Préparer des applications iOS pour les stratégies de protection des applications avec l’outil de création de package de restrictions d’application Intune

Utilisez l’outil de création de package de restrictions d’application Microsoft Intune pour iOS afin d’activer les stratégies de protection des applications Intune pour les applications iOS internes sans modifier le code de l’application elle-même.

L’outil est une application en ligne de commande macOS qui crée un wrapper autour d’une application. Une fois qu’une application est traitée, vous pouvez modifier les fonctionnalités de l’application en y déployant des stratégies de protection des applications.

Pour télécharger l’outil, consultez Outil de création de package de restrictions d’application Microsoft Intune pour iOS sur GitHub.

Prérequis généraux pour l’outil de création de package de restrictions d’application

Avant d’exécuter l’outil de création de package de restrictions d’application, vous devez remplir certaines conditions préalables générales :

• Téléchargez l’outil de création de package de restrictions d’application Microsoft Intune pour iOS à partir de GitHub.

• Un ordinateur macOS sur lequel l’ensemble d’outils Xcode version 14.0 ou ultérieure est installé.

• L’application iOS d’entrée doit être développée et signée par votre entreprise ou un éditeur de logiciels indépendant (ISV).

  • Le fichier d’application d’entrée doit avoir l’extension .ipa ou .app.

  • L’application d’entrée doit être compilée pour iOS 14.0 ou version ultérieure.

  • L’application d’entrée ne peut pas être chiffrée.

  • L’application d’entrée ne peut pas avoir d’attributs de fichier étendus.

  • Les droits de l’application d’entrée doivent être définis avant d’être traités par l’outil de création de package de restrictions d’application Intune. Les droits d’utilisation donnent à l’application davantage d’autorisations et de fonctionnalités que celles généralement accordées. Pour obtenir des instructions, consultez Définition des droits d’application .

• Vérifiez que des certificats de signature valides existent dans votre trousseau système. Si vous rencontrez des problèmes de signature de code d’application, procédez comme suit pour résoudre :
  • Réinitialiser les paramètres d’approbation pour tous les certificats associés
  • Installer des certificats intermédiaires dans le trousseau système et le trousseau de connexion
  • Désinstaller et réinstaller tous les certificats associés

Inscrire votre application avec l’ID Microsoft Entra

1. Inscrivez vos applications avec l’ID Microsoft Entra. Pour plus d’informations, consultez Inscrire une application auprès de la plateforme d’identités Microsoft.
2. Ajoutez l’URL de redirection personnalisée aux paramètres de votre application. Pour plus d’informations, consultez Configuration de MSAL.
3. Donnez à votre application l’accès au service GAM Intune. Pour plus d’informations, consultez Accorder à votre application l’accès au service De gestion des applications mobiles Intune.
4. Une fois les modifications ci-dessus terminées, exécutez la dernière version de l’outil de création de package de restrictions d’application Intune. Configurer vos applications pour la bibliothèque d’authentification Microsoft (MSAL) : ajoutez l’ID client de l’application Microsoft Entra dans les paramètres de ligne de commande avec l’outil de création de package de restrictions d’application Intune. Pour plus d’informations, consultez Paramètres de ligne de commande.

5. Déployez l’application.

Conditions préalables pour les développeurs Apple pour l’outil de création de package de restrictions d’application

Pour distribuer des applications encapsulées exclusivement aux utilisateurs de votre organisation, vous avez besoin d’un compte avec le programme Apple Developer Enterprise et de plusieurs entités pour la signature d’application liées à votre compte de développeur Apple.

Pour en savoir plus sur la distribution d’applications iOS en interne aux utilisateurs de votre organisation, consultez le guide officiel de distribution des applications du programme d’entreprise pour les développeurs Apple.

Vous aurez besoin des éléments suivants pour distribuer les applications encapsulées par Intune :

• Un compte de développeur avec le programme Apple Developer Enterprise.

• Certificat de signature de distribution interne et ad hoc avec identificateur d’équipe valide.

  • Vous aurez besoin du hachage SHA1 du certificat de signature en tant que paramètre de l’outil de création de package de restrictions d’application Intune.

• Profil d’approvisionnement de distribution interne.

Étapes de création d’un compte Apple Developer Enterprise

1. Accédez au site Apple Developer Enterprise Program.

2. En haut à droite de la page, cliquez sur Inscrire.

3. Lisez la liste de contrôle de ce dont vous avez besoin pour vous inscrire. Cliquez sur Démarrer votre inscription en bas de la page.

4. Connectez-vous avec l’ID Apple de votre organisation. Si vous n’en avez pas, cliquez sur Créer un ID Apple.

5. Sélectionnez votre type d’entité , puis cliquez sur Continuer.

6. Remplissez le formulaire avec les informations de votre organisation. Cliquez sur Continuer. À ce stade, Apple vous contacte pour vérifier que vous êtes autorisé à inscrire votre organisation.

7. Après la vérification, cliquez sur Accepter la licence.

8. Après avoir accepté la licence, terminez en achetant et en activant le programme.

9. Si vous êtes l’agent de l’équipe (la personne qui rejoint le programme Apple Developer Enterprise pour le compte de votre organisation), créez d’abord votre équipe en invitant des membres de l’équipe et en lui attribuant des rôles. Pour savoir comment gérer votre équipe, lisez la documentation Apple sur La gestion de votre équipe de compte de développeur.

Étapes de création d’un certificat de signature Apple

1. Accédez au portail des développeurs Apple.

2. En haut à droite de la page, cliquez sur Compte.

3. Connectez-vous avec votre ID Apple d’organisation.

4. Cliquez sur Certificats, ID & Profils.

   

5. Cliquez sur le dans le coin supérieur droit pour ajouter un certificat iOS.

6. Choisissez de créer un certificat interne et ad hoc sous Production.

   

   Remarque

   Si vous ne prévoyez pas de distribuer l’application et que vous souhaitez uniquement la tester en interne, vous pouvez utiliser un certificat de développement d’applications iOS au lieu d’un certificat pour la production. Si vous utilisez un certificat de développement, vérifiez que le profil d’approvisionnement mobile fait référence aux appareils sur lesquels l’application sera installée.

7. Cliquez sur Suivant en bas de la page.

8. Lisez les instructions sur la création d’une demande de signature de certificat (CSR) à l’aide de l’application Trousseau d’accès sur votre ordinateur macOS.

   

9. Suivez les instructions ci-dessus pour créer une demande de signature de certificat. Sur votre ordinateur macOS, lancez l’application Trousseau d’accès .

10. Dans le menu macOS en haut de l’écran, accédez à Keychain Access > Certificate Assistant > Demander un certificat auprès d’une autorité de certification.

    

11. Suivez les instructions du site du développeur Apple ci-dessus sur la création d’un fichier CSR. Enregistrez le fichier CSR sur votre ordinateur macOS.

    

12. Revenez au site du développeur Apple. Cliquez sur Continuer. Chargez ensuite le fichier CSR.

13. Apple génère votre certificat de signature. Téléchargez et enregistrez-le dans un emplacement mémorable sur votre ordinateur macOS.

    

14. Double-cliquez sur le fichier de certificat que vous venez de télécharger pour ajouter le certificat à un trousseau.

15. Ouvrez à nouveau l’accès au trousseau . Recherchez votre certificat en recherchant son nom dans la barre de recherche en haut à droite. Cliquez avec le bouton droit sur l’élément pour afficher le menu, puis cliquez sur Obtenir des informations. Dans les exemples d’écrans, nous utilisons un certificat de développement au lieu d’un certificat de production.

    

16. Une fenêtre d’information s’affiche. Faites défiler vers le bas et regardez sous l’étiquette Empreintes digitales . Copiez la chaîne SHA1 (floue) à utiliser comme argument pour « -c » pour l’outil de création de package de restrictions d’application.

    

Étapes de création d’un profil d’approvisionnement de distribution In-House

1. Revenez au portail du compte de développeur Apple et connectez-vous avec votre ID Apple professionnel.

2. Cliquez sur Certificats, ID & Profils.

3. Cliquez sur le dans le coin supérieur droit pour ajouter un profil de provisionnement iOS.

4. Choisissez de créer un profil d’approvisionnement interne sous Distribution.

   

5. Cliquez sur Continuer. Veillez à lier le certificat de signature précédemment généré au profil d’approvisionnement.

6. Suivez les étapes pour télécharger votre profil (avec l’extension .mobileprovision) sur votre ordinateur macOS.

7. Enregistrez le fichier dans un emplacement mémorable. Ce fichier sera utilisé pour le paramètre -p lors de l’utilisation de l’outil de création de package de restrictions d’application.

Télécharger l’outil de création de package de restrictions d’application

1. Téléchargez les fichiers de l’outil de création de package de restrictions d’application à partir de GitHub sur un ordinateur macOS.

2. Double-cliquez sur Packager de restrictions d’application Microsoft Intune pour iOS.dmg. Une fenêtre avec le Contrat de licence utilisateur final (CLUF) s’affiche. Lisez attentivement le document.

3. Choisissez Accepter pour accepter le CLUF, qui monte le package sur votre ordinateur.

Exécuter l’outil de création de package de restrictions d’application

Utiliser le terminal

Ouvrez le terminal macOS et exécutez la commande suivante :

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>]

Exemple: L’exemple de commande suivant exécute l’outil de création de package de restrictions d’application sur l’application nommée MyApp.ipa. Un profil d’approvisionnement et un hachage SHA-1 du certificat de signature sont spécifiés et utilisés pour signer l’application encapsulée. L’application de sortie (MyApp_Wrapped.ipa) est créée et stockée dans votre dossier Desktop.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB"  -v true

Paramètres de ligne de commande

Vous pouvez utiliser les paramètres de ligne de commande suivants avec l’outil de création de package de restrictions d’application :

Exemple: L’exemple de commande suivant exécute l’outil de création de package de restrictions d’application, en incorporant les commandes requises lors de l’habillage d’une application à utiliser dans un seul locataire.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v true

Utiliser une plist pour entrer des arguments

Un moyen simple d’exécuter l’outil de création de package de restrictions d’application consiste à placer tous les arguments de commande dans un fichier plist . Plist est un format de fichier similaire à XML que vous pouvez utiliser pour entrer vos arguments de ligne de commande à l’aide d’une interface de formulaire.

Dans le dossier IntuneMAMPackager/Contents/MacOS, ouvrez Parameters.plist (un modèle plist vide) avec un éditeur de texte ou Xcode. Entrez vos arguments pour les clés suivantes :

Exécutez IntuneMAMPackager avec plist comme seul argument :

./IntuneMAMPackager –f Parameters.plist

Post-wrapping

Une fois le processus d’habillage terminé, le message « L’application a été correctement encapsulée » s’affiche. Si une erreur se produit, consultez Messages d’erreur pour obtenir de l’aide.

L’application encapsulée est enregistrée dans le dossier de sortie que vous avez spécifié précédemment. Vous pouvez charger l’application dans le Centre d’administration Intune et l’associer à une stratégie de gestion des applications mobiles.

Vous pouvez maintenant déployer l’application sur vos groupes d’utilisateurs et cibler des stratégies de protection des applications sur l’application. L’application s’exécute sur l’appareil à l’aide des stratégies de protection des applications que vous avez spécifiées.

À quelle fréquence dois-je réencapsuler mon application iOS avec l’outil de création de package de restrictions d’application Intune ?

Les principaux scénarios dans lesquels vous devez réencapsuler vos applications sont les suivants :

• L’application elle-même a publié une nouvelle version. La version précédente de l’application a été encapsulée et chargée dans le Centre d’administration Intune.
• L’outil de création de package de restrictions d’application Intune pour iOS a publié une nouvelle version qui permet de corriger des bogues clés ou de nouvelles fonctionnalités de stratégie de protection des applications Intune spécifiques. Cela se produit après 6 à 8 semaines via le dépôt GitHub pour l’outil de création de package de restrictions d’application Microsoft Intune pour iOS.

Pour iOS/iPadOS, bien qu’il soit possible d’encapsuler avec un profil de certificat/de provisionnement différent de celui utilisé d’origine pour signer l’application, si les droits spécifiés dans l’application ne sont pas inclus dans le nouveau profil d’approvisionnement, l’habillage échoue. L’utilisation de l’option de ligne de commande « -e », qui supprime les droits manquants de l’application, pour forcer l’habillage à ne pas échouer dans ce scénario, peut entraîner une défaillance des fonctionnalités dans l’application.

Voici quelques bonnes pratiques en matière de réencapsulage :

• Vérifier qu’un profil d’approvisionnement différent dispose de tous les droits requis comme tout profil d’approvisionnement précédent.

Messages d’erreur et fichiers journaux

Utilisez les informations suivantes pour résoudre les problèmes que vous rencontrez avec l’outil de création de package de restrictions d’application.

Messages d’erreur

Si l’outil de création de package de restrictions d’application échoue, l’un des messages d’erreur suivants s’affiche dans la console :

Collecte des journaux pour vos applications encapsulées à partir de l’appareil

Procédez comme suit pour obtenir les journaux de vos applications encapsulées lors de la résolution des problèmes.

1. Accédez à l’application Paramètres iOS sur votre appareil et sélectionnez votre application métier.
2. Sélectionnez Microsoft Intune.
3. Basculez le paramètre Afficher la console de diagnostic surActivé.
4. Lancez votre application métier.
5. Cliquez sur le lien « Prise en main ».
6. Vous pouvez désormais envoyer des journaux directement à Microsoft ou les partager via une autre application sur l’appareil.

Collecte des journaux d’incident à partir du système

Votre application peut enregistrer des informations utiles dans la console de l’appareil client iOS. Ces informations sont utiles lorsque vous rencontrez des problèmes avec l’application et que vous devez déterminer si le problème est lié à l’outil de création de package de restrictions d’application ou à l’application elle-même. Pour récupérer ces informations, procédez comme suit :

1. Reproduisez le problème en exécutant l’application.

2. Collectez la sortie de la console en suivant les instructions d’Apple pour le débogage des applications iOS déployées.

Les applications encapsulées présentent également aux utilisateurs la possibilité d’envoyer des journaux directement à partir de l’appareil par e-mail après le blocage de l’application. Les utilisateurs peuvent vous envoyer les journaux pour les examiner et les transférer à Microsoft si nécessaire.

Exigences en matière de certificat, de profil d’approvisionnement et d’authentification

L’outil de création de package de restrictions d’application pour iOS a certaines exigences qui doivent être remplies afin de garantir des fonctionnalités complètes.

Définition des droits d’application

Avant d’encapsuler votre application, vous pouvez accorder des droits pour accorder à l’application des autorisations et des fonctionnalités supplémentaires qui dépassent ce qu’une application peut généralement faire. Un fichier de droits est utilisé lors de la signature du code pour spécifier des autorisations spéciales au sein de votre application (par exemple, l’accès à un trousseau partagé). Des services d’application spécifiques appelés fonctionnalités sont activés dans Xcode pendant le développement de l’application. Une fois activées, les fonctionnalités sont reflétées dans votre fichier de droits. Pour plus d’informations sur les droits et les fonctionnalités, consultez Ajout de fonctionnalités dans la bibliothèque de développeurs iOS. Pour obtenir la liste complète des fonctionnalités prises en charge, consultez Fonctionnalités prises en charge.

Fonctionnalités prises en charge pour l’outil de création de package de restrictions d’application pour iOS

Étapes pour activer les droits d’utilisation

1. Activez les fonctionnalités de votre application :

   a. Dans Xcode, accédez à la cible de votre application, puis cliquez sur Fonctionnalités.

   b. Activez les fonctionnalités appropriées. Pour plus d’informations sur chaque fonctionnalité et sur la façon de déterminer les valeurs correctes, consultez Ajout de fonctionnalités dans la bibliothèque de développeurs iOS.

   c. Notez tous les ID que vous avez créés pendant le processus. Ces valeurs peuvent également être appelées AppIdentifierPrefix valeurs.

   d. Générez et signez votre application à wrapper.

2. Activez les droits dans votre profil d’approvisionnement :

   a. Connectez-vous au Centre des membres des développeurs Apple.

   b. Créez un profil d’approvisionnement pour votre application. Pour obtenir des instructions, consultez Comment obtenir les prérequis pour l’outil de création de package de restrictions d’application Intune pour iOS.

   c. Dans votre profil d’approvisionnement, activez les mêmes droits que vous avez dans votre application. Vous devez fournir les mêmes ID (valeurs AppIdentifierPrefix ) que vous avez spécifiés pendant le développement de votre application.

   d. Terminez l’Assistant Profil d’approvisionnement et téléchargez votre fichier.

3. Vérifiez que vous avez satisfait à toutes les conditions préalables, puis encapsulez l’application.

Résoudre les erreurs courantes avec les droits d’utilisation

Si l’outil de création de package de restrictions d’application pour iOS affiche une erreur de droit, essayez les étapes de résolution des problèmes suivantes.

Rechercher les droits existants d’une application signée

Pour passer en revue les droits existants d’une application signée et d’un profil d’approvisionnement :

1. Recherchez le fichier .ipa et remplacez son extension par .zip.

2. Développez le fichier .zip. Cela génère un dossier Payload contenant votre .app bundle.

3. Utilisez l’outil codesign pour vérifier les droits sur l’offre groupée .app, où YourApp.app est le nom réel de votre offre groupée .app .

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. Utilisez l’outil de sécurité pour vérifier les droits du profil d’approvisionnement incorporé de l’application, où YourApp.app est le nom réel de votre offre groupée .app.

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

Supprimer des droits d’une application à l’aide du paramètre –e

Cette commande supprime toutes les fonctionnalités activées dans l’application qui ne figurent pas dans le fichier de droits. Si vous supprimez les fonctionnalités utilisées par l’application, cela peut interrompre votre application. Par exemple, vous pouvez supprimer des fonctionnalités manquantes dans une application produite par un fournisseur qui a toutes les fonctionnalités par défaut.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> –p /<path to provisioning profile> –c <SHA1 hash of the certificate> -e

Sécurité et confidentialité de l’outil de création de package de restrictions d’application

Utilisez les meilleures pratiques de sécurité et de confidentialité suivantes lorsque vous utilisez l’outil de création de package de restrictions d’application.

• Le certificat de signature, le profil d’approvisionnement et l’application métier que vous spécifiez doivent se trouver sur la même machine macOS que celle utilisée pour exécuter l’outil de création de package de restrictions d’application. Si les fichiers se trouvent sur un chemin UNC, assurez-vous qu’ils sont accessibles à partir de l’ordinateur macOS. Le chemin d’accès doit être sécurisé via une signature IPsec ou SMB.

  L’application encapsulée importée dans le centre d’administration doit se trouver sur le même ordinateur que celui sur lequel vous exécutez l’outil. Si le fichier se trouve sur un chemin UNC, vérifiez qu’il est accessible sur l’ordinateur exécutant le centre d’administration. Le chemin d’accès doit être sécurisé via une signature IPsec ou SMB.

• L’environnement dans lequel l’outil de création de package de restrictions d’application est téléchargé à partir du dépôt GitHub doit être sécurisé via une signature IPsec ou SMB.

• L’application que vous traitez doit provenir d’une source digne de confiance pour garantir la protection contre les attaques.

• Assurez-vous que le dossier de sortie que vous spécifiez dans l’outil de création de package de restrictions d’application est sécurisé, en particulier s’il s’agit d’un dossier distant.

• Les applications iOS qui incluent une boîte de dialogue de chargement de fichiers peuvent permettre aux utilisateurs de contourner, couper, copier et coller les restrictions appliquées à l’application. Par exemple, un utilisateur peut utiliser la boîte de dialogue de chargement de fichier pour charger une capture d’écran des données de l’application.

• Lorsque vous surveillez le dossier documents sur votre appareil à partir d’une application encapsulée, vous pouvez voir un dossier nommé .msftintuneapplauncher. Si vous modifiez ou supprimez ce fichier, cela peut affecter le bon fonctionnement des applications restreintes.

• L’inscription de schémas d’URL personnalisés permet à des URL spécifiques de rediriger vers votre application. iOS et iPadOS permettent à plusieurs applications d’inscrire le même schéma d’URL personnalisé et le système d’exploitation détermine quelle application est appelée. Reportez-vous à la documentation Apple Définition d’un schéma d’URL personnalisée pour votre application pour obtenir des recommandations afin d’éviter les collisions de schémas d’URL personnalisées et des instructions de sécurité pour la gestion des URL incorrectes.

Voir aussi

• Décider comment préparer des applications pour la gestion des applications mobiles avec Microsoft Intune
• Questions courantes, problèmes et solutions avec les stratégies et les profils d’appareil
• Utiliser le Kit de développement logiciel (SDK) pour activer les applications pour la gestion des applications mobiles