Förbereda iOS-appar för appskyddsprinciper med Intune App Wrapping Tool

Använd Microsoft Intune App Wrapping Tool för iOS för att aktivera Intune appskyddsprinciper för interna iOS-appar utan att ändra koden för själva appen.

Verktyget är ett macOS-kommandoradsprogram som skapar en omslutning runt en app. När en app har bearbetats kan du ändra appens funktioner genom att distribuera appskyddsprinciper till den.

Information om hur du laddar ned verktyget finns i Microsoft Intune App Wrapping Tool för iOS på GitHub.

Allmänna förutsättningar för App Wrapping Tool

Innan du kör App Wrapping Tool måste du uppfylla några allmänna krav:

• Ladda ned Microsoft Intune App Wrapping Tool för iOS från GitHub.

• En macOS-dator som har Xcode Toolset version 16.0 eller senare installerat.

• Ditt företag eller en oberoende programvaruleverantör (ISV) måste utveckla och signera iOS-indataappen.

  • Filen måste ha filnamnstillägget .ipa eller .app.

  • Den måste vara kompilerad för iOS 16.0 eller senare.

  • Det kan inte krypteras.

  • Inga utökade filattribut.

  • Ange berättiganden innan du bearbetar appen med Intune App Wrapping Tool. Berättiganden ger appen fler behörigheter och funktioner utöver de behörigheter som vanligtvis beviljas. Anvisningar finns i Ange apprättigheter .

• Kontrollera att det finns giltiga signeringscertifikat i systemnyckelringen. Om du har problem med appkodsignering kan du lösa detta genom att följa stegen nedan:
  • Återställa förtroendeinställningar för alla relaterade certifikat
  • Installera mellanliggande certifikat i systemnyckelringen och inloggningsnyckelringen
  • Avinstallera och installera om alla relaterade certifikat

Registrera din app med Microsoft Entra ID

1. Registrera dina appar med Microsoft Entra ID. Mer information finns i Registrera ett program med Microsofts identitetsplattform.
2. Lägg till den anpassade omdirigerings-URL:en i appinställningarna. Mer information finns i Konfigurera MSAL.
3. Ge din app åtkomst till Intune MAM-tjänsten. Mer information finns i Ge din app åtkomst till Intune Mobile App Management-tjänsten.
4. När ändringarna ovan har slutförts kör du den senaste versionen av Intune App Wrapping-verktyget. Konfigurera dina appar för Microsofts autentiseringsbibliotek (MSAL): Lägg till klient-ID:t för Microsoft Entra program i kommandoradsparametrarna med Intune App Wrapping Tool. Mer information finns i Kommandoradsparametrar.

5. Distribuera appen.

Apple Developer-krav för App Wrapping Tool

Om du vill distribuera paketerade appar exklusivt till organisationens användare behöver du ett konto i Apple Developer Enterprise Program och flera enheter för appsignering som är kopplade till ditt Apple Developer-konto.

Om du vill veta mer om hur du distribuerar iOS-appar internt till organisationens användare läser du den officiella guiden för distribution av Apple Developer Enterprise Program-appar.

Du behöver följande för att distribuera appar som omslutits av Intune:

• Ett utvecklarkonto i Apple Developer Enterprise Program.

• Signeringscertifikat för intern och ad hoc-distribution med giltig teamidentifierare.

  • Du behöver SHA1-hashen för signeringscertifikatet som en parameter till Intune App Wrapping Tool.

• Profil för etablering av intern distribution.

Skapa ett Apple Developer Enterprise-konto

1. Gå till webbplatsen för Apple Developer Enterprise Program.

2. Längst upp till höger på sidan väljer du Registrera.

3. Läs checklistan för vad du behöver för att registrera dig. Välj Starta registreringen längst ned på sidan.

4. Logga in med Apple-kontot för din organisation. Om du inte har ett väljer du Skapa Apple-konto.

5. Välj din entitetstyp och välj Fortsätt.

6. Fyll i formuläret med information om din organisation. Välj Fortsätt. I det här läget kontaktar Apple dig för att bekräfta att du har behörighet att registrera din organisation.

7. Efter verifieringen väljer du Godkänn licens.

8. När du har godkänt licensieringen slutför du genom att köpa och aktivera programmet.

9. Om du är teamagent (den person som går med i Apple Developer Enterprise Program för din organisation) bjuder du in teammedlemmar och tilldelar roller för att bygga upp ditt team. Mer information om hur du hanterar ditt team finns i Apples dokumentation om hur du hanterar teamet för utvecklarkontot.

Skapa ett Apple-signeringscertifikat

1. Gå till Apple Developer-portalen.

2. Längst upp till höger på sidan väljer du Konto.

3. Logga in med ditt Apple-konto för organisationen.

4. Välj Certifikat, ID & Profiler.

   

5. Välj i det övre högra hörnet. Den här åtgärden lägger till ett iOS-certifikat.

6. Välj att skapa ett internt och ad hoc-certifikat under Produktion.

   

   Obs!

   Om du inte planerar att distribuera appen och bara vill testa den internt kan du använda ett iOS App Development-certifikat i stället för ett certifikat för produktion. Om du använder ett utvecklingscertifikat kontrollerar du att mobiletableringsprofilen innehåller de enheter där du planerar att installera appen.

7. Välj Nästa längst ned på sidan.

8. Läs anvisningarna om hur du skapar en begäran om certifikatsignering (CSR) med hjälp av programmet Nyckelhanterare på din macOS-dator.

   

9. Följ anvisningarna ovan för att skapa en begäran om certifikatsignering. Starta programmet Nyckelhanterare på din macOS-dator.

10. På macOS-menyn högst upp på skärmen går du till Certifikatassistenten > för nyckelhanterare > Begär ett certifikat från en certifikatutfärdare.

    

11. Följ anvisningarna på Apples webbplats för utvecklare för att skapa en CSR-fil (Certificate Signing Request). Spara CSR-filen på din macOS-dator.

    

12. Gå tillbaka till Apples webbplats för utvecklare. Välj Fortsätt. Ladda sedan upp CSR-filen.

13. Apple genererar ditt signeringscertifikat. Ladda ned och spara den på en minnesvärd plats på din macOS-dator.

    

14. Dubbelklicka på certifikatfilen du laddade ned för att lägga till certifikatet i en nyckelring.

15. Öppna Nyckelhanterare igen. Leta reda på ditt certifikat genom att söka efter dess namn i sökfältet längst upp till höger. Högerklicka på objektet för att visa menyn och välj Visa information. På exempelskärmarna använder vi ett utvecklingscertifikat i stället för ett produktionscertifikat.

    

16. Ett informationsfönster visas. Bläddra längst ned och titta under fingeravtrycksetiketten . Kopiera SHA1-strängen (suddig) som ska användas som argument för "-c" för App Wrapping Tool.

    

Skapa en profil för In-House distributionsetablering

1. Gå tillbaka till Apple Developer-kontoportalen och logga in med ditt Apple-konto för organisationen.

2. Välj Certifikat, ID & Profiler.

3. Välj i det övre högra hörnet. Den här åtgärden lägger till en iOS-etableringsprofil.

4. Välj att skapa en intern etableringsprofil under Distribution.

   

5. Välj Fortsätt. Se till att länka det tidigare genererade signeringscertifikatet till etableringsprofilen.

6. Följ stegen för att ladda ned din profil (med filnamnstillägg .mobileprovision) till din macOS-dator.

7. Spara filen på en minnesvärd plats. Den här filen används för parametern -p när du använder App Wrapping Tool.

Ladda ned App Wrapping Tool

1. Ladda ned filerna för App Wrapping Tool från GitHub till en macOS-dator.

2. Dubbelklicka på Microsoft Intune Application Restrictions Packager för iOS.dmg. Ett fönster med licensavtalet (EULA) visas. Läs dokumentet noggrant.

3. Välj Godkänn för att acceptera EULA, vilket monterar paketet på din dator.

Kör App Wrapping Tool

Använd Terminal

Öppna macOS-terminalen och kör följande kommando:

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> [-aa <authority URI of input app>] [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>] [-dt] [-dl] [-ds]

Exempel: Följande exempelkommando kör App Wrapping Tool på appen MyApp.ipa. En etableringsprofil och SHA-1-hash för signeringscertifikatet anges och används för att signera den omslutna appen. Utdataappen (MyApp_Wrapped.ipa) skapas och lagras i mappen Skrivbord.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -ac "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -ar "msauth.myAppsBundleID://auth" -v

Kommandoradsparametrar

Du kan använda följande kommandoradsparametrar med App Wrapping Tool:

Exempel: Följande exempelkommando kör App Wrapping Tool, som innehåller de kommandon som krävs när du omsluter ett program för användning inom en enda klientorganisation.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v

Använda en plist för att ange argument

Ett enkelt sätt att köra App Wrapping Tool är att placera alla kommandoargument i en plist-fil. Plist är ett filformat som påminner om XML och som du kan använda för att ange dina kommandoradsargument i ett formulärgränssnitt.

I mappen IntuneMAMPackager/Contents/MacOS öppnar du Parameters.plist (en tom plist-mall) med en textredigerare eller Xcode. Ange dina argument för följande nycklar:

Kör IntuneMAMPackager med plist som enda argument:

./IntuneMAMPackager –f Parameters.plist

Efter inslagning

När omslutningsprocessen är klar visas meddelandet "Programmet har paketerats". Om ett fel uppstår, se Felmeddelanden för hjälp.

Den omslutna appen sparas i den utdatamapp som du angav tidigare. Du kan ladda upp appen till Intune administrationscenter och associera den med en princip för hantering av mobilprogram.

Nu kan du distribuera appen till dina användargrupper och rikta appskyddsprinciper till appen. Appen körs på enheten med hjälp av de appskyddsprinciper som du har angett.

Hur ofta ska jag omsluta mitt iOS-program med Intune App Wrapping Tool?

De huvudsakliga scenarierna där du skulle behöva omsluta dina program är följande:

• Själva applikationen släppte en ny version. Den tidigare versionen av programmet paketerades och laddades upp till Intune administrationscenter.
• I Intune App Wrapping Tool för iOS släpptes en ny version som möjliggör viktiga felkorrigeringar eller nya, specifika Intune principfunktioner för programskydd. Lanseringen av en ny version sker var 6–8:e vecka via GitHub-lagringsplatsen för Microsoft Intune App Wrapping Tool för iOS.

För iOS/iPadOS kan du omsluta appen med ett annat certifikat eller en annan etableringsprofil än den som ursprungligen användes för att signera appen. Men om den nya etableringsprofilen inte innehåller de berättiganden som anges i appen misslyckas omslutningsprocessen. Om du använder kommandoradsalternativet "-e", som tar bort alla rättigheter som saknas från programmet, kan framtvinga radbrytning att inte misslyckas i det här scenariot orsaka felaktiga funktioner i appen.

Här är några beprövade metoder för att paketera om:

• Se till att en annan etableringsprofil har alla nödvändiga rättigheter som alla tidigare etableringsprofiler.

Felmeddelanden och loggfiler

Använd följande information för att felsöka problem som du har med programhanteringsverktyget.

Felmeddelanden

Om programhanteringsverktyget inte slutförs korrekt visas något av följande felmeddelanden i konsolen:

Samla in loggar för dina omslutna program från enheten

Använd följande steg för att hämta loggar för dina omslutna program under felsökningen.

1. Gå till appen iOS-inställningar på enheten och välj din LOB-app.
2. Välj Microsoft Intune.
3. Växla inställningen för konsolen Visa diagnostik till På.
4. Starta LOB-programmet.
5. Välj länken "Kom igång".
6. Nu kan du skicka loggar direkt till Microsoft eller dela dem via ett annat program på enheten.

Samla in kraschloggar från systemet

Din app kan logga användbar information till iOS-klientenhetskonsolen. Den här informationen är användbar när du har problem med programmet och behöver avgöra om problemet är relaterat till App Wrapping Tool eller själva appen. Använd följande steg för att hämta den här informationen:

1. Återskapa problemet genom att köra appen.

2. Samla in konsolens utdata genom att följa Apples instruktioner för felsökning av distribuerade iOS-appar.

Omslutna appar ger också användarna möjlighet att skicka loggar direkt från enheten via e-post när appen kraschar. Användare kan skicka loggarna till dig för granskning och vidarebefordra till Microsoft om det behövs.

Certifikat, etableringsprofil och autentiseringskrav

App Wrapping Tool för iOS har några krav som måste uppfyllas för att garantera full funktionalitet.

Ange appberättiganden

Innan du omsluter appen kan du bevilja rättigheter för att ge appen extra behörigheter och funktioner som överskrider vad en app normalt kan göra. En rättighetsfil används under kodsignering för att ange särskilda behörigheter i appen (till exempel åtkomst till en delad nyckelring). Specifika apptjänster som kallas funktioner aktiveras i Xcode under apputveckling. När funktionerna är aktiverade återspeglas de i berättigandefilen. Mer information om berättiganden och funktioner finns i Lägga till funktioner i biblioteket för iOS-utvecklare. En fullständig lista över funktioner som stöds finns i Funktioner som stöds.

Funktioner som stöds för App Wrapping Tool för iOS

Steg för att aktivera berättiganden

1. Aktivera funktioner i appen:

   a. I Xcode går du till appens mål och väljer Funktioner.

   b. Aktivera lämpliga funktioner. Detaljerad information om varje funktion och hur du fastställer rätt värden finns i Lägga till funktioner i iOS-utvecklarbiblioteket.

   c. Anteckna alla ID:n som du har skapat under processen. Dessa ID:n kan kallas värden AppIdentifierPrefix .

   d. Skapa och signera appen som ska omslutas.

2. Aktivera berättiganden i etableringsprofilen:

   a. Logga in på Apple Developer Member Center.

   b. Skapa en etableringsprofil för din app. Anvisningar finns i Så här hämtar du förutsättningarna för Intune App Wrapping Tool för iOS.

   c. Aktivera samma berättiganden som du har i din app i din etableringsprofil. Du måste ange samma ID:n (värdena AppIdentifierPrefix ) som du angav under utvecklingen av appen.

   d. Slutför guiden för etableringsprofilen och ladda ned filen.

3. Kontrollera att du har uppfyllt alla krav och omslut sedan appen.

Felsöka vanliga fel med berättiganden

Om App Wrapping Tool för iOS visar ett rättighetsfel kan du prova följande felsökningssteg.

Hitta befintliga rättigheter för en signerad app

Så här granskar du befintliga berättiganden för en signerad app och etableringsprofil:

1. Leta reda på .ipa-filen och ändra filnamnstillägget till .zip.

2. Expandera den .zip filen. Den här åtgärden skapar en nyttolastmapp som innehåller ditt .app-paket.

3. Använd codesign-verktyget för att kontrollera rättigheterna i det .app paketet, där YourApp.app är det faktiska namnet på .app paketet.

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. Använd säkerhetsverktyget för att kontrollera berättigandena för appens inbäddade etableringsprofil, där YourApp.app är det faktiska namnet på ditt .app paket.

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

Ta bort berättiganden från en app med hjälp av parametern –e

Det här kommandot tar bort alla aktiverade funktioner i appen som inte finns i berättigandefilen. Om du tar bort funktioner som används av appen kan det skada appen. Ett exempel på var du kan ta bort saknade funktioner är i en leverantörsproducerad app som har alla funktioner som standard.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> `–p` /<path to provisioning profile> –c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> -e

Säkerhet och sekretess för App Wrapping Tool

Använd följande metodtips för säkerhet och sekretess när du använder App Wrapping Tool.

• Signeringscertifikatet, etableringsprofilen och den verksamhetsspecifika app som du anger måste finnas på samma macOS-dator som du använder för att köra programhanteringsverktyget. Om filerna finns på en UNC-sökväg kontrollerar du att macOS-datorn kan komma åt dem. Sökvägen måste skyddas via IPsec- eller SMB-signering.

  Det omslutna programmet som importeras till administrationscentret bör finnas på samma dator som du kör verktyget på. Om filen finns på en UNC-sökväg kontrollerar du att den är tillgänglig på datorn som kör administrationscentret. Sökvägen måste skyddas via IPsec- eller SMB-signering.

• Miljön där App Wrapping Tool laddas ned från GitHub-lagringsplatsen måste skyddas via IPsec- eller SMB-signering.

• Appen du bearbetar måste komma från en pålitlig källa för att säkerställa skydd mot attacker.

• Se till att den utdatamapp du anger i App Wrapping Tool är skyddad, särskilt om det är en fjärrmapp.

• iOS-appar som innehåller en dialogruta för filöverföring kan tillåta användare att kringgå, klippa ut, kopiera och klistra in begränsningar som tillämpas på appen. En användare kan till exempel använda dialogrutan för filuppladdning för att ladda upp en skärmbild av appdata.

• När du övervakar mappen Dokument på enheten inifrån en inkapslad app kan en mapp med namnet .msftintuneapplauncher. Om du ändrar eller tar bort den här filen kan det påverka hur begränsade appar fungerar korrekt.

• Om du registrerar anpassade URL-scheman kan specifika URL-adresser omdirigeras till din app. iOS och iPadOS tillåter att flera appar registrerar samma anpassade URL-schema och operativsystemet avgör vilket program som anropas. Se Apple-dokumentationen Definiera ett anpassat URL-schema för din app för rekommendationer för att undvika kollisioner med anpassade URL-scheman och säkerhetsriktlinjer för hantering av felaktiga URL-adresser.

Ytterligare resurser

• Bestäm hur du förbereder appar för hantering av mobilprogram med Microsoft Intune
• Vanliga frågor, problem och lösningar med enhetsprinciper och profiler
• Använda SDK för att aktivera appar för hantering av mobilprogram