Autenticação intermediada e acesso condicional para o aplicativo móvel Warehouse Management

O aplicativo móvel de Gerenciamento de Armazém dá suporte à autenticação intermediada, um método de entrada em que um agente de identidade no nível do sistema operacional, como Microsoft Authenticator ou Intune Portal da Empresa, realiza a autenticação e o gerenciamento de tokens em nome do aplicativo. Quando você usa a autenticação agenciada, o agente fornece Microsoft Entra ID com identidade do dispositivo, status de conformidade e sinais de segurança durante cada solicitação de autenticação.

A autenticação intermediada não é um método separado. É uma opção de autenticação por nome de usuário/senha que faz duas coisas: permite o login único (SSO) e torna o app compatível com as políticas do Acesso condicional do Microsoft Entra que dependem dos sinais do dispositivo. Este artigo aborda ambos. Use-o como a única referência para configurar a autenticação intermediária, independentemente de você usar ou não o Acesso Condicional.

A autenticação agenciada torna o aplicativo compatível com políticas Acesso condicional do Microsoft Entra. O Acesso Condicional é um mecanismo de política opcional e opt-in no Microsoft Entra ID que os administradores de TI da sua organização podem configurar para controlar o acesso com base em condições como identidade do usuário, conformidade do dispositivo, localização e nível de risco. Por exemplo, você pode usar o Acesso Condicional para exigir MFA (autenticação multifator) ou bloquear o acesso de dispositivos não gerenciados. O Acesso Condicional não é necessário para executar o aplicativo móvel de Gerenciamento de Warehouse— habilite-o somente se sua organização optar por impor essas políticas.

Este artigo explica como habilitar a autenticação agenciada no aplicativo móvel de Gerenciamento de Armazéns para que sua organização possa impor políticas de Acesso Condicional.

Como funciona a autenticação agenciada

Quando você usa a autenticação agenciada, o seguinte fluxo ocorre durante a entrada:

1. O aplicativo móvel de Gerenciamento de Armazéns delega a autenticação ao aplicativo do agente (Microsoft Authenticator ou intune Portal da Empresa) instalado no dispositivo.
2. O agente valida a identidade do aplicativo e recupera o PRT (token de atualização principal) do dispositivo, que é um token associado ao dispositivo que carrega declarações de identidade e conformidade do dispositivo.
3. O agente envia a solicitação de autenticação para Microsoft Entra ID, incluindo os sinais do dispositivo.
4. Microsoft Entra ID avalia todas as políticas de Acesso Condicional que se aplicam ao usuário, dispositivo ou aplicativo e concede ou nega acesso.
5. Se o acesso for concedido, o agente retornará o token de autenticação para o aplicativo móvel de Gerenciamento de Warehouse.

Esse processo permite recursos como SSO (logon único) em aplicativos, imposição de MFA e proteção de token associada ao dispositivo, tudo sem exigir que o aplicativo móvel de Gerenciamento de Armazéns gerencie essas preocupações de segurança diretamente.

Requisitos do dispositivo

Para usar a autenticação agenciada, seu dispositivo deve atender aos seguintes requisitos:

• Você deve estar executando o aplicativo móvel do Warehouse Management versão 4.0.28 ou posterior.
• Seu dispositivo deve estar executando uma versão suportada de Windows, Android ou iOS.
• O dispositivo deve ser registrado com o Microsoft Entra ID (via Workplace Join ou registro Microsoft Entra). Esse requisito vem da autenticação intermediária, não do próprio app. Sem autenticação intermediária, o app faz login em dispositivos em qualquer estado de registro. Saiba mais sobre Requisitos de registro de dispositivos.
• Um aplicativo de agente deve ser instalado no dispositivo (consulte a tabela a seguir).

Configurar Microsoft Authenticator (Android e iOS)

Siga estas etapas para configurar Microsoft Authenticator. O procedimento é o mesmo para Android e iOS.

1. Instale Microsoft Authenticator na loja de aplicativos do dispositivo (Google Play para Android, App Store para iOS).
2. Abra o aplicativo e selecione o botão Menu .
3. Selecione Configurações.
4. Selecione o registro do dispositivo.
5. Insira seu email ou conta organizacional.
6. Selecione Registrar dispositivo.

Registro do aplicativo

A autenticação agenciada funciona com o aplicativo Microsoft Entra ID global. Você não precisa de um registro manual de aplicativo. Recomendamos o aplicativo global porque é mais simples configurar e manter.

O aplicativo global é fornecido como um FPA (aplicativo de primeira parte) Microsoft e está disponível na nuvem comercial Azure. Se o seu ambiente for implantado em uma nuvem do governo dos EUA, como a Nuvem da Comunidade do Governo dos EUA (GCC) ou a GCC High, o aplicativo global não estará disponível e você deverá usar um registro manual de aplicativo.

Se você já usa um registro manual de aplicativo por outros motivos (como requisitos de ambiente locais ou uma implantação de nuvem governamental), ele também funciona com autenticação agenciada. Saiba mais em Criar manualmente um registro de aplicativo em Microsoft Entra ID.

Configurar dispositivos para usar a autenticação agenciada

Quando você usa o aplicativo global, a autenticação agenciada é habilitada por padrão em todas as plataformas. Você pode configurar dispositivos manualmente por meio da interface do usuário do aplicativo ou automaticamente distribuindo um arquivo JSON por meio de código QR ou MDM.

Se você não quiser usar a autenticação agenciada, defina a opção de autenticação Agenciada como Não na página Editar conexão (ou defina "UseBroker": false na configuração JSON). Se o dispositivo não tiver Microsoft Authenticator instalado, o aplicativo retornará a uma conexão de nome de usuário e senha padrão.

Configurar a conexão manualmente

Para configurar manualmente uma conexão, siga estas etapas em cada dispositivo:

1. Abra o aplicativo móvel de Gerenciamento do Warehouse e abra a página Editar conexão executando uma das seguintes etapas:

   • Se o dispositivo ainda não tiver nenhuma conexão definida, selecione Conectar para criar uma nova.
   • Para editar uma conexão existente, selecione Tocar para alterar, escolha a conexão de destino e, em seguida, selecione Editar configurações de conexão.
   • Para adicionar uma nova conexão, selecione Configurar conexão e selecione Entrada manualmente.

2. Faça as seguintes configurações na página Editar conexão :

   • Método de autenticação – Definir como Nome de usuário e senha.
   • Cloud – definido como Azure Global (recomendado). Se você usar um registro de aplicativo personalizado, defina este campo como Manual e forneça o valor do ID do cliente do Microsoft Entra ID.

   Defina todas as outras configurações conforme descrito em Configurar manualmente o aplicativo.

3. Clique em Salvar.

4. Entre com as credenciais do Microsoft Entra do trabalhador.

Configurar a conexão usando um código QR ou um sistema MDM

Para se preparar para configurações de conexão automática distribuídas usando um código QR ou um sistema MDM, crie um arquivo JSON que contenha os detalhes da conexão. Saiba mais em Configurar o aplicativo importando as configurações de conexão.

Para todas as plataformas, a conexão deve usar a autenticação de nome de usuário/senha, que você especifica da seguinte maneira no arquivo JSON:

• "ConnectionType": "UsernamePassword"

Quando você usa a aplicação global ("AuthCloud": "AzureGlobal"), a autenticação intermediada é ativada por padrão, então você não precisa definir "UseBroker" explicitamente.

O exemplo a seguir mostra uma configuração JSON que usa o aplicativo global com autenticação agenciada habilitada:

{
    "ConnectionList": [
        {
            "ConnectionName": "Connection1",
            "ActiveDirectoryResource": "https://yourenvironment.cloudax.dynamics.com",
            "Company": "USMF",
            "ConnectionType": "UsernamePassword",
            "AuthCloud": "AzureGlobal"
        }
    ]
}

Saiba mais sobre como distribuir o arquivo JSON para seus dispositivos em Ler as configurações de conexão de um código QR e Implantar o aplicativo móvel em massa com autenticação baseada em usuário.

Configuração da política de acesso condicional

Após ativar a autenticação intermediária em seus dispositivos, os administradores de TI da sua organização decidem quais políticas de Acesso Condicional aplicar e as configuram no centro de administração do Microsoft Entra. Os exemplos a seguir mostram os tipos de políticas que as organizações costumam aplicar. São apenas exemplos, não recomendações, e a escolha depende das exigências de segurança da sua organização:

• Exigir MFA – Exigir autenticação multifator para todos os usuários ou grupos específicos.
• Exigir dispositivo em conformidade – bloquear o acesso de dispositivos que não atendem aos requisitos de conformidade da sua organização.
• Acesso baseado em localização – restringir o acesso a locais de rede ou intervalos de IP específicos.
• Acesso baseado em risco – bloquear ou desafiar logins que a Microsoft Entra ID detecta como arriscados.

O aplicativo móvel Warehouse Management não precisa de nenhuma configuração extra para funcionar com essas políticas, e não possui configurações que as substituam. Quando você usa a autenticação agenciada, o agente passa o dispositivo e os sinais de usuário necessários para Microsoft Entra ID, que avalia as políticas e concede ou nega o acesso adequadamente. Se um login for bloqueado, a avaliação da política ocorreu no Microsoft Entra ID, então seus administradores de TI devem revisar a política e os logs de login ali.

Para saber mais, confira a Documentação sobre Acesso Condicional do Microsoft Entra.

Informações relacionadas

• Microsoft Entra Visão Geral do Acesso Condicional
• Instalar e configurar o aplicativo móvel de Gerenciamento de Warehouse
• Autenticação baseada no usuário para o aplicativo Warehouse
• Implantação em massa do aplicativo móvel com autenticação baseada no usuário
• Perguntas frequentes sobre a autenticação baseada em usuário