Защита приложений Intune для мобильных приложений

Приложения AI-Public для iPhone и Android поддерживают защиту приложений с Microsoft Intune (MAM). В этом случае ваша организация определяет с помощью политики защиты приложений, что сотрудники могут делать с данными в приложении, например, блокировать копирование в неуправляемые приложения или запрашивать PIN-код. Сотрудники входят в приложение с помощью Входа через Microsoft; при этом приложение выполняет вход в Intune.

Для интеграции AI-Public использует приложение Microsoft Entra HandiHow AI-apps - Intune. Администратор Entra один раз предоставляет на это разрешение для всей организации.

Что вам нужно?

• Учетная запись Entra с ролью Глобальный администратор или Администратор привилегированных ролей. С этой ролью вы можете предоставить разрешение на Intune.
• Microsoft Intune с политикой App Protection Policy для сотрудников, которые используют приложение.
• Среда AI-Public, в которой сотрудники входят через Microsoft.

1. Предоставьте разрешение через страницу подключения

1. Откройте Подключить защиту приложений Intune в обычном браузере на вашем компьютере.
2. Введите домен или Directory (tenant) ID вашей организации, например gemeente.nl.
3. Выберите Предоставить разрешение в Microsoft и войдите с учетной записью администратора.
4. Проверьте приложение (HandiHow AI-apps - Intune, издатель HandiHow) и разрешения, затем выберите Accept.
5. Microsoft вернет вас на страницу подключения. Там вы увидите Разрешение предоставлено или сообщение с кодом ошибки.

Приложение запрашивает два делегированных разрешения. Они работают только от имени вошедшего сотрудника:

Разрешение	Для чего
User.Read (Microsoft Graph)	Вход и чтение профиля сотрудника.
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management)	Получение политики защиты приложений сотрудника и регистрация приложения в Intune.

Используйте страницу подключения

Не используйте отдельную ссылку только с adminconsent?client_id=…. После Accept Microsoft тогда перенаправит вас на адрес, который могут открыть только мобильные приложения. Экран будет продолжать загружаться, и вы не получите подтверждение. Страница подключения передает Microsoft правильный адрес возврата.

2. Проверьте разрешение в Entra

Откройте в центре администрирования Microsoft Entra Enterprise applications → HandiHow AI-apps - Intune → Permissions. В разделе Admin consent должны быть указаны оба разрешения. То, что приложение есть в списке enterprise applications, еще не доказывает, что разрешение было предоставлено.

3. Добавьте приложение в вашу политику App Protection Policy

В центре администрирования Intune добавьте приложение в политику App Protection Policy для соответствующих сотрудников. В разделе приложений выберите Custom apps и используйте:

Platform	Package name or bundle-ID
Android	info.aipublic.app
iOS	info.aipublic.app

4. Включите защиту приложений Intune

Сообщите нам, когда шаги 1–3 будут выполнены. Затем мы включим защиту приложений Intune для вашей среды AI-Public. С этого момента сотрудники будут входить в приложение через брокер Microsoft (Company Portal или Authenticator), а приложение будет выполнять вход в Intune.

После этого протестируйте с сотрудником, на которого распространяется политика: войдите в приложение, пройдите запросы Intune и проверьте одно правило политики, например что копирование в неуправляемое приложение заблокировано.

Устранение проблем

Что вы видите	Что вы делаете
Экран Microsoft продолжает загружаться после Accept (login.microsoftonline.com/common/reprocess).	Вероятно, вы использовали отдельную ссылку без адреса возврата. Проверьте разрешение, как в шаге 2. Если его нет, начните заново через страницу подключения.
AADSTS900561: The endpoint only accepts POST requests	Вы обновили страницу Microsoft во время загрузки. Эта ошибка ничего не говорит о самом разрешении. Проверьте шаг 2 и при необходимости начните снова через страницу подключения.
access_denied или consent_required на странице подключения	Разрешение было отменено, или у вашей учетной записи нет необходимой роли администратора. Изменений не было. Попробуйте снова с учетной записью с нужной ролью.
AADSTS50011 (redirect-URI не совпадает)	Свяжитесь с нами и укажите код ошибки.
Microsoft просит сотрудников при входе в приложение подтвердить доступ у администратора (Need admin approval).	Разрешение из шага 1 отсутствует в вашей организации. Предоставьте его через страницу подключения.

Если не получится, отправьте нам код ошибки, сообщение об ошибке, Correlation ID и время, которые показывает Microsoft или страница подключения.