Modalità dispositivo condiviso per i dispositivi Android

Il personale sul campo, ad esempio i collaboratori per la vendita al dettaglio, i membri di un equipaggio di volo e il personale di assistenza sul campo, usano spesso un dispositivo mobile condiviso per svolgere il proprio lavoro. Questi dispositivi condivisi possono presentare rischi per la sicurezza se gli utenti condividono password o PIN, intenzionalmente o meno, per accedere ai dati aziendali e dei clienti sul dispositivo condiviso.

La modalità di dispositivo condiviso consente di configurare un dispositivo Android 8.0 o versione successiva in modo che sia condiviso in maniera più semplice e sicura dai dipendenti. I dipendenti possono accedere una sola volta e ottenere l'accesso Single Sign-On (SSO) a tutte le app che supportano questa funzionalità, il che consente loro di accedere più rapidamente alle informazioni. Quando i dipendenti si disconnettono dopo aver completato il turno o l'attività, vengono disconnessi automaticamente dal dispositivo e da tutte le applicazioni supportate, rendendo il dispositivo pronto per l'utente successivo.

Per sfruttare i vantaggi della funzionalità di modalità di dispositivo condiviso, gli sviluppatori di app e gli amministratori di dispositivi cloud collaborano:

1. Gli amministratori dispositivo preparano il dispositivo alla condivisione manualmente o usando un provider di gestione di dispositivi mobili (MDM) come Microsoft Intune. L'opzione preferita è quella di un MDM perché consente la configurazione della modalità dispositivo condiviso su larga scala tramite il provisioning zero-touch. Il software MDM esegue il push dell'app Microsoft Authenticator nei dispositivi e attiva "Modalità condivisa" per ognuno di essi tramite un aggiornamento del profilo. L'impostazione di Modalità condivisa consente di modificare il comportamento delle app supportate nel dispositivo. Questa configurazione del provider MDM imposta la modalità dispositivo condiviso e attiva la registrazione del dispositivo condiviso usando l'app Authenticator.

2. Gli sviluppatori di applicazioni scrivono un'app con account singolo (le app con più account non sono supportate in modalità di dispositivo condiviso) per gestire lo scenario seguente:

   • Far accedere un utente a livello di dispositivo tramite qualsiasi applicazione supportata.
   • Disconnettere un utente a livello di dispositivo tramite qualsiasi applicazione supportata.
   • Eseguire una query sullo stato del dispositivo per stabilire se l'applicazione si trova in un dispositivo in modalità dispositivo condiviso.
   • Eseguire una query sullo stato del dispositivo dell'utente per stabilire se qualcosa è cambiato nell'applicazione dall'ultimo utilizzo.

   Il supporto della modalità di dispositivo condiviso deve essere considerato un aggiornamento delle funzionalità dell'applicazione e può contribuire alla sua adozione in ambienti in cui lo stesso dispositivo viene usato tra più utenti.

   Importante

   Le applicazioni Microsoft che supportano la modalità di dispositivo condiviso in Android non richiedono alcuna modifica e devono solo essere installate per ottenere i vantaggi offerti dalla modalità di dispositivo condiviso.

Configurare il dispositivo in modalità di dispositivo condiviso

Per configurare il dispositivo Android per supportare la modalità dispositivo condiviso, deve eseguire Android OS 8.0 o versione successiva. Il dispositivo deve anche essere cancellato o con ripristino delle impostazioni predefinite o disinstallando e reinstallando tutte le app Microsoft e altre abilitate per la modalità dispositivo condiviso.

Microsoft Intune supporta il provisioning zero-touch per i dispositivi in modalità di dispositivo condiviso di Microsoft Entra, il che significa che il dispositivo può essere configurato e registrato in Intune con un'interazione minima da parte del personale sul campo. Per configurare il dispositivo in modalità di dispositivo condiviso quando si usa Microsoft Intune come MDM, vedere Configurare la registrazione dei dispositivi nella modalità di dispositivo condiviso di Microsoft Entra.

Modificare l'applicazione Android per supportare la modalità di dispositivo condiviso

Gli utenti dipendono dall'utente per garantire che i loro dati non vengano divulgati ad altri utenti. Le sezioni seguenti forniscono segnali utili per indicare all'applicazione che si è verificata una modifica e che deve essere gestita. Ogni volta che viene usata l'app, si ha la responsabilità di controllare lo stato dell'utente nel dispositivo e quindi anche di cancellare i dati dell'utente precedente. Ciò comprende il caso in cui questi vengano ricaricati in background in più attività. Ogni volta che un utente cambia, è necessario assicurarsi che i dati dell'utente precedente vengano cancellati e che tutti i dati memorizzati nella cache visualizzati nell'applicazione vengano rimossi. È vivamente consigliato eseguire un processo di revisione della sicurezza dopo l'aggiornamento dell'app per supportare la modalità di dispositivo condiviso.

Aggiungere l'SDK Microsoft Authentication Library (MSAL) alle dipendenze dell'applicazione

Aggiungere la libreria MSAL come dipendenza nel file build.gradle, come segue:

dependencies{
  implementation 'com.microsoft.identity.client.msal:5.+'
}

Configurare l'app per l'uso della modalità di dispositivo condiviso

Le applicazioni scritte con SDK Microsoft Authentication Library (MSAL) possono gestire un singolo account o più account. Per informazioni dettagliate, vedere modalità con account singolo o modalità con più account. Le app in modalità dispositivo condiviso funzionano solo in modalità con account singolo.

Se non si prevede di supportare la modalità con più account, impostare "account_mode" su "SINGLE" nel file di configurazione MSAL. Ciò garantisce che l'app ottenga sempre ISingleAccountPublicClientApplication, semplificando notevolmente l'integrazione di MSAL. Il valore predefinito di "account_mode" è "MULTIPLE", quindi è importante modificare questo valore nel file di configurazione, se si usa la modalità "single account".

Di seguito è riportato un esempio di file di configurazione:

{
  "client_id": "Client ID after app registration at https://aka.ms/MobileAppReg",
  "authorization_user_agent": "WEBVIEW",
  "redirect_uri": "Redirect URI after app registration at https://aka.ms/MobileAppReg",
  "account_mode": "SINGLE",
  "broker_redirect_uri_registered": true,
  "authorities": [
    {
      "type": "AAD",
      "audience": {
        "type": "AzureADandPersonalMicrosoftAccount",
        "tenant_id": "common"
      }
    }
  ]
}

Per altre informazioni sull'impostazione del file di configurazione, vedere la documentazione sulla configurazione.

Supporto sia di account singolo che di più account

L'app può essere compilata per supportare l'esecuzione su dispositivi personali e dispositivi condivisi. Se l'app supporta attualmente più account e si vuole supportare la modalità dispositivo condiviso, aggiungere il supporto per la modalità account singolo.

È anche possibile che l'app modifichi il comportamento a seconda del tipo di dispositivo in cui è in esecuzione. Usare ISingleAccountPublicClientApplication.isSharedDevice() per determinare quando eseguire in modalità account singolo.

Esistono due interfacce diverse che rappresentano il tipo di dispositivo in cui è presente l'applicazione. Quando si richiede un'istanza dell'applicazione dalla factory dell'applicazione MSAL, l'oggetto applicazione corretto viene fornito automaticamente.

Il modello a oggetti seguente illustra il tipo di oggetto che è possibile ricevere e il relativo significato nel contesto di un dispositivo condiviso:

È necessario eseguire un controllo del tipo ed eseguire il cast all'interfaccia appropriata quando si ottiene l'oggetto PublicClientApplication. Il codice seguente verifica la presenza di modalità più account o account singolo ed esegue il cast appropriato dell'oggetto applicazione:

private IPublicClientApplication mApplication;

        // Running in personal-device mode?
        if (mApplication instanceOf IMultipleAccountPublicClientApplication) {
          IMultipleAccountPublicClientApplication multipleAccountApplication = (IMultipleAccountPublicClientApplication) mApplication;
          ...
        // Running in shared-device mode?
        } else if (mApplication instanceOf ISingleAccountPublicClientApplication) {
           ISingleAccountPublicClientApplication singleAccountApplication = (ISingleAccountPublicClientApplication) mApplication;
            ...
        }

Le differenze seguenti si applicano a seconda che l'app sia in esecuzione in un dispositivo condiviso o personale:

Inizializzare l'oggetto PublicClientApplication

Se si imposta "account_mode":"SINGLE" nel file di configurazione MSAL, è possibile eseguire il cast sicuro dell'oggetto applicazione restituito come ISingleAccountPublicCLientApplication.

private ISingleAccountPublicClientApplication mSingleAccountApp;

PublicClientApplication.create(
    this.getApplicationCOntext(),
    R.raw.auth_config_single_account,
    new PublicClientApplication.ApplicationCreatedListener() {

        @Override
        public void onCreated(IPublicClientApplication application){
            mSingleAccountApp = (ISingleAccountPublicClientApplication)application;
        }

        @Override
        public void onError(MsalException exception){
            /*Fail to initialize PublicClientApplication */
        }
    });

Rilevare la modalità di dispositivo condiviso

Il rilevamento della modalità di dispositivo condiviso è importante per l'applicazione. Molte applicazioni richiedono una modifica dell'esperienza utente quando l'applicazione viene usata in un dispositivo condiviso. Ad esempio l'applicazione potrebbe avere una funzionalità "Iscrizione", che non è appropriata per un operatore in prima linea perché è probabile che abbia già un account. È anche possibile aggiungere ulteriori elementi di sicurezza alla gestione dei dati dell'applicazione se questa è in modalità di dispositivo condiviso.

Usare l'API isSharedDevice in IPublicClientApplication per stabilire se un'app è in esecuzione in un dispositivo che è in modalità dispositivo condiviso.

I frammenti di codice seguenti mostrano esempi di uso dell'API isSharedDevice.

deviceModeTextView.setText(mSingleAccountApp.isSharedDevice() ? "Shared" : "Non-Shared");

Ottenere l'utente connesso e determinare se un utente è cambiato nel dispositivo

Un altro aspetto importante del supporto della modalità di dispositivo condiviso è stabilire lo stato dell'utente nel dispositivo e cancellare i dati dell'applicazione se è presente un nuovo utente o se non è presente alcun utente nel dispositivo. L'utente è responsabile di assicurare che i dati non vengano persi e resi noti a un altro utente.

È possibile usare l'API getCurrentAccountAsync per eseguire query sull'account attualmente connesso nel dispositivo.

Il metodo loadAccount recupera l'account dell'utente che ha eseguito l'accesso. Il metodo onAccountChanged determina se l'utente connesso è cambiato e, in tal caso, esegue la pulizia:

private void loadAccount()
{
  mSingleAccountApp.getCurrentAccountAsync(new ISingleAccountPublicClientApplication.CurrentAccountCallback())
  {
    @Override
    public void onAccountLoaded(@Nullable IAccount activeAccount)
    {
      if (activeAccount != null)
      {
        signedInUser = activeAccount;
        final AcquireTokenSilentParameters silentParameters = new AcquireTokenSilentParameters.Builder()
                        .fromAuthority(signedInUser.getAuthority())
                        .forAccount(signedInUser)
                        .withScopes(Arrays.asList(getScopes()))
                        .withCallback(getAuthSilentCallback())
                        .build();
        mSingleAccountApp.acquireTokenSilentAsync(silentParameters);
      }
    }
    @Override
    public void onAccountChanged(@Nullable IAccount priorAccount, @Nullable Iaccount currentAccount)
    {
      if (currentAccount == null)
      {
        //Perform a cleanup task as the signed-in account changed.
        cleaUp();
      }
    }
    @Override
    public void onError(@NonNull Exception exception)
    {
        //getCurrentAccountAsync failed
    }
  }
}

Effettuare l'accesso di un utente a livello globale

Quando un dispositivo è configurato come dispositivo condiviso, l'applicazione può chiamare l'API signIn per accedere all'account. L'account sarà disponibile a livello globale per tutte le app idonee nel dispositivo dopo l'accesso della prima app all'account.

final SignInParameters signInParameters = ... /* create SignInParameters object */
mSingleAccountApp.signIn(signInParameters);

Disconnettere un utente a livello globale

Il codice seguente rimuove l'account connesso e cancella i token memorizzati nella cache non solo dall'app, ma anche dal dispositivo in modalità dispositivo condiviso. Tuttavia non cancella i dati dall'applicazione. È necessario cancellare i dati dall'applicazione e cancellare i dati memorizzati nella cache che l'applicazione potrebbe mostrare all'utente.

mSingleAccountApp.signOut(new ISingleAccountPublicClientApplication.SignOutCallback() {
    @Override
    public void onSignOut() {
        // clear data from your application
    }

    @Override
    public void onError(@NonNull MsalException exception) {
        // signout failed, show error
    }
});

Ricevere la trasmissione per rilevare la disconnessione globale avviata da altre applicazioni

Per ricevere la trasmissione delle modifiche dell'account è necessario registrare un ricevitore di trasmissione. Si consiglia di registrare il ricevitore di trasmissione tramite i Ricevitori registrati dal contesto.

Quando viene ricevuta una trasmissione di modifiche dell'account, ottenere immediatamente l'utente connesso e determinare se un utente è cambiato nel dispositivo. Se viene rilevata una modifica, avviare la pulizia dei dati per l'account connesso in precedenza. È consigliabile arrestare correttamente le operazioni ed eseguire la pulizia dei dati.

Il frammento di codice seguente mostra come registrare un ricevitore di trasmissione.

private static final String CURRENT_ACCOUNT_CHANGED_BROADCAST_IDENTIFIER = "com.microsoft.identity.client.sharedmode.CURRENT_ACCOUNT_CHANGED";
private BroadcastReceiver mAccountChangedBroadcastReceiver;
private void registerAccountChangeBroadcastReceiver(){
    mAccountChangedBroadcastReceiver = new BroadcastReceiver() {
        @Override
        public void onReceive(Context context, Intent intent) {
            //INVOKE YOUR PRIOR ACCOUNT CLEAN UP LOGIC HERE
        }
    };
    IntentFilter filter = new

    IntentFilter(CURRENT_ACCOUNT_CHANGED_BROADCAST_IDENTIFIER);
    this.registerReceiver(mAccountChangedBroadcastReceiver, filter);
}

Applicazioni Microsoft che supportano la modalità di dispositivo condiviso

Queste applicazioni Microsoft supportano la modalità di dispositivo condiviso Microsoft Entra:

• Microsoft Teams
• Microsoft Viva Engage (in precedenza Yammer)
• Outlook
• Microsoft Power Apps
• Microsoft 365
• Microsoft Power BI Mobile
• Microsoft Edge
• Schermata iniziale gestita

MDM di terze parti che supportano la modalità dispositivo condiviso

Questi provider di gestione di dispositivi mobili (MDM) di terze parti supportano la modalità dispositivo condiviso Microsoft Entra:

• VMware Workspace One
• SOTI MobiControl
• 42Gears SureMDM

Disconnessione del dispositivo condiviso e ciclo di vita complessivo dell'app

Quando un utente si disconnette, è necessario intervenire per proteggere la privacy e i dati dell'utente. Ad esempio, se si sta creando un'app per le cartelle cliniche, ci si vuole assicurare che, quando l'utente si disconnette, le cartelle dei pazienti visualizzate in precedenza vengano cancellate. L'applicazione deve essere predisposta per la privacy dei dati e deve essere controllata ogni volta che entra in primo piano.

Quando l'app usa MSAL per disconnettere l'utente da un'app in esecuzione nel dispositivo in modalità condivisa, l'account connesso e i token memorizzati nella cache vengono rimossi sia dall'app che dal dispositivo.

Il diagramma seguente mostra il ciclo di vita complessivo dell'app e gli eventi comuni che possono verificarsi quando l'app è in esecuzione. Il diagramma comprende il momento dell'avvio di un'attività, l'accesso e la disconnessione di un account e il modo in cui eventi quali la pausa, la ripresa e l'interruzione dell'attività si inseriscono in questo contesto.

Passaggi successivi

Configurare un dispositivo Android per eseguire app in modalità dispositivo condiviso e testare l'app.

Modalità dispositivo condiviso per i dispositivi Android