Preparar aplicativos iOS para políticas de proteção de aplicativo com o Intune App Wrapping Tool

Use o Microsoft Intune App Wrapping Tool para iOS para habilitar Intune políticas de proteção de aplicativo para aplicativos iOS internos sem alterar o código do próprio aplicativo.

A ferramenta é um aplicativo de linha de comando do macOS que cria um wrapper em torno de um aplicativo. Depois que um aplicativo é processado, você pode alterar a funcionalidade do aplicativo implantando políticas de proteção de aplicativo nele.

Para baixar a ferramenta, confira Microsoft Intune App Wrapping Tool para iOS no GitHub.

Pré-requisitos gerais para o App Wrapping Tool

Antes de executar a App Wrapping Tool, você precisa atender a alguns pré-requisitos gerais:

• Baixe o Microsoft Intune App Wrapping Tool para iOS do GitHub.

• Um computador macOS que tenha o conjunto de ferramentas Xcode versão 16.0 ou posterior instalado.

• Sua empresa ou um ISV (fornecedor independente de software) deve desenvolver e assinar o aplicativo iOS de entrada.

  • O arquivo deve ter a extensão .ipa ou .app.

  • Ele deve ser compilado para iOS 16.0 ou posterior.

  • Ela não pode ser criptografada.

  • Nenhum atributo de arquivo estendido.

  • Defina direitos antes de processar o aplicativo com o Intune App Wrapping Tool. Os direitos dão ao aplicativo mais permissões e recursos além das permissões normalmente concedidas. Consulte Configurando direitos de aplicativo para obter instruções.

• Certifique-se de que existam certificados de assinatura válidos no conjunto de chaves do sistema. Se você tiver problemas de assinatura de código do aplicativo, use as seguintes etapas para resolver:
  • Redefinir as configurações de confiança para todos os certificados relacionados
  • Instalar certificados intermediários no conjunto de chaves do sistema e no conjunto de chaves de entrada
  • Desinstalar e reinstalar todos os certificados relacionados

Registrar seu aplicativo com o Microsoft Entra ID

1. Registre seus aplicativos com o Microsoft Entra ID. Para obter mais informações, consulte Registrar um aplicativo na plataforma de identidade da Microsoft.
2. Adicione a URL de redirecionamento personalizada às configurações do aplicativo. Para obter mais informações, consulte Configurando MSAL.
3. Conceda ao seu aplicativo acesso ao serviço Intune MAM. Para obter mais informações, consulte Conceder ao seu aplicativo acesso ao serviço de Gerenciamento de Aplicativos Móveis do Intune.
4. Depois que as alterações acima forem concluídas, execute a versão mais recente da ferramenta de Encapsulamento de Aplicativos do Intune. Configurar seus aplicativos para a Biblioteca de Autenticação da Microsoft (MSAL): adicione a ID do cliente do aplicativo Microsoft Entra aos parâmetros de linha de comando com o Intune App Wrapping Tool. Para obter mais informações, consulte Parâmetros de linha de comando.

5. Implante o aplicativo.

Pré-requisitos do Apple Developer para a App Wrapping Tool

Para distribuir aplicativos encapsulados exclusivamente para os usuários da sua organização, você precisa de uma conta do Apple Developer Enterprise Program e várias entidades para assinatura de aplicativos vinculadas à sua conta de desenvolvedor da Apple.

Para saber mais sobre como distribuir aplicativos iOS internamente para os usuários da sua organização, leia o guia oficial para Distribuição de Aplicativos do Programa Apple Developer Enterprise.

Você precisa do seguinte para distribuir aplicativos encapsulados pelo Intune:

• Uma conta de desenvolvedor do Apple Developer Enterprise Program.

• Certificado de assinatura de distribuição interna e ad-hoc com identificador de equipe válido.

  • Você precisa do hash SHA1 do certificado de assinatura como um parâmetro para o Intune App Wrapping Tool.

• Perfil de provisionamento de distribuição interna.

Criar uma conta Apple Developer Enterprise

1. Acesse o site do Apple Developer Enterprise Program.

2. No canto superior direito da página, selecione Registrar.

3. Leia a lista de verificação do que você precisa para se inscrever. Selecione Iniciar seu Registro na parte inferior da página.

4. Entre com a Conta Apple da sua organização. Se você não tiver uma, selecione Criar Conta Apple.

5. Selecione seu Tipo de Entidade e selecione Continuar.

6. Preencha o formulário com as informações da sua organização. Selecione Continuar. Nesse momento, a Apple entra em contato com você para verificar se você está autorizado a inscrever sua organização.

7. Após a verificação, selecione Concordo com a licença.

8. Depois de concordar com a licença, termine comprando e ativando o programa.

9. Se você for o agente da equipe (a pessoa que se junta ao Apple Developer Enterprise Program da sua organização), convide os membros da equipe e atribua funções para formar sua equipe. Para saber como gerenciar sua equipe, leia a documentação da Apple sobre como gerenciar sua equipe de conta de desenvolvedor.

Criar um certificado de assinatura da Apple

1. Acesse o portal do desenvolvedor da Apple.

2. No canto superior direito da página, selecione Conta.

3. Entre com sua conta organizacional da Apple.

4. Selecione Certificados, IDs & Perfis.

   

5. Selecione o no canto superior direito. Essa ação adiciona um certificado do iOS.

6. Opte por criar um certificado interno e ad hoc em Produção.

   

   Observação

   Se você não planeja distribuir o aplicativo e deseja apenas testá-lo internamente, pode usar um certificado de Desenvolvimento de Aplicativos para iOS em vez de um certificado para Produção. Se você usar um certificado de desenvolvimento, verifique se o perfil de provisionamento móvel inclui os dispositivos em que você planeja instalar o aplicativo.

7. Selecione Avançar na parte inferior da página.

8. Leia as instruções sobre como criar uma CSR (Solicitação de Assinatura de Certificado) usando o aplicativo Acesso às Chaves em seu computador macOS.

   

9. Siga as instruções anteriores para criar uma Solicitação de Assinatura de Certificado. Em seu computador macOS, inicie o aplicativo Acesso às Chaves .

10. No menu macOS na parte superior da tela, vá para Acesso às Chaves Assistente > de Certificado > Solicitar um certificado de uma autoridade de certificação.

    

11. Siga as instruções do site do desenvolvedor da Apple para criar um arquivo de solicitação de assinatura de certificado (CSR). Salve o arquivo CSR no seu computador macOS.

    

12. Retorne ao site do desenvolvedor da Apple. Selecione Continuar. Em seguida, carregue o arquivo CSR.

13. A Apple gera seu certificado de assinatura. Baixe e salve-o em um local memorável no seu computador macOS.

    

14. Clique duas vezes no arquivo de certificado que você baixou para adicionar o certificado a um conjunto de chaves.

15. Abra o Acesso às Chaves novamente. Localize seu certificado pesquisando seu nome na barra de pesquisa no canto superior direito. Clique com o botão direito do mouse no item para abrir o menu e selecione Obter informações. Nas telas de exemplo, estamos usando um certificado de desenvolvimento em vez de um certificado de produção.

    

16. Uma janela informativa é exibida. Role até a parte inferior e procure sob o rótulo Impressões digitais . Copie a cadeia de caracteres SHA1 (desfocada) a ser usada como argumento para "-c" para o App Wrapping Tool.

    

Criar um perfil de Provisionamento de Distribuição In-House

1. Voltar para o portal da conta de desenvolvedor da Apple e entrar com sua conta organizacional da Apple.

2. Selecione Certificados, IDs & Perfis.

3. Selecione o no canto superior direito. Essa ação adiciona um perfil de provisionamento do iOS.

4. Escolha criar um perfil de provisionamento interno em Distribuição.

   

5. Selecione Continuar. Certifique-se de vincular o certificado de assinatura gerado anteriormente ao perfil de provisionamento.

6. Siga as etapas para baixar seu perfil (com extensão .mobileprovision) para o seu computador macOS.

7. Salve o arquivo em um local memorável. Esse arquivo é usado para o parâmetro -p ao usar a App Wrapping Tool.

Baixar o App Wrapping Tool

1. Baixe os arquivos do App Wrapping Tool do GitHub para um computador macOS.

2. Clique duas vezes em Microsoft Intune Application Restrictions Packager para iOS.dmg. Uma janela com o Contrato de Licença de Usuário Final (EULA) é exibida. Leia o documento com atenção.

3. Escolha Concordar para aceitar o EULA, que monta o pacote no seu computador.

Executar a App Wrapping Tool

Usar terminal

Abra o Terminal macOS e execute o seguinte comando:

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> [-aa <authority URI of input app>] [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>] [-dt] [-dl] [-ds]

Exemplo: O comando de exemplo a seguir executa a App Wrapping Tool no aplicativo chamado MyApp.ipa. Um perfil de provisionamento e um hash SHA-1 do certificado de assinatura são especificados e usados para assinar o aplicativo encapsulado. O aplicativo de saída (MyApp_Wrapped.ipa) é criado e armazenado na pasta Área de Trabalho.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -ac "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -ar "msauth.myAppsBundleID://auth" -v

Parâmetros de linha de comando

Você pode usar os seguintes parâmetros de linha de comando com a App Wrapping Tool:

Exemplo: O comando de exemplo a seguir executa a App Wrapping Tool, incorporando os comandos necessários ao encapsular um aplicativo para uso em um único locatário.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v

Usar um plist para inserir argumentos

Uma maneira fácil de executar a App Wrapping Tool é colocar todos os argumentos de comando em um arquivo plist. Plist é um formato de arquivo semelhante ao XML que você pode usar para inserir seus argumentos de linha de comando usando uma interface de formulário.

Na pasta IntuneMAMPackager/Contents/MacOS, abra Parameters.plist (um modelo plist em branco) com um editor de texto ou Xcode. Insira seus argumentos para as seguintes chaves:

Execute o IntuneMAMPackager com o plist como único argumento:

./IntuneMAMPackager –f Parameters.plist

Pós-embrulho

Após a conclusão do processo de encapsulamento, a mensagem "O aplicativo foi encapsulado com êxito" será exibida. Se ocorrer um erro, consulte Mensagens de erro para obter ajuda.

O aplicativo encapsulado é salvo na pasta de saída especificada anteriormente. Você pode carregar o aplicativo no centro de administração do Intune e associá-lo a uma política de gerenciamento de aplicativo móvel.

Agora você pode implantar o aplicativo para seus grupos de usuários e direcionar políticas de proteção de aplicativo para o aplicativo. O aplicativo é executado no dispositivo usando as políticas de proteção de aplicativo especificadas.

Com que frequência devo reencapsular meu aplicativo iOS com o Intune App Wrapping Tool?

Os principais cenários em que você precisaria reencapsular seus aplicativos são os seguintes:

• O próprio aplicativo lançou uma nova versão. A versão anterior do aplicativo foi encapsulada e carregada no centro de administração do Intune.
• O Intune App Wrapping Tool para iOS lançou uma nova versão que permite correções de bugs importantes ou novos recursos específicos da política de proteção de aplicativos Intune. O lançamento de uma nova versão ocorre a cada 6 a 8 semanas por meio do repositório GitHub para o Microsoft Intune App Wrapping Tool para iOS.

Para iOS/iPadOS, você pode encapsular o aplicativo com um certificado ou perfil de provisionamento diferente daquele originalmente usado para assinar o aplicativo. No entanto, se o novo perfil de provisionamento não incluir os direitos especificados no aplicativo, o processo de encapsulamento falhará. Se você usar a opção de linha de comando "-e", que remove todos os direitos ausentes do aplicativo, forçar a quebra de texto para não falhar nesse cenário pode causar a funcionalidade interrompida no aplicativo.

Algumas práticas recomendadas para reempacotamento incluem:

• Garantir que um perfil de provisionamento diferente tenha todos os direitos necessários de qualquer perfil de provisionamento anterior.

Mensagens de erro e arquivos de log

Use as informações a seguir para solucionar os problemas que você tem com a ferramenta de encapsulamento de aplicativo.

Mensagens de erro

Se a ferramenta de encapsulamento de aplicativo não for concluída com êxito, uma das seguintes mensagens de erro será exibida no console:

Coletar logs para seus aplicativos encapsulados do dispositivo

Use as etapas a seguir para obter logs para seus aplicativos encapsulados durante a solução de problemas.

1. Acesse o aplicativo Configurações do iOS em seu dispositivo e selecione seu aplicativo LOB.
2. Selecione Microsoft Intune.
3. Alterne a configuração do Console de Diagnóstico de Exibição para Ativado.
4. Inicie seu aplicativo LOB.
5. Selecione no link "Introdução".
6. Agora você pode enviar logs diretamente para a Microsoft ou compartilhá-los por meio de outro aplicativo no dispositivo.

Coletar logs de falha do sistema

Seu aplicativo pode estar registrando informações úteis no console do dispositivo cliente iOS. Essas informações são úteis quando você está tendo problemas com o aplicativo e precisa determinar se o problema está relacionado à App Wrapping Tool ou ao próprio aplicativo. Para recuperar essas informações, use as seguintes etapas:

1. Reproduza o problema executando o aplicativo.

2. Colete a saída do console seguindo as instruções da Apple para Depurar Aplicativos iOS Implantados.

Os aplicativos encapsulados também apresentarão aos usuários a opção de enviar logs diretamente do dispositivo por email após o aplicativo falhar. Os usuários podem enviar os logs para você examinar e encaminhar para a Microsoft, se necessário.

Requisitos de certificado, perfil de provisionamento e autenticação

O App Wrapping Tool para iOS possui alguns requisitos que devem ser atendidos para garantir todas as funcionalidades.

Configurando direitos de aplicativo

Antes de encapsular seu aplicativo, você pode conceder direitos para conceder ao aplicativo permissões e recursos extras que excedem o que um aplicativo normalmente pode fazer. Um arquivo de direito é usado durante a assinatura de código para especificar permissões especiais em seu aplicativo (por exemplo, acesso a um conjunto de chaves compartilhado). Serviços de aplicativo específicos chamados de recursos são habilitados no Xcode durante o desenvolvimento do aplicativo. Após a habilitação, os recursos são refletidos no arquivo de direitos. Para obter mais informações sobre direitos e funcionalidades, consulte Adicionando capacidades na Biblioteca do Desenvolvedor do iOS. Para obter uma lista completa das funcionalidades com suporte, consulte Funcionalidades com suporte.

Recursos com suporte para a App Wrapping Tool para iOS

Etapas para habilitar os direitos

1. Habilitar recursos no seu aplicativo:

   a. No Xcode, vá para o destino do seu aplicativo e selecione Funcionalidades.

   b. Ative os recursos apropriados. Para obter informações detalhadas sobre cada funcionalidade e como determinar os valores corretos, consulte Adicionando funcionalidades na Biblioteca do Desenvolvedor iOS.

   c. Anote todas as IDs que você criou durante o processo. Essas IDs podem ser chamadas de AppIdentifierPrefix valores.

   d. Compile e assine seu aplicativo a ser encapsulado.

2. Habilite os direitos em seu perfil de provisionamento:

   a. Entre no Apple Developer Member Center.

   b. Crie um perfil de provisionamento para seu aplicativo. Para obter instruções, consulte Como obter os pré-requisitos para o Intune App Wrapping Tool para iOS.

   c. Em seu perfil de provisionamento, habilite os mesmos direitos que você tem em seu aplicativo. Você precisa fornecer as mesmas IDs (os AppIdentifierPrefix valores) que você especificou durante o desenvolvimento do seu aplicativo.

   d. Conclua o assistente de perfil de provisionamento e baixe o arquivo.

3. Certifique-se de que você atendeu a todos os pré-requisitos e, em seguida, encapsule o aplicativo.

Solucionar erros comuns com direitos

Se a App Wrapping Tool para iOS mostrar um erro de direito, tente as seguintes etapas de solução de problemas.

Localizar os direitos existentes de um aplicativo assinado

Para examinar os direitos existentes de um aplicativo assinado e perfil de provisionamento:

1. Localize o arquivo .ipa e altere sua extensão para .zip.

2. Expanda o arquivo .zip. Essa ação cria uma pasta Payload que contém seu pacote .app.

3. Use a ferramenta codesign para marcar os direitos no pacote .app, onde YourApp.app é o nome real do pacote .app.

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. Use a ferramenta de segurança para marcar os direitos do perfil de provisionamento incorporado do aplicativo, onde YourApp.app é o nome real do pacote de .app.

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

Remover direitos de um aplicativo usando o parâmetro –e

Esse comando remove todos os recursos habilitados no aplicativo que não estão no arquivo de direitos. Se você remover os recursos que estão sendo usados pelo aplicativo, ele poderá interrompê-lo. Um exemplo de onde você pode remover as funcionalidades ausentes é em um aplicativo produzido pelo fornecedor que tem todas as funcionalidades por padrão.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> `–p` /<path to provisioning profile> –c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> -e

Segurança e privacidade para o App Wrapping Tool

Use as seguintes práticas recomendadas de segurança e privacidade ao usar a App Wrapping Tool.

• O certificado de assinatura, o perfil de provisionamento e o aplicativo de linha de negócios especificados devem estar no mesmo computador macOS usado para executar a ferramenta de encapsulamento de aplicativo. Se os arquivos estiverem em um caminho UNC, verifique se o computador macOS pode acessá-los. O caminho deve ser protegido por meio de assinatura IPsec ou SMB.

  O aplicativo encapsulado importado para o centro de administração deve estar no mesmo computador em que você executa a ferramenta. Se o arquivo estiver em um caminho UNC, verifique se ele está acessível no computador que executa o centro de administração. O caminho deve ser protegido por meio de assinatura IPsec ou SMB.

• O ambiente em que o App Wrapping Tool é baixado do repositório GitHub precisa ser protegido por meio da assinatura IPsec ou SMB.

• O aplicativo que você processa deve vir de uma fonte confiável para garantir a proteção contra ataques.

• Verifique se a pasta de saída especificada na App Wrapping Tool está protegida, principalmente se for uma pasta remota.

• Os aplicativos iOS que incluem uma caixa de diálogo de upload de arquivo podem permitir que os usuários contornem, capturem, copiem e colem as restrições aplicadas ao aplicativo. Por exemplo, um usuário pode usar a caixa de diálogo de upload de arquivo para carregar uma captura de tela dos dados do aplicativo.

• Ao monitorar a pasta de documentos em seu dispositivo de dentro de um aplicativo encapsulado, você poderá ver uma pasta chamada .msftintuneapplauncher. Se você alterar ou excluir esse arquivo, isso poderá afetar o funcionamento correto dos aplicativos restritos.

• O registro de esquemas de URL personalizados permite que URLs específicas sejam redirecionadas para seu aplicativo. O iOS e o iPadOS permitem que vários aplicativos registrem o mesmo esquema de URL personalizado e o sistema operacional determina qual aplicativo é invocado. Consulte a documentação da Apple Definindo um esquema de URL personalizado para seu aplicativo para obter recomendações para ajudar a evitar colisões de esquemas de URL personalizados e diretrizes de segurança para lidar com URLs malformadas.

Recursos adicionais

• Decidir como preparar aplicativos para o gerenciamento de aplicativos móveis com o Microsoft Intune
• Perguntas, problemas e resoluções comuns com políticas e perfis de dispositivos
• Usar o SDK para habilitar aplicativos para gerenciamento de aplicativos móveis