Instellingen voor app-beveiligingsbeleid voor Windows

In dit artikel worden instellingen voor app-beveiligingsbeleid (APP) voor Windows beschreven. De beleidsinstellingen die worden beschreven, kunnen worden geconfigureerd voor een app-beveiligingsbeleid in het deelvenster Instellingen in het Intune-beheercentrum wanneer u nieuw beleid maakt.

U kunt beveiligde MAM-toegang tot organisatiegegevens inschakelen via Microsoft Edge op persoonlijke Windows-apparaten. Deze mogelijkheid staat bekend als Windows MAM en biedt functionaliteit met behulp van Intune Application Configuration Policies (ACP), Intune app-beveiligingsbeleid, Windows-beveiliging Center Client Threat Defense en Application Protection Conditional Access. Zie Gegevensbescherming voor Windows MAM, Een beveiligingsbeleid voor MTD-apps maken voor Windows en Microsoft Edge voor Windows configureren met Intune voor meer informatie over Windows MAM.

Er zijn twee categorieën instellingen voor app-beveiligingsbeleid voor Windows:

Belangrijk

Intune MAM in Windows ondersteunt niet-beheerde apparaten. Als een apparaat al wordt beheerd, is de inschrijving bij Intune MAM geblokkeerd en worden er geen instellingen voor app-beveiligingsbeleid toegepast. Als een apparaat na MAM-inschrijving wordt beheerd, worden de instellingen voor app-beveiligingsbeleid niet meer toegepast.

Het apparaat mag niet Microsoft Entra ID lid zijn geworden of een Apparaatbeheer (MDM) zijn ingeschreven bij een tenant, inclusief de tenant van uw MAM-gebruiker. Het apparaat mag ook niet zijn gekoppeld aan meer dan twee gebruikers naast de MAM-gebruiker (limiet is drie in totaal).

Gegevensbescherming

De instellingen voor gegevensbescherming zijn van invloed op de organisatiegegevens en de context. Als beheerder kunt u de verplaatsing van gegevens naar en uit de context van de organisatiebeveiliging beheren. De organisatiecontext wordt bepaald door documenten, services en sites die worden geopend door het opgegeven organisatieaccount. Met de volgende beleidsinstellingen kunnen externe gegevens die in de organisatiecontext worden ontvangen en organisatiegegevens die uit de organisatiecontext worden verzonden, beheren.

Gegevensoverdracht

Instelling Procedure Standaardwaarde
Gegevens ontvangen van Selecteer een van de volgende opties om de bronnen op te geven waaruit gebruikers gegevens kunnen ontvangen:
  • Alle bronnen: organisatiegebruikers kunnen gegevens vanuit elk account, document, locatie of applicatie openen in de organisatiecontext.
  • Geen bronnen: organisatiegebruikers kunnen geen gegevens uit externe accounts, documenten, locaties of toepassingen openen in de organisatiecontext. OPMERKING: voor Microsoft Edge bepaalt Geen bronnen het uploadgedrag van bestanden, hetzij via slepen en neerzetten of het dialoogvenster voor het openen van bestanden. Het weergeven en delen van bestanden tussen sites/tabbladen wordt geblokkeerd.


 Alle bronnen
Organisatiegegevens verzenden naar Selecteer een van de volgende opties om de bestemmingen op te geven waarnaar organisaties gegevens kunnen verzenden:
  • Alle bestemmingen: organisatiegebruikers kunnen organisatiegegevens verzenden naar elk account, document, locatie of toepassing.
  • Geen bestemmingen: organisatiegebruikers kunnen geen organisatiegegevens verzenden naar externe accounts, documenten, locaties of toepassingen vanuit de organisatiecontext. OPMERKING: voor Microsoft Edge blokkeert geen bestemmingen het downloaden van bestanden. Dit betekent dat het delen van bestanden tussen sites/tabbladen wordt geblokkeerd.


 Alle bestemmingen
Knippen, kopiëren en plakken toestaan voor Selecteer een van de volgende opties om de bronnen en bestemmingen op te geven die org-gebruikers organisatiegegevens kunnen knippen, kopiëren of plakken:
  • Elke bestemming en elke bron: organisatiegebruikers kunnen gegevens plakken en knippen/kopiëren naar elk account, document, locatie of toepassing.
  • Geen bestemming of bron: organisatiegebruikers kunnen geen gegevens knippen, kopiëren of plakken van of naar externe accounts, documenten, locaties of toepassingen vanuit of naar de organisatiecontext. OPMERKING: Voor Microsoft Edge blokkeert geen doel- of bronblokkering knip-, kopieer- en plakgedrag alleen binnen de webinhoud. Knippen, kopiëren en plakken zijn uitgeschakeld voor alle webinhoud, maar niet voor toepassingsbesturingselementen, inclusief de adresbalk.
  • Bestemmingen van organisatiegegevens en eventuele bronnen: gebruikers van de organisatie kunnen gegevens plakken vanuit elk account, document, locatie of toepassing en gegevens knippen/kopiëren naar andere organisatiedocumenten, locaties of toepassingen.
  • Organisatiegegevensbestemmingen en -bronnen: Organisatiegebruikers kunnen organisatiegegevens binnen de organisatiecontext knippen of kopiëren naar andere organisatiedocumenten, -locaties of -toepassingen. Organisatiegebruikers kunnen gegevens binnen de organisatiecontext plakken in andere organisatiedocumenten, -locaties of -toepassingen.


 Elke bestemming en elke bron

Functionaliteit

Instelling Procedure Standaardwaarde
Organisatiegegevens afdrukken Selecteer Blokkeren om het afdrukken van organisatiegegevens te voorkomen. Selecteer Toestaan om het afdrukken van organisatiegegevens toe te staan. Persoonlijke of onbeheerde gegevens worden niet beïnvloed. Toestaan

Statuscontroles

Stel de voorwaarden voor de statuscontrole in voor uw app-beveiligingsbeleid. Selecteer een instelling en voer de waarde in waaraan gebruikers moeten voldoen om toegang te krijgen tot uw organisatiegegevens. Selecteer vervolgens de actie die u wilt uitvoeren als gebruikers niet aan uw voorwaarden voldoen. In sommige gevallen kunnen meerdere acties worden geconfigureerd voor één instelling.

App-voorwaarden

Configureer de volgende instellingen voor statuscontrole om de configuratie van de toepassing te controleren voordat u toegang verleent tot de accounts en gegevens van de organisatie.

Opmerking

De term door beleid beheerde app verwijst naar apps die zijn geconfigureerd met app-beveiligingsbeleid.

Instelling Procedure Standaardwaarde
Offline respijtperiode Het aantal minuten dat een door beleid beheerde app offline kan worden uitgevoerd. Geef de tijd (in minuten) op voordat de toegangsvereisten voor de app opnieuw worden gecontroleerd.

Acties zijn onder andere:

  • Toegang blokkeren (minuten): het aantal minuten dat door door beleid beheerde apps offline kunnen worden uitgevoerd. Geef de tijd (in minuten) op voordat de toegangsvereisten voor de app opnieuw worden gecontroleerd. Nadat de geconfigureerde periode is verstreken, blokkeert de app de toegang tot werk- of schoolgegevens totdat netwerktoegang beschikbaar is. De timer voor de offline respijtperiode voor het blokkeren van gegevenstoegang wordt berekend op basis van de laatste check-in bij de Intune-service. Deze notatie voor beleidsinstellingen ondersteunt positieve gehele getallen.
  • Gegevens wissen (dagen): na dit aantal dagen (gedefinieerd door de beheerder) offline te zijn uitgevoerd, vereist de app dat de gebruiker verbinding maakt met het netwerk en zich opnieuw verifieert. Als de gebruiker zich heeft geverifieerd, heeft deze toegang tot zijn gegevens en wordt het offline-interval opnieuw ingesteld. Als de gebruiker zich niet kan verifiëren, worden het account en de gegevens van de gebruiker selectief gewist. Voor meer informatie over welke gegevens worden verwijderd met een selectieve wisbeurt, raadpleegt u Alleen bedrijfsgegevens wissen uit apps beheerd door Intune. De timer voor de offline respijtperiode voor het wissen van gegevens wordt berekend door de app op basis van de laatste keer dat u bij de Intune-service bent ingecheckt. Deze notatie voor beleidsinstellingen ondersteunt positieve gehele getallen.
Deze vermelding kan meerdere keren worden weergegeven, waarbij elk exemplaar een andere actie ondersteunt.

 Toegang blokkeren (minuten): 720 minuten (12 uur)

Gegevens wissen (dagen): 90 dagen
Minimale app-versie Geef een waarde op voor de minimale versiewaarde van de toepassing.

Acties zijn onder andere:

  • Waarschuwen - De gebruiker ziet een melding als de app-versie op het apparaat niet aan de vereiste voldoet. Deze melding kan worden gesloten.
  • Toegang blokkeren - De gebruiker wordt geblokkeerd voor toegang als de app-versie op het apparaat niet aan de vereiste voldoet.
  • Gegevens wissen : het gebruikersaccount dat is gekoppeld aan de toepassing, wordt van het apparaat gewist.
Omdat apps vaak verschillende versiebeheerschema's hebben, moet u beleid maken met één minimale app-versie die op één app is gericht.

Deze vermelding kan meerdere keren worden weergegeven, waarbij elk exemplaar een andere actie ondersteunt.

Deze beleidsinstelling ondersteunt overeenkomende versie-indelingen voor Windows-app-bundels (major.minor of major.minor.patch).		 Geen standaardwaarde
Min SDK-versie Geef een minimumwaarde op voor de SDK-versie van Intune.

Acties zijn onder andere:

  • Toegang blokkeren - De gebruiker wordt geblokkeerd voor toegang als de SDK-versie van het app-beveiligingsbeleid voor Intune apps niet aan de vereiste voldoet.
  • Gegevens wissen : het gebruikersaccount dat is gekoppeld aan de toepassing, wordt van het apparaat gewist.
Deze vermelding kan meerdere keren worden weergegeven, waarbij elk exemplaar een andere actie ondersteunt.		 Geen standaardwaarde
Account uitgeschakeld Een automatische actie opgeven als het Microsoft Entra-account voor de gebruiker is uitgeschakeld. Beheer kan slechts één actie opgeven. Er is geen waarde die u voor deze instelling hoeft in te stellen. Acties zijn onder andere:
  • Toegang blokkeren: wanneer we bevestigen dat de gebruiker is uitgeschakeld in Microsoft Entra ID, blokkeert de app de toegang tot werk- of schoolgegevens.
  • Gegevens wissen: wanneer we bevestigen dat de gebruiker is uitgeschakeld in Microsoft Entra ID, wordt het account en de gegevens van de gebruiker selectief gewist.
OPMERKING: Als de gebruikersstatus niet kan worden bevestigd vanwege connectiviteit, verificatie of een andere reden, worden deze acties (Toegang blokkeren en Gegevens wissen) niet afgedwongen.		 Geen standaardwaarde

Apparaatomstandigheden

Configureer de volgende instellingen voor de statuscontrole om de apparaatconfiguratie te controleren voordat u toegang tot de organisatieaccounts en -gegevens verleent. Vergelijkbare apparaatinstellingen kunnen worden geconfigureerd voor geregistreerde apparaten. Meer informatie over het configureren van instellingen voor apparaatcompatibiliteit voor geregistreerde apparaten.

Instelling Procedure Standaardwaarde
Minimale versie van besturingssysteem Geef een minimaal Windows-besturingssysteem op voor het gebruik van deze app.

Acties zijn onder andere:

  • Waarschuwen - De gebruiker ziet een melding als de Windows-versie op het apparaat niet aan de vereiste voldoet. Deze melding kan worden gesloten.
  • Toegang blokkeren - De gebruiker wordt geblokkeerd voor toegang als de Windows-versie op het apparaat niet aan deze vereiste voldoet.
  • Gegevens wissen : het gebruikersaccount dat is gekoppeld aan de toepassing, wordt van het apparaat gewist.
Deze vermelding kan meerdere keren worden weergegeven, waarbij elk exemplaar een andere actie ondersteunt.

Deze beleidsinstellingsindeling ondersteunt hoofd.minor, majeur.minor.build, major.minor.build.revision.

Open een opdrachtprompt om de Windows-versie te vinden. De versie wordt boven in het opdrachtpromptvenster weergegeven. Een voorbeeld van de versie-indeling die moet worden gebruikt is 10.0.22631.3155. Als u de winver opdracht gebruikt, ziet u alleen de OS-build (zoals 22631.3155), wat niet de juiste indeling is.
Maximale versie van het besturingssysteem Geef een maximum Windows-besturingssysteem op voor het gebruik van deze app.

Acties zijn onder andere:

  • Waarschuwen - De gebruiker ziet een melding als de Windows-versie op het apparaat niet aan de vereiste voldoet. Deze melding kan worden gesloten.
  • Toegang blokkeren - De gebruiker wordt geblokkeerd voor toegang als de Windows-versie op het apparaat niet aan deze vereiste voldoet.
  • Gegevens wissen : het gebruikersaccount dat is gekoppeld aan de toepassing, wordt van het apparaat gewist.

Deze vermelding kan meerdere keren worden weergegeven, waarbij elk exemplaar een andere actie ondersteunt.

Deze beleidsinstellingsindeling ondersteunt hoofd.minor, majeur.minor.build, major.minor.build.revision.
Max toegestaan apparaatdreigingsniveau App-beveiliging beleidsregels kunnen gebruikmaken van de Intune-MTD-connector. Geef een maximaal bedreigingsniveau op dat acceptabel is voor het gebruik van deze app. Bedreigingen worden bepaald door de door u gekozen Mobile Threat Defense (MTD)-leverancier-app op het apparaat van de eindgebruiker. Geef Beveiligd, Laag, Gemiddeld of Hoog op. Beveiligd vereist geen bedreigingen op het apparaat en is de meest beperkende configureerbare waarde, terwijl voor Hoog in feite een actieve Intune-naar-MTD-verbinding is vereist.

Acties zijn onder andere:

  • Toegang blokkeren - De gebruiker wordt geblokkeerd voor toegang als het dreigingsniveau dat wordt bepaald door de door u gekozen Mobile Threat Defense (MTD)-leverancier-app op het apparaat van de eindgebruiker, niet aan deze vereiste voldoet.
  • Gegevens wissen : het gebruikersaccount dat is gekoppeld aan de toepassing, wordt van het apparaat gewist.

Zie voor meer informatie over het gebruik van deze instelling MTD inschakelen voor niet-ingeschreven apparaten.

Aanvullende informatie

Zie de volgende bronnen voor meer informatie over APP voor Windows-apparaten:

  • Last updated on