App Configuration Policies voor Microsoft Intune

Met app-configuratiebeleid kunt u problemen met de installatie van apps elimineren door configuratie-instellingen toe te wijzen aan een beleid dat is toegewezen aan eindgebruikers voordat ze de app uitvoeren. De instellingen worden vervolgens automatisch verstrekt wanneer de app wordt geconfigureerd op het apparaat van de eindgebruiker en eindgebruikers hoeven geen actie te ondernemen. De configuratie-instellingen zijn uniek voor elke app.

U kunt app-configuratiebeleid maken en gebruiken om configuratie-instellingen op te geven voor zowel iOS-/iPadOS- als Android-apps. Met deze configuratie-instellingen kan een app worden aangepast met behulp van app-configuratie en -beheer. De instellingen voor configuratiebeleid worden gebruikt wanneer de app op deze instellingen controleert, meestal de eerste keer dat de app wordt uitgevoerd.

Voor een app-configuratie-instelling kan het bijvoorbeeld nodig zijn om een van de volgende gegevens op te geven:

• Een aangepast poortnummer
• Taalinstellingen
• Beveiligingsinstellingen
• Huisstijlinstellingen, zoals een bedrijfslogo

Als eindgebruikers in plaats daarvan deze instellingen zouden invoeren, zouden ze dit op de verkeerde manier kunnen doen. Beleidsregels voor app-configuratie kunnen bijdragen aan consistentie binnen een onderneming en het aantal helpdeskoproepen verminderen van eindgebruikers die zelf instellingen proberen te configureren. Door gebruik te maken van app-configuratiebeleidsregels kan de ingebruikname van nieuwe apps eenvoudiger en sneller verlopen.

De beschikbare configuratieparameters en de implementatie van de configuratieparameters worden bepaald door de ontwikkelaars van de applicatie. Raadpleeg de documentatie van de leverancier van de toepassing om te bekijken welke configuraties beschikbaar zijn en hoe deze van invloed zijn op het gedrag van de toepassing. Voor sommige toepassingen vult Intune de beschikbare configuratie-instellingen.

U kunt een app-configuratiebeleid toewijzen aan een groep eindgebruikers en apparaten met behulp van een combinatie van opdrachten opnemen en uitsluiten. Als onderdeel van het proces om een app-configuratiebeleid toe te voegen of bij te werken, kunt u de toewijzingen voor het app-configuratiebeleid instellen. Wanneer u de toewijzingen voor het beleid instelt, kunt u ervoor kiezen om de groepen eindgebruikers waarop het beleid van toepassing is, op te nemen of uit te sluiten. Wanneer je ervoor kiest om een of meer groepen op te nemen, kun je ervoor kiezen om specifieke groepen op te nemen of ingebouwde groepen te selecteren. Ingebouwde groepen omvatten alle gebruikers, alle apparaten en alle gebruikers + Alle apparaten.

U kunt ook filters gebruiken om het bereik van toewijzingen te verfijnen bij het implementeren van app-configuratiebeleid voor beheerde iOS- en Android-apparaten. U moet eerst een filter maken met een van de beschikbare eigenschappen voor iOS en Android. Vervolgens kunt u in het Microsoft Intune-beheercentrum uw beleid voor beheerde app-configuratie toewijzen door Configuratie van apps> te selecteren:Beheerde>apparatenmaken> en naar de toewijzingspagina gaan. Nadat u een groep hebt geselecteerd, kunt u de toepasbaarheid van het beleid verfijnen door een filter te kiezen en te besluiten dit te gebruiken in de modus Opnemen of Uitsluiten .

De werkbelasting voor app-configuratiebeleid biedt een lijst met app-configuratiebeleidsregels die voor uw tenant zijn gemaakt. Deze lijst bevat details, zoals naam, platform, bijgewerkt, inschrijvingstype en bereiktags. Selecteer het beleid voor meer informatie over een specifiek app-configuratiebeleid. In het deelvenster Overzicht van beleid kunt u specifieke details zien, zoals de beleidsstatus op basis van apparaat en gebruiker, en of het beleid is toegewezen.

Apps die ondersteuning bieden voor app-configuratie

App-configuratie kan worden geleverd via het MDM-besturingssysteemkanaal (Mobile Device Management) op ingeschreven apparaten (het kanaal Managed App Configuration voor iOS of Android in het Enterprise-kanaal voor Android) of via het MAM-kanaal (Mobile Application Management).

Intune vertegenwoordigt deze verschillende kanalen voor app-configuratiebeleid als:

• Beheerde apparaten: het apparaat wordt beheerd door Intune als de geïntegreerde eindpuntbeheerprovider. De app moet zijn vastgemaakt aan het beheerprofiel op iOS/iPadOS, worden geïmplementeerd via beheerde Google Play of als een direct geïmplementeerde line-of-business-app op Android-apparaten. Daarnaast ondersteunt de app de gewenste app-configuratie.
• Beheerde apps: een app waarin de Intune App SDK is geïntegreerd of die is ingepakt met het hulpprogramma Intune Wrapping en die app-beveiligingsbeleid ondersteunt. In deze configuratie is de registratiestatus van het apparaat of de manier waarop de app aan het apparaat wordt geleverd niet van belang. De app ondersteunt de gewenste app-configuratie.

Apps kunnen instellingen voor app-configuratiebeleid anders verwerken met betrekking tot gebruikersvoorkeuren. In Outlook voor iOS en Android houdt de configuratie van de app Postvak IN met prioriteit bijvoorbeeld rekening met de gebruikersinstelling, zodat de gebruiker de beheerdersintentie kan negeren. Met andere instellingen kunt u bepalen of een gebruiker de instelling al dan niet kan wijzigen op basis van de bedoelingen van de beheerder.

Beheerde apparaten

Het selecteren van beheerde apparaten als het type apparaatinschrijving verwijst specifiek naar apps die door Intune zijn geïmplementeerd op het geregistreerde apparaat en dus worden beheerd door Intune als registratieprovider.

Ter ondersteuning van app-configuratie voor apps die via Intune zijn geïmplementeerd op geregistreerde apparaten, moeten apps zo worden geschreven dat ze ondersteuning bieden voor het gebruik van app-configuraties zoals gedefinieerd door het besturingssysteem. Neem contact op met de leverancier van uw app voor meer informatie over welke app-configuratiesleutels worden ondersteund voor levering via het MDM-besturingssysteemkanaal. Er zijn in het algemeen vier scenario's voor de levering van app-configuratie bij het gebruik van het MDM-besturingssysteemkanaal:

• Alleen werk- of schoolaccounts toestaan
• Configuratie-instellingen voor accountconfiguratie
• Algemene app-configuratie-instellingen
• Configuratie-instellingen voor S/MIME

Beheerde apps

Het selecteren van Beheerde apps als het type apparaatinschrijving verwijst specifiek naar apps die zijn geconfigureerd met een Intune app-beveiligingsbeleid op apparaten, ongeacht de inschrijvingsstatus.

De app moet zijn geïntegreerd met Intune App SDK om app-configuratie via het MAM-kanaal te ondersteunen. Met Line-Of-Business-apps kan de Intune App SDK worden geïntegreerd of kan het Intune App Wrapping Tool worden gebruikt. Zie Line-Of-Business-apps voorbereiden voor app-beveiligingsbeleid voor een vergelijking tussen de Intune App SDK en de Intune App Wrapping Tool.

Voor de levering van app-configuratie via het MAM-kanaal hoeft het apparaat niet te worden geregistreerd of om de app te beheren of af te leveren via de geïntegreerde oplossing voor eindpuntbeheer. Er zijn drie scenario's voor de levering van app-configuratie met behulp van het MAM-kanaal:

• Algemene app-configuratie-instellingen
• Configuratie-instellingen voor S/MIME
• Geavanceerd app-beveiligingsbeleid instellingen voor gegevensbescherming die de mogelijkheden van app-beveiligingsbeleid uitbreiden

Voor informatie over welke apps app-configuratie via het MAM-kanaal ondersteunen, raadpleegt u Met Microsoft Intune beveiligde apps.

Configuratiebeleid voor Android-apps voor bedrijven

Voor Android Enterprise-app-configuratiebeleid kunt u het type apparaatregistratie selecteren voordat u een app-configuratieprofiel maakt. U kunt certificaatprofielen verantwoorden op basis van het inschrijvingstype.

Het inschrijvingstype kan een van de volgende zijn:

• Alle profieltypen: Als er een nieuw profiel is gemaakt en Alle profieltypen is geselecteerd voor het type apparaatinschrijving, kunt u geen certificaatprofiel koppelen aan het app-configuratiebeleid. Deze optie ondersteunt verificatie van gebruikersnamen en wachtwoorden. Gebruik deze optie niet als u verificatie op basis van certificaten gebruikt.
• Volledig beheerd, Dedicated en Corporate-Owned Alleen werkprofiel: Als er een nieuw profiel wordt gemaakt en Volledig beheerd, Dedicated en Corporate-Owned Alleen werkprofiel is geselecteerd, kunnen de certificaatbeleidsregels Volledig beheerd, Speciaal en Corporate-Owned Werkprofiel worden gebruikt die zijn gemaakt onderApparaten>>Configuratie beheren. Deze optie ondersteunt verificatie op basis van certificaten en verificatie met gebruikersnaam en wachtwoord. Volledig beheerd heeft betrekking op volledig beheerde apparaten (COBO) voor Android Enterprise. Dedicated heeft betrekking op Android Enterprise Dedicated devices (COSU). Werkprofiel in eigendom van bedrijf heeft betrekking op het werkprofiel van Android Enterprise (COPE).
• Alleen werkprofiel in persoonlijk eigendom: Als er een nieuw profiel is gemaakt en Alleen persoonlijk werkprofiel is geselecteerd, kunnen certificaatbeleidsregels voor werkprofiel worden gemaakt onder Apparaten>Apparaten> beherenConfiguratie. Deze optie ondersteunt verificatie op basis van certificaten en verificatie met gebruikersnaam en wachtwoord.

Het toegepaste app-configuratiebeleid valideren

U kunt het app-configuratiebeleid op de volgende drie manieren valideren:

1. Controleer het app-configuratiebeleid zichtbaar op het apparaat. Controleer of de getargete app het gedrag vertoont dat wordt toegepast in het app-configuratiebeleid.

2. Controleer dit via diagnostische logboeken (zie het gedeelte Diagnostische logboeken hieronder).

3. Controleer dit in het Microsoft Intune-beheercentrum. Selecteer in het Microsoft Intune-beheercentrum de optie Apps>Alle apps>selecteer de bijbehorende app*. Selecteer vervolgens onder de sectie Beeldscherm de optie Installatiestatus apparaat: Statusrapport voor apparaatinstallatie controleert de meest recente check-in's voor alle apparaten waarop het configuratiebeleid is gericht.

   Selecteer bovendien in het Microsoft Intune-beheercentrumde optie Alle>apparaten>Selecteer een app-configuratie voor apparaten>. In het configuratievenster voor apps worden alle toegewezen beleidsregels en hun status weergegeven:

   

Diagnostische logboeken

iOS-/iPadOS-configuratie op onbeheerde apparaten

U kunt iOS-/iPadOS-configuratie valideren met het diagnostische logboek van Intune voor instellingen die zijn geïmplementeerd via het beheerde app-configuratiebeleid. Naast de onderstaande stappen kunt u beheerde app-logboeken openen met behulp van Microsoft Edge. Zie Microsoft Edge voor iOS en Android gebruiken voor toegang tot beheerde app-logboeken voor meer informatie.

1. Download en installeer Microsoft Edge vanuit de App Store, als dit nog niet op het apparaat is geïnstalleerd. Zie Microsoft Intune beveiligde apps voor meer informatie.

2. Start Microsoft Edge en voer about:intunehelp in het adresvak in.

3. Klik op Aan de slag.

4. Klik op Logboeken delen.

5. Gebruik de gewenste e-mailapp om het logboek naar uzelf te verzenden, zodat het op uw pc kan worden bekeken.

6. Bekijk IntuneMAMDiagnostics.txt in de bestandsviewer.

7. Zoek naar ApplicationConfiguration. De resultaten zien er als volgt uit:

       {
           (
               {
                   Name = "com.microsoft.intune.mam.managedbrowser.BlockListURLs";
                   Value = "https://www.aol.com";
               },
               {
                   Name = "com.microsoft.intune.mam.managedbrowser.bookmarks";
                   Value = "Outlook Web|https://outlook.office.com||Bing|https://www.bing.com";
               }
           );
       },
       {
           ApplicationConfiguration =
           (
               {
               Name = IntuneMAMUPN;
               Value = "CMARScrubbedM:13c45c42712a47a1739577e5c92b5bc86c3b44fd9a27aeec3f32857f69ddef79cbb988a92f8241af6df8b3ced7d5ce06e2d23c33639ddc2ca8ad8d9947385f8a";
               },
               {
               Name = "com.microsoft.outlook.Mail.BlockExternalImagesEnabled";
               Value = true;
               }
           );
       }
   

De configuratiedetails van uw toepassing moeten overeenkomen met het configuratiebeleid voor de toepassing dat voor de tenant is geconfigureerd.

iOS-/iPadOS-configuratie op beheerde apparaten

U kunt iOS-/iPadOS-configuratie valideren met het diagnostische logboek van Intune op beheerde apparaten voor beheerde app-configuratie.

1. Download en installeer Microsoft Edge vanuit de App Store, als dit nog niet op het apparaat is geïnstalleerd. Zie Microsoft Intune beveiligde apps voor meer informatie.
2. Start Microsoft Edge en voer about:intunehelp in het adresvak in.
3. Klik op Aan de slag.
4. Klik op Logboeken delen.
5. Gebruik de gewenste e-mailapp om het logboek naar uzelf te verzenden, zodat het op uw pc kan worden bekeken.
6. Bekijk IntuneMAMDiagnostics.txt in de bestandsviewer.
7. Zoek naar AppConfig. De resultaten moeten overeenkomen met het configuratiebeleid voor de toepassing dat voor de tenant is geconfigureerd.

Android-configuratie op beheerde apparaten

U kunt de Android-configuratie valideren met het diagnostische logboek van Intune op beheerde apparaten voor de configuratie van beheerde apps.

Als u logboeken van een Android-apparaat wilt verzamelen, moet u of de eindgebruiker de logboeken van het apparaat downloaden via een USB-verbinding (of het equivalent van de Bestandenverkenner op het apparaat). Dit doet u als volgt:

1. Sluit het Android-apparaat met de USB-kabel aan op uw computer.

2. Zoek op de computer naar een map met de naam van uw apparaat. Zoek Android Device\Phone\Android\data\com.microsoft.windowsintune.companyportalin die map .

3. Open in de com.microsoft.windowsintune.companyportal map de map Files en open OMADMLog_0.

4. Zoek op AppConfigHelper om berichten met betrekking tot app-configuratie te vinden. De resultaten zien er ongeveer uit als het volgende gegevensblok:

   2019-06-17T20:09:29.1970000 INFO AppConfigHelper 10888 02256 Returning app config JSON [{"ApplicationConfiguration":[{"Name":"com.microsoft.intune.mam.managedbrowser.BlockListURLs","Value":"https:\/\/www.aol.com"},{"Name":"com.microsoft.intune.mam.managedbrowser.bookmarks","Value":"Outlook Web|https:\/\/outlook.office.com||Bing|https:\/\/www.bing.com"},{"Name":"com.microsoft.intune.mam.managedbrowser.homepage","Value":"https:\/\/www.arstechnica.com"}]},{"ApplicationConfiguration":[{"Name":"IntuneMAMUPN","Value":"AdeleV@M365x935807.OnMicrosoft.com"},{"Name":"com.microsoft.outlook.Mail.NotificationsEnabled","Value":"false"},{"Name":"com.microsoft.outlook.Mail.NotificationsEnabled.UserChangeAllowed","Value":"false"}]}] for user User-875363642

Graph API-ondersteuning voor app-configuratie

U kunt de Graph API gebruiken om app-configuratietaken uit te voeren. Zie voor meer informatie Graph API Reference MAM Targeted Config. Zie Werken met Intune in Microsoft Graph voor meer informatie over Intune en Graph.

Problemen oplossen

Logboeken gebruiken om een configuratieparameter weer te geven

Wanneer in de logboeken een configuratieparameter wordt weergegeven waarvan is bevestigd dat deze wordt toegepast, maar die niet lijkt te werken, is er mogelijk een probleem met de configuratie-implementatie door de app-ontwikkelaar. Als u eerst contact opneemt met die app-ontwikkelaar of de Knowledge Base raadpleegt, kunt u een ondersteuningsgesprek met Microsoft besparen. Als er een probleem is met de manier waarop de configuratie in een app wordt verwerkt, moet dit worden opgelost in een toekomstige bijgewerkte versie van die app.

Volgende stappen

Beheerde apparaten

• Lees hoe u app-configuratie gebruikt met uw iOS-/iPadOS-apparaten. Zie App-configuratiebeleid toevoegen voor beheerde iOS-/iPadOS-apparaten.
• Meer informatie over het gebruik van app-configuratie met uw Android-apparaten. Zie App-configuratiebeleid toevoegen voor beheerde Android-apparaten.

Beheerde apps

• Informatie over het gebruik van app-configuratie met beheerde apps. Zie App-configuratiebeleid toevoegen voor beheerde apps zonder apparaatregistratie.