attualmente consente il PIN a livello di applicazione con caratteri alfanumerici e speciali (chiamato "passcode") che richiede la partecipazione di applicazioni (ad esempio, WXP, Outlook, Viva Engage) per integrare l'SDK di Intune per iOS. Senza questo, le impostazioni del passcode non vengono applicate correttamente per le applicazioni di destinazione. Questa è una funzionalità rilasciata in Intune SDK per iOS v. 7.1.12.

Per supportare questa funzionalità e garantire la compatibilità con le versioni precedenti di Intune SDK per iOS/iPadOS, tutti i PIN (numerici o passcode) in 7.1.12+ vengono gestiti separatamente dal PIN numerico nelle versioni precedenti dell'SDK. Un'altra modifica è stata introdotta in Intune SDK per iOS v 14.6.0 che consente di gestire tutti i PIN in 14.6.0+ separatamente da qualsiasi PIN nelle versioni precedenti dell'SDK.

Pertanto, se un dispositivo dispone di applicazioni con versioni di Intune SDK per iOS precedenti alla 7.1.12 E successive alla 7.1.12 dello stesso editore (o versioni precedenti alla 14.6.0 E successive alla 14.6.0), devono configurare due PIN. I due PIN (per ogni app) non sono correlati in alcun modo, ovvero devono aderire ai criteri di protezione dell'app applicati all'app. Di conseguenza, se alle app A e B sono applicati gli stessi criteri (per quanto riguarda il PIN), l'utente potrebbe configurare lo stesso PIN due volte.

Questo comportamento è specifico del PIN nelle applicazioni iOS/iPadOS abilitate con Gestione app mobili di Intune. Con il passare del tempo, man mano che le applicazioni adottano versioni successive di Intune SDK per iOS/iPadOS, la necessità di impostare due volte un PIN per le app dello stesso autore diventa un problema minore.

Crittografia dati app

Gli amministratori IT possono distribuire un criterio di protezione delle app che richiede la crittografia dei dati delle app. Come parte del criterio, l'amministratore IT può anche specificare quando il contenuto deve essere crittografato.

Come elabora la crittografia dei dati di Intune
Per informazioni dettagliate sull'impostazione dei criteri di protezione delle app di crittografia, vedere le impostazioni dei criteri di protezione delle app Android e le impostazioni dei criteri di protezione delle app iOS/iPadOS .

Dati crittografati
Solo i dati contrassegnati come "aziendali" vengono crittografati in base ai criteri di protezione delle app dell'amministratore IT. I dati sono considerati "aziendali" quando provengono da una sede aziendale. Per le app Microsoft 365, Intune considera le seguenti come sedi aziendali:

• Email (Exchange)
• Archiviazione nel cloud (app OneDrive con un account aziendale o dell'istituto di istruzione)

Per le app line-of-business gestite dal Intune App Wrapping Tool, tutti i dati dell'app sono considerati "aziendali".

Cancellazione selettiva

Cancellazione remota dei dati
Intune può cancellare i dati delle app in tre modi diversi:

• Cancellazione completa del dispositivo
• Cancellazione selettiva per MDM
• Salvietta selettiva MAM

Per altre informazioni sulla cancellazione remota per MDM, vedi Rimuovere i dispositivi usando la cancellazione o il ritiro. Per altre informazioni sulla cancellazione selettiva con MAM, vedere l'azione Ritira e Come cancellare solo i dati aziendali dalle app.

La cancellazione completa del dispositivo rimuove tutti i dati e le impostazioni utente dal dispositivo ripristinando le impostazioni predefinite di fabbrica. Il dispositivo viene rimosso da Intune.

Cancellazione selettiva per MDM
Vedere Rimozione dispositivi - Ritiro per informazioni sulla rimozione dei dati aziendali.

Cancellazione selettiva per MAM
La cancellazione selettiva per MAM rimuove i dati delle app aziendali da un'app. La richiesta viene avviata utilizzando Intune. Per informazioni su come avviare una richiesta di cancellazione, vedere Come cancellare solo i dati aziendali dalle app.

Se l'utente usa l'app quando viene avviata la cancellazione selettiva, Intune SDK verifica ogni 30 minuti la presenza di una richiesta di cancellazione selettiva da parte del servizio Intune MAM. Verifica anche la presenza di cancellazione selettiva quando l'utente avvia l'app per la prima volta e accede con il proprio account aziendale o dell'istituto di istruzione.

Quando i servizi locali (on-prem) non funzionano con le app protette da Intune
La protezione dell'app Intune dipende dall'identità dell'utente per essere coerente tra l'applicazione e l'SDK di Intune. L'unico modo per garantirlo è attraverso l'autenticazione moderna. Esistono scenari in cui le app potrebbero funzionare con una configurazione locale, ma non sono coerenti o garantiti.

Metodo sicuro per aprire collegamenti Web dalle app gestite
L'amministratore IT può distribuire e impostare i criteri di protezione delle app per Microsoft Edge, un Web browser che può essere gestito facilmente con Intune. L'amministratore IT può richiedere l'apertura di tutti i collegamenti Web nelle app gestite da Intune tramite Microsoft Edge.

Esperienza di protezione di app per dispositivi iOS

ID volto o impronta digitale del dispositivo

I criteri di protezione delle app di Intune consentono di controllare l'accesso alle app solo all'utente con licenza Intune. Uno dei modi per controllare l'accesso all'app è richiedere Touch ID o Face ID di Apple sui dispositivi supportati. Intune implementa un comportamento in cui, se viene apportata una modifica al database biometrico del dispositivo, Intune richiede all'utente di immettere un PIN quando viene soddisfatto il successivo valore di timeout di inattività. Le modifiche ai dati biometrici includono l'aggiunta o la rimozione di un'impronta digitale o di un volto. Se l'utente di Intune non ha un PIN impostato, viene portato a configurare un PIN di Intune.

Lo scopo di questo processo è continuare a mantenere i dati dell'organizzazione all'interno dell'app sicuri e protetti a livello di app. Questa funzionalità è disponibile solo per iOS/iPadOS e richiede la partecipazione di applicazioni che integrano Intune SDK per iOS/iPadOS versione 9.0.1 o successiva. L'integrazione dell'SDK è necessaria affinché il comportamento possa essere applicato alle applicazioni di destinazione. Questa integrazione avviene su base continuativa e dipende dai team applicativi specifici. Alcune app che partecipano includono WXP, Outlook e Viva Engage.

Estensione di condivisione iOS

Usare l'estensione di condivisione iOS/iPadOS per aprire i dati aziendali o dell'istituto di istruzione in app non gestite, anche con i criteri di trasferimento dei dati impostati su Solo app gestite o nessuna app. I criteri di protezione dell'app Intune non possono controllare l'estensione di condivisione iOS/iPadOS senza gestire il dispositivo. Pertanto, Intune crittografa i dati "aziendali" prima che vengano condivisi all'esterno dell'app. Convalidare questo comportamento di crittografia tentando di aprire un file "aziendale" all'esterno dell'app gestita. Il file deve essere crittografato e non può essere aperto all'esterno dell'app gestita.

Supporto per collegamenti universali

Per impostazione predefinita, i criteri di protezione delle app di Intune impediscono l'accesso al contenuto dell'applicazione non autorizzato. In iOS/iPadOS è disponibile la funzionalità per aprire contenuti o applicazioni specifici usando i collegamenti universali.

Gli utenti possono disabilitare i collegamenti universali di un'app visitandoli in Safari e selezionando "Apri in una nuova scheda " o " Apri". Per usare i collegamenti universali con i criteri di protezione dell'app Intune, è importante riabilitare i collegamenti universali. L'utente dovrebbe aprire il< nome >dell'app in Safari dopo aver premuto a lungo un collegamento corrispondente. Ciò dovrebbe richiedere a qualsiasi app protetta di instradare tutti i collegamenti universali all'applicazione protetta nel dispositivo.

Più impostazioni di accesso alla protezione delle app di Intune per lo stesso set di app e utenti

Intune criteri di protezione delle app per l'accesso vengono applicati in un ordine specifico ai dispositivi degli utenti mentre tentano di accedere a un'app di destinazione dal proprio account aziendale. In generale, una cancellazione ha la precedenza, seguita da un blocco, quindi da un avviso ignorabile. Ad esempio, se applicabile all'utente o all'app specifici, dopo l'impostazione minima del sistema operativo iOS/iPadOS che invita un utente ad aggiornare la versione di iOS/iPadOS viene applicata dopo l'impostazione minima del sistema operativo iOS/iPadOS che blocca l'accesso all'utente. Quindi, nello scenario in cui l'amministratore IT configura il sistema operativo iOS min su 11.0.0.0 e il sistema operativo iOS min (solo avviso) su 11.1.0.0, mentre il dispositivo che tenta di accedere all'app è in iOS 10, l'utente verrebbe bloccato in base all'impostazione più restrittiva per la versione minima del sistema operativo iOS che comporta l'accesso bloccato.

Quando si gestiscono diversi tipi di impostazioni, ha la precedenza un requisito di versione di Intune SDK, quindi un requisito di versione dell'app, seguito dal requisito di versione del sistema operativo iOS/iPadOS. Quindi, vengono controllati eventuali avvisi per tutti i tipi di impostazioni nello stesso ordine. Configurare il requisito di versione di Intune SDK solo su indicazione del team del prodotto Intune per gli scenari di blocco essenziali.

Esperienza di protezione di app per dispositivi Android

Dispositivi Android per Microsoft Teams

L'app Teams nei dispositivi Android per Microsoft Teams non supporta i criteri di protezione delle app (non riceve i criteri tramite l'app Portale aziendale). Ciò significa che le impostazioni dei criteri di protezione delle app non verranno applicate a Teams nei dispositivi Android di Microsoft Teams. Se sono stati configurati criteri di protezione delle app per questi dispositivi, è consigliabile creare un gruppo di utenti dei dispositivi di Teams ed escludere tale gruppo dai criteri di protezione delle app correlati. È consigliabile modificare i criteri di registrazione di Intune, i criteri di accesso condizionale e i criteri di conformità di Intune in modo che includano impostazioni supportate. Se non è possibile modificare i criteri esistenti, è necessario configurare (esclusione) i filtri del dispositivo. Verificare ogni impostazione rispetto alla configurazione di Accesso condizionale esistente e ai criteri di conformità di Intune per sapere se si includono impostazioni non supportate. Per altre informazioni, vedere Criteri di Accesso condizionale e criteri di conformità dei dispositivi di Intune supportati per dispositivi Android e Microsoft Teams Rooms. Per informazioni relative a Microsoft Teams Rooms, vedere Accesso condizionale e conformità di Intune per Microsoft Teams Rooms.

Autenticazione biometrica del dispositivo

Per i dispositivi Android che supportano l'autenticazione biometrica, consentire agli utenti di usare l'impronta digitale o Face Unlock, a seconda di ciò che supporta il dispositivo Android. Configurare se tutti i tipi di dati biometrici oltre all'impronta digitale possono essere usati per l'autenticazione. L'impronta digitale e lo sblocco facciale sono disponibili solo per i dispositivi prodotti per supportare questi tipi di dati biometrici e che eseguono la versione corretta di Android. Per l'impronta digitale sono necessari Android 6 e versioni successive, mentre per lo sblocco facciale sono necessari Android 10 o versioni successive.

App Portale aziendale e protezione dell'app Intune

Gran parte delle funzionalità di protezione dell'app è incorporata nell'app Portale aziendale. La registrazione del dispositivo non è obbligatoria*, anche se l'app Portale aziendale è sempre necessaria. Per Gestione applicazioni mobili (MAM), l'utente deve avere l'app Portale aziendale installata nel dispositivo.

Più impostazioni di accesso alla protezione delle app di Intune per lo stesso set di app e utenti

Intune criteri di protezione delle app per l'accesso vengono applicati in un ordine specifico ai dispositivi degli utenti mentre tentano di accedere a un'app di destinazione dal proprio account aziendale. In generale, un blocco ha la precedenza e poi un avviso ignorabile. Ad esempio, se applicabile all'utente o all'app specifici, dopo l'impostazione della versione minima della patch Android che blocca l'accesso all'utente viene applicata un'impostazione della versione patch minima che avvisa l'utente di eseguire un aggiornamento patch. Pertanto, nello scenario in cui l'amministratore IT configura la versione minima della patch Android in 2018-03-01 e la versione minima della patch Android (solo avviso) in 2018-02-01, mentre il dispositivo che tenta di accedere all'app è in una versione 2018-01-01patch, l'utente verrebbe bloccato in base all'impostazione più restrittiva per la versione minima della patch Android che comporta l'accesso bloccato.

Quando si gestiscono diversi tipi di impostazioni, ha la precedenza un requisito di versione dell'app, seguito da un requisito di versione del sistema operativo Android e da un requisito di versione della patch di Android. Quindi, tutti gli avvisi vengono controllati per tutti i tipi di impostazioni nello stesso ordine.

Criteri di protezione dell'app Intune e controllo dell'integrità del dispositivo di Google Play per i dispositivi Android

I criteri di protezione dell'app di Intune offrono agli amministratori la possibilità di richiedere ai dispositivi degli utenti di superare il controllo di integrità dei dispositivi di Google Play per i dispositivi Android. Una nuova determinazione del servizio Google Play viene segnalata all'amministratore IT a intervalli determinati dal servizio Intune. La frequenza con cui viene effettuata la chiamata di servizio viene limitata a causa del carico, quindi questo valore viene mantenuto internamente e non è configurabile. Qualsiasi azione configurata dall'amministratore IT per l'impostazione di integrità del dispositivo Google viene eseguita in base all'ultimo risultato segnalato al servizio Intune al momento dell'avvio condizionale. Se non sono presenti dati, l'accesso è consentito in base all'assenza di altri controlli di avvio condizionali non riusciti e il "roundtrip" di Google Play Service per determinare i risultati dell'attestazione inizia nel back-end e richiede all'utente in modo asincrono se il dispositivo si guasta. In caso di dati non aggiornati, l'accesso viene bloccato o consentito in base all'ultimo risultato segnalato e, analogamente, inizia un "roundtrip" di Google Play Service per determinare i risultati dell'attestazione che informa l'utente in modo asincrono se il dispositivo non riesce.

Criteri di protezione delle app di Intune e API Verify Apps di Google per dispositivi Android

I criteri di protezione delle app di Intune offrono agli amministratori la possibilità di richiedere ai dispositivi utente di inviare segnali tramite l'API Verify Apps di Google per dispositivi Android. Le istruzioni su come eseguire questa operazione variano leggermente in base al dispositivo. Il processo generale prevede l'accesso a Google Play Store, quindi la selezione di Le mie app & i miei giochi, selezionando il risultato dell'ultima analisi dell'app, che consente di accedere al menu Play Protect. Assicurati che l'interruttore per Cerca minacce alla sicurezza nel dispositivo sia attivato.

API Play Integrity di Google

Intune utilizza le API Play Integrity di Google per aggiungere ai controlli di rilevamento radice esistenti per i dispositivi non registrati. Google sviluppa e mantiene questo set di API per le app Android da adottare se non vogliono che le loro app vengano eseguite su dispositivi rootati. L'app Android Pay incorpora questo, ad esempio. Sebbene Google non condivida pubblicamente la totalità dei controlli di rilevamento delle radici che si verificano, queste API rilevano gli utenti che eseguono il root dei loro dispositivi. Questi utenti possono quindi essere bloccati dall'accesso o i loro account aziendali cancellati dalle app abilitate ai criteri. Il controllo dell'integrità di base fornisce informazioni sull'integrità generale del dispositivo. I dispositivi rooted, gli emulatori, i dispositivi virtuali e i dispositivi con segni di manomissione non rispettano l'integrità di base. Verifica l'integrità di base & dispositivi certificati ti informa sulla compatibilità del dispositivo con i servizi di Google. Solo i dispositivi non modificati certificati da Google possono superare questo controllo. I dispositivi che non funzionano includono:

• Dispositivi che non soddisfano l'integrità di base
• Dispositivi con un bootloader sbloccato
• Dispositivi con un'immagine di sistema/ROM personalizzata
• Dispositivi per i quali il produttore non ha richiesto o non ha superato la certificazione Google
• Dispositivi con un'immagine di sistema creata direttamente dai file sorgente del Programma Open Source Android
• Dispositivi con un'immagine di sistema in anteprima beta/per sviluppatori

Per i dettagli tecnici, consulta la documentazione di Google sull'API Play Integrity di Google .

Impostazione del verdetto sull'integrità del gioco e impostazione "dispositivi jailbroken/rooted"

Il verdetto sull'integrità del gioco richiede che l'utente sia online, almeno durante il periodo in cui viene eseguito il "roundtrip" per determinare i risultati dell'attestazione. Se l'utente è offline, l'amministratore IT può comunque aspettarsi che venga applicato un risultato dall'impostazione dei dispositivi jailbroken/rooted . Tuttavia, se l'utente rimane offline troppo a lungo, entra in gioco il valore del periodo di tolleranza offline e l'accesso ai dati aziendali o dell'istituto di istruzione viene bloccato una volta raggiunto il valore del timer, fino a quando non è disponibile l'accesso alla rete. L'attivazione di entrambe le impostazioni consente un approccio a più livelli per mantenere integri i dispositivi degli utenti, che è importante quando gli utenti accedono ai dati aziendali o dell'istituto di istruzione su dispositivi mobili.

API di Google Play Protect e Google Play Services

Le impostazioni dei criteri di protezione delle app che usano le API di Google Play Protect richiedono il funzionamento di Google Play Services. Sia il verdetto sull'integrità del gioco sia le impostazioni della scansione delle minacce sulle app richiedono che la versione determinata da Google di Google Play Services funzioni correttamente. Poiché queste impostazioni rientrano nell'area della sicurezza, l'utente viene bloccato se è interessato da queste impostazioni e non soddisfa la versione appropriata di Google Play Services o non ha accesso a Google Play Services.

Esperienza di protezione delle app per i dispositivi Windows

Esistono due categorie di impostazioni dei criteri: protezione dei dati e controlli dello stato. Il termine app gestita dai criteri si riferisce alle app configurate con criteri di protezione delle app.

Protezione dei dati

Le impostazioni di protezione dei dati influiscono sui dati e sul contesto dell'organizzazione. L'amministratore può controllare lo spostamento dei dati in entrata e in uscita dal contesto di protezione dell'organizzazione. Il contesto dell'organizzazione è definito da documenti, servizi e siti a cui accede l'account dell'organizzazione specificato. Le impostazioni dei criteri seguenti consentono di controllare i dati esterni ricevuti nel contesto dell'organizzazione e i dati dell'organizzazione inviati al di fuori di tale contesto.

Controlli dello stato

I controlli di integrità consentono di configurare le funzionalità di avvio condizionale. A questo scopo, è necessario impostare le condizioni del controllo dello stato per i criteri di protezione dell'app. Selezionare un'impostazione e immettere il valore che gli utenti devono soddisfare per accedere ai dati dell'organizzazione. Selezionare quindi l'azione che si vuole intraprendere se gli utenti non soddisfano le condizioni. In alcuni casi, è possibile configurare più azioni per un'unica impostazione.

Passaggi successivi

Come creare e distribuire criteri di protezione delle app con Microsoft Intune

Impostazioni dei criteri di protezione delle app Android disponibili con Microsoft Intune

Impostazioni dei criteri di protezione delle app iOS/iPadOS disponibili con Microsoft Intune