SDK da Aplicação Intune para Android – Funcionalidades de participação de aplicações

O SDK da Aplicação Microsoft Intune para Android permite-lhe incorporar Intune políticas de proteção de aplicações (também conhecidas como políticas de APLICAÇÃO ou MAM) na sua aplicação Java/Kotlin Android nativa. Uma aplicação gerida Intune é uma aplicação integrada no SDK da Aplicação Intune. Intune administradores podem facilmente implementar políticas de proteção de aplicações na sua aplicação gerida Intune quando Intune gere ativamente a aplicação.

Fase 7: Funcionalidades de participação de aplicações

Fase Goals

• Saiba mais sobre as várias funcionalidades de participação da aplicação oferecidas pelo SDK da Aplicação Intune.
• Integrar funcionalidades de participação de aplicações relevantes para a sua aplicação e utilizadores.
• Teste a integração dessas funcionalidades.

O que são "Funcionalidades de Participação da Aplicação"?

Este processo de integração do SDK tenta minimizar a quantidade de código específico da aplicação que os programadores precisam de escrever. Ao concluir com êxito as fases anteriores da integração do SDK, a sua aplicação pode agora impor a maioria das definições de política de proteção de aplicações, tais como encriptação de ficheiros, restrições de cópia/colagem, bloqueio de captura de ecrã e restrições de transferência de dados.

No entanto, existem algumas definições que requerem código específico da aplicação para impor corretamente; são denominadas funcionalidades de participação de aplicações. Normalmente, o SDK não tem contexto suficiente sobre o código da aplicação ou o cenário do utilizador final para impor automaticamente estas definições e, por conseguinte, depende dos programadores para chamar adequadamente as APIs do SDK.

As funcionalidades de participação de aplicações não são necessariamente opcionais. Consoante as funcionalidades existentes da sua aplicação, estas funcionalidades podem ser necessárias. Veja Key Decisions for SDK integration (Decisões-chave para a integração do SDK ) para obter detalhes.

As fases anteriores deste guia já descreveram várias funcionalidades de participação de aplicações:

• Identidades múltiplas, conforme abrangido na Fase 5: Identidade Múltipla.
• Configuração da aplicação conforme abordado na Fase 6: Configuração de Aplicativos.

O resto deste guia descreve o conjunto restante de funcionalidades de participação de aplicações:

• Impor política que restringe guardar ficheiros em/abrir ficheiros a partir do armazenamento local ou na cloud.
• Impor política que restringe o conteúdo nas notificações.
• Impor a proteção de políticas de dados de cópia de segurança.
• Impor a política que restringe a captura de ecrã (se a sua aplicação tiver código de captura de ecrã personalizado).
• Suporte da AC de Proteção de Aplicações.
• Registe-se para receber notificações do SDK.
• Aplicar temas de aplicações personalizados.
• Utilize certificados fidedignos de Intune para garantir a cadeia de confiança para pontos finais no local.

Noções básicas da Funcionalidade de Participação de Aplicações

A interface AppPolicy contém muitos métodos que informam a sua aplicação sobre se determinadas ações são permitidas.

A maioria das funcionalidades de participação da aplicação envolve:

• Identificar o local certo no código da sua aplicação para marcar se for permitida uma ação.
• Chamar um AppPolicy método para marcar se for permitida uma ação, com base na política atualmente configurada.
• Consoante o resultado, permitir a conclusão da ação ou modificar o comportamento da aplicação quando a ação é bloqueada.

Para obter uma AppPolicy instância, utilize um dos métodos MAMPolicyManager , como getPolicy(final Context context) ou getPolicyForIdentityOID(final String oid).

Métodos informativos no AppPolicy

Nem todos os métodos no AppPolicy estão associados a uma funcionalidade de participação de aplicações. Alguns métodos são informativos, fornecendo dados da aplicação sobre as políticas que estão atualmente configuradas, mesmo que essas políticas sejam impostas automaticamente pelo SDK. Estes métodos existem para dar à sua aplicação oportunidades de apresentar experiência de utilizador personalizada quando são configuradas políticas específicas.

Exemplo: Determinar se as capturas de ecrã estão bloqueadas

Se a sua aplicação tiver um controlo que permita ao utilizador efetuar uma captura de ecrã, poderá querer desativar ou ocultar esse controlo se a Política de Proteção de Aplicações tiver capturas de ecrã bloqueadas.

A sua aplicação pode marcar isto ao chamar MAMPolicyManager.getPolicy(currentActivity).getIsScreenCaptureAllowed().

Política para limitar a transferência de dados entre aplicações e localizações de armazenamento na cloud ou dispositivo

Muitas aplicações permitem que o utilizador final guarde dados ou abra dados do armazenamento de ficheiros local ou dos serviços de armazenamento na cloud. O SDK da Aplicação Intune permite que os administradores de TI protejam contra entradas de dados e fugas de dados ao restringir onde as aplicações podem guardar e abrir dados.

Guardar no armazenamento em dispositivos ou na cloud

A getIsSaveToLocationAllowedForOID API permite que a sua aplicação saiba se guardar em determinadas localizações é permitido para uma determinada identidade, com base na política configurada:

MAMPolicyManager.getPolicy(currentActivity).getIsSaveToLocationAllowedForOID(
SaveLocation service, String oid);

Para determinar se a sua aplicação deve implementar o getIsSaveToLocationAllowedForOID marcar, determine se a aplicação suporta a saída de dados ao rever a seguinte tabela:

Os ficheiros colocados no armazenamento de aplicações privadas necessários para a operação da aplicação ou transferidos temporariamente para apresentação são sempre permitidos; não precisa de marcar getIsSaveToLocationAllowedForOID. Efetuar marcar SaveLocation.LOCAL para

1. Ficheiros guardados fora do armazenamento de aplicações privadas.
2. Ficheiros transferidos para o armazenamento de aplicações privadas que não são necessários para a operação da aplicação (por exemplo, o utilizador optou deliberadamente por transferir para o dispositivo).

Abrir dados a partir de uma localização de armazenamento local ou na cloud

A getIsOpenFromLocationAllowedForOID API permite que a sua aplicação saiba se a abertura a partir de determinadas localizações é permitida para uma determinada identidade, com base na política configurada:

MAMPolicyManager.getPolicy(currentActivity).getIsOpenFromLocationAllowedForOID(
OpenLocation location, String oid);

Para determinar se a sua aplicação deve implementar o getIsOpenFromLocationAllowedForOID marcar, determine se a sua aplicação suporta a entrada de dados ao rever a seguinte tabela:

Caixa de diálogo Partilha bloqueada

O SDK fornece uma caixa de diálogo para notificar o utilizador de que uma ação de transferência de dados foi bloqueada pela política de MAM.

A caixa de diálogo deve ser apresentada ao utilizador sempre que a getIsSaveToLocationAllowedForOID chamada à API ou getIsOpenFromLocationAllowedForOID resultar no bloqueio da ação guardar/abrir. A caixa de diálogo apresenta uma mensagem genérica e regressará à chamada Activity quando for dispensada.

Para apresentar a caixa de diálogo, adicione o seguinte código:

MAMUIHelper.showSharingBlockedDialog(currentActivity)

Permitir a partilha de ficheiros

Se não for permitido guardar em localizações de armazenamento público, a sua aplicação deverá permitir que o utilizador veja os ficheiros ao transferi-los para o armazenamento privado da aplicação e, em seguida, abri-los com o escolhidor do sistema.

Política para restringir conteúdo dentro de notificações

Para aplicações de identidade única, o comportamento predefinido do SDK da Aplicação Intune tentará bloquear todas as notificações quando a Política de Proteção de Aplicações restringir as notificações.

O comportamento predefinido do SDK é limitado. O SDK não consegue respeitar automaticamente o valor "Bloquear dados da organização", que se destina a remover apenas o conteúdo gerido das notificações. Para aplicações de várias identidades, o SDK não consegue determinar que notificações contêm conteúdo gerido.

Se a sua aplicação apresentar notificações e for de várias identidades e/ou quiser respeitar o valor "Bloquear dados da organização", tem de marcar a política de restrição de notificação da conta associada à notificação antes de apresentar a notificação.

Para determinar se a política é imposta, faça a seguinte chamada:

NotificationRestriction notificationRestriction =
    MAMPolicyManager.getPolicyForIdentityOID(notificationIdentityOid).getNotificationRestriction();

A enumeração devolvida NotificationRestriction tem os seguintes valores:

Se a sua aplicação não invocar getNotificationRestrictioncorretamente , o SDK de MAM fará um melhor esforço para restringir automaticamente as notificações apenas para aplicações de identidade única.

Neste caso, BLOCK_ORG_DATA é tratado da mesma forma BLOCKED que e a notificação não será apresentada.

Para um controlo mais detalhado, marcar o valor de e modifique as notificações da getNotificationRestriction aplicação adequadamente.

Política para proteger dados de cópia de segurança

O SDK da Aplicação Intune pode bloquear o carregamento de dados para a funcionalidade de cópia de segurança e restauro incorporada do Android. Para saber mais sobre a cópia de segurança e o restauro no Android, consulte o Guia da API para Android e as alterações introduzidas no Android S/12 aqui: Alterar para cópia de segurança e restauro.

Cópia de Segurança Automática para Aplicações

A partir do Android M, o Android começou a oferecer cópias de segurança completas automáticas para o Google Drive para aplicações, independentemente da API de destino da aplicação.

Intune permite-lhe utilizar todas as funcionalidades de cópia de segurança automática disponíveis a partir do Android, incluindo a capacidade de definir regras personalizadas no XML, com orientações de integração de Intune específicas para garantir que a proteção de dados é aplicada.

Configurar o comportamento da cópia de segurança no manifesto da aplicação

Por predefinição, android:allowBackup está definido como verdadeiro conforme descrito em ativar e desativar a cópia de segurança.

Se a sua aplicação não precisar da funcionalidade de cópia de segurança completa e restauro, defina android:allowBackup como falso. Neste caso, não é necessária mais nenhuma ação e os dados "empresariais" permanecerão na aplicação.

Se a sua aplicação necessitar da funcionalidade completa de cópia de segurança e restauro, defina android:allowBackup como verdadeiro e execute os seguintes passos adicionais:

1. Se a sua aplicação não utilizar o seu próprio personalizado BackupAgent, utilize o MAMBackupAgent predefinido para permitir cópias de segurança completas automáticas Intune em conformidade com a política. Coloque o seguinte no manifesto da aplicação:

   <application
   ...
     android:fullBackupOnly="true"
     android:backupAgent="com.microsoft.intune.mam.client.app.backup.MAMDefaultBackupAgent"
     ...>
     </application>
   

2. [Opcional] Se tiver implementado um personalizado BackupAgentopcional, tem de se certificar de que utiliza MAMBackupAgent ou MAMBackupAgentHelper. Veja as secções seguintes. Considere mudar para utilizar o MAMDefaultBackupAgent do Intune, descrito no passo 1, que fornece uma cópia de segurança fácil no Android M e superior.

3. Quando decidir que tipo de cópia de segurança completa a sua aplicação deve receber (não filtrada, filtrada ou nenhuma), terá de definir o atributo android:fullBackupContent como verdadeiro, falso ou um recurso XML na sua aplicação.

4. Em seguida, tem de copiar o valor para para android:fullBackupContent a com.microsoft.intune.mam.FullBackupContent etiqueta de metadados e para as aplicações que suportam o novo formato de configuração XML adicionado na API 31, para a com.microsoft.intune.mam.DataExtractionRules etiqueta de metadados.

   • Exemplo 1: se quiser que a sua aplicação tenha cópias de segurança completas sem exclusões, tem de definir os atributos e as etiquetas de metadados como verdadeiros:

     <application
       ...
       android:fullBackupContent="true"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="true" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="true" />
     

   • Exemplo 2: se pretender que a sua aplicação utilize o respetivo personalizado BackupAgent e opte ativamente por não utilizar cópias de segurança Intune automáticas e compatíveis com a política completa, tem de definir os atributos e as etiquetas de metadados como falsos:

     <application
       ...
       android:fullBackupContent="false"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="false" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="false" />
     

   • Exemplo 3: se quiser que a sua aplicação tenha cópias de segurança completas de acordo com as regras personalizadas definidas num ficheiro XML, defina o atributo e a etiqueta de metadados para o mesmo recurso XML:

     <application
       ...
       android:fullBackupContent="@xml/my_full_backup_content_scheme"
       android:dataExtractionRules="@xml/my_data_extraction_rules_scheme"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:resource="@xml/my_full_backup_content_scheme" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:resource="@xml/my_data_extraction_rules_scheme" />
     

Cópia de Segurança de Chave/Valor

A opção Cópia de Segurança chave/valor está disponível para todas as APIs 8 e carrega os dados da aplicação para o Serviço de Cópia de Segurança do Android. A quantidade de dados por aplicação está limitada a 5 MB. Se utilizar a Cópia de Segurança chave/valor, tem de utilizar um BackupAgentHelper ou um BackupAgent.

BackupAgentHelper

O BackupAgentHelper é mais fácil de implementar do que o BackupAgent em termos de funcionalidade nativa do Android e Intune integração MAM BackupAgentHelper permite ao programador registar ficheiros inteiros e preferências partilhadas para um FileBackupHelper e SharedPreferencesBackupHelper (respetivamente) que são adicionados ao BackupAgentHelper após a criação. Siga os passos abaixo para utilizar um BackupAgentHelper com Intune MAM:

1. Para utilizar a cópia de segurança de várias identidades com um BackupAgentHelper, siga o guia do Android para Expandir o BackupAgentHelper.

2. Peça à sua classe para expandir o MAM equivalente a BackupAgentHelper, FileBackupHelper e SharedPreferencesBackupHelper.

Seguir estas diretrizes levará a uma cópia de segurança e restauro de várias identidades com êxito.

BackupAgent

Um BackupAgent permite-lhe ser muito mais explícito sobre a cópia de segurança dos dados. Uma vez que o programador é bastante responsável pela implementação, são necessários mais passos para garantir a proteção de dados adequada contra Intune. Uma vez que a maior parte do trabalho é enviada para si, o programador Intune integração é ligeiramente mais envolvida.

Integrar MAM:

1. Leia atentamente o guia do Android para Cópia de Segurança chave/valor e, especificamente, Expandir o BackupAgent para garantir que a implementação do BackupAgent segue as diretrizes do Android.

2. Peça à sua classe para expandir MAMBackupAgent.

Cópia de Segurança de várias identidades:

1. Antes de iniciar a cópia de segurança, marcar que os ficheiros ou memórias intermédias de dados que planeia criar cópias de segurança são, de facto, permitidos pelo administrador de TI para fazer uma cópia de segurança em cenários de várias identidades. Utilize isBackupAllowed em MAMFileProtectionManager e MAMDataProtectionManager para determinar isto. Se não for permitida a cópia de segurança do ficheiro ou da memória intermédia de dados, não deve incluí-lo na cópia de segurança.

2. A dada altura, durante a cópia de segurança, se quiser criar uma cópia de segurança das identidades dos ficheiros que deu entrada no passo 1, tem de ligar backupMAMFileIdentity(BackupDataOutput data, File … files) com os ficheiros a partir dos quais planeia extrair dados. Esta ação irá criar automaticamente novas entidades de cópia de segurança e escrevê-las automaticamente BackupDataOutput . Estas entidades serão consumidas automaticamente após o restauro.

Restauro de várias identidades: O Guia de Cópia de Segurança de Dados especifica um algoritmo geral para restaurar os dados da sua aplicação e fornece um exemplo de código na secção Extending BackupAgent (Expandir BackupAgent ). Para ter um restauro de várias identidades bem-sucedido, tem de seguir a estrutura geral fornecida neste exemplo de código com especial atenção ao seguinte:

1. Tem de utilizar um while(data.readNextHeader())ciclo * para percorrer as entidades de cópia de segurança.

2. Tem de ligar data.skipEntityData()se data.getKey() não corresponder à chave que escreveu no onBackup. Sem efetuar este passo, os restauros poderão não ser bem-sucedidos.

3. Evite devolver enquanto consome entidades de cópia de segurança na while(data.readNextHeader())construção *, uma vez que as entidades que escrevemos automaticamente serão perdidas.

• Em data que é o nome da variável local para MAMBackupDataInput que é transmitido para a sua aplicação após o restauro.

Restrições de Captura de Ecrã Personalizada

Se a sua aplicação contiver uma funcionalidade de captura de ecrã personalizada que ignore a restrição ao nível FLAG_SECURE do WindowAndroid, tem de marcar política de captura de ecrã antes de permitir o acesso total à funcionalidade. Por exemplo, se a aplicação utilizar um motor de composição personalizado para compor a vista atual para um ficheiro PNG, primeiro tem de marcar AppPolicy.getIsScreenCaptureAllowed().

Suporte da AC de Proteção de Aplicações

A AC de Proteção de Aplicações (Acesso Condicional), também conhecida como AC baseada na aplicação, restringe o acesso aos recursos até que a sua aplicação seja gerida por Intune Políticas de Proteção de Aplicações. Microsoft Entra ID impõe isto ao exigir que a aplicação seja inscrita e gerida pela APP antes de conceder um token para aceder a um recurso protegido por AC.

Lidar com a não conformidade com a MSAL

Ao adquirir um token para uma conta, a biblioteca MSAL pode devolver ou emitir um MsalIntuneAppProtectionPolicyRequiredException para indicar não conformidade com a gestão de políticas de proteção de aplicações. Podem ser extraídos parâmetros adicionais da exceção para utilização na remediação da compatibilidade (veja MAMComplianceManager). Assim que a remediação for bem-sucedida, a aplicação pode reativar a aquisição do token através da MSAL.

MAMComplianceManager

A interface MAMComplianceManager é utilizada quando o erro necessário para a política é recebido do MSAL. Contém o método [remediateCompliance] que deve ser chamado para tentar colocar a aplicação num estado de conformidade. Uma referência ao pode ser obtida da MAMComplianceManager seguinte forma:

MAMComplianceManager mgr = MAMComponents.get(MAMComplianceManager.class);

// make use of mgr

É MAMComplianceManager garantido que a instância devolvida não é null.

package com.microsoft.intune.mam.policy;

public interface MAMComplianceManager {
    void remediateCompliance(String upn, String aadId, String tenantId, String authority, boolean showUX);
}

O remediateCompliance() método é chamado para tentar colocar a aplicação sob gestão para satisfazer as condições de Microsoft Entra ID para conceder o token pedido. Os primeiros quatro parâmetros podem ser extraídos da exceção recebida pelo método MSAL AuthenticationCallback.onError() (veja o exemplo de código abaixo). O parâmetro final é um booleano que controla se um UX é mostrado durante a tentativa de compatibilidade.

remediateCompliance apresenta uma caixa de diálogo de progresso de bloqueio simples para que as aplicações não precisem de mostrar o UX personalizado durante esta operação. Esta caixa de diálogo só será apresentada enquanto a remediação de compatibilidade estiver em curso; não irá apresentar o resultado final. A aplicação pode registar um recetor para a COMPLIANCE_STATUS notificação para lidar com o êxito ou a falha da tentativa de remediação de conformidade. Veja Compliance status notifications (Notificações de status de conformidade) para obter detalhes.

remediateCompliance() O pode iniciar uma inscrição MAM como parte do estabelecimento da conformidade. A aplicação poderá receber uma notificação de inscrição se tiver registado um recetor de notificação para notificações de inscrição. A aplicação registada MAMServiceAuthenticationCallback terá o respetivo acquireToken() método chamado para obter um token para a inscrição. acquireToken() será chamada antes de a aplicação ter adquirido o seu próprio token, pelo que quaisquer tarefas de criação de contabilidade ou conta que a aplicação efetue após uma aquisição com êxito do token poderão ainda não ter sido feitas. Neste caso, a chamada de retorno tem de ser capaz de adquirir um token.

Se não conseguir devolver um token do , a tentativa de remediação de acquireToken()compatibilidade falhará.

Se ligar updateToken mais tarde com um token válido para o recurso pedido, a remediação de compatibilidade será repetida imediatamente com o token especificado.

Eis um exemplo de como receber o erro necessário para a política no AuthenticationCallback.onError() método e chamar o MAMComplianceManager para processar o erro.

public void onError(@Nullable MsalException exc) {
    if (exc instanceof MsalIntuneAppProtectionPolicyRequiredException) {

        final MsalIntuneAppProtectionPolicyRequiredException policyRequiredException =
            (MsalIntuneAppProtectionPolicyRequiredException) ex;

        final String upn = policyRequiredException.getAccountUpn();
        final String aadId = policyRequiredException.getAccountUserId();
        final String tenantId = policyRequiredException.getTenantId();
        final String authority = policyRequiredException.getAuthorityURL();

        MAMComplianceManager complianceManager = MAMComponents.get(MAMComplianceManager.class);
        complianceManager.remediateCompliance(upn, aadId, tenantId, authority, showUX);
    }
}

Notificações de status de conformidade

Se a aplicação se registar para notificações do tipo COMPLIANCE_STATUS, será enviado um MAMComplianceNotification para informar a aplicação da status final da tentativa de remediação de compatibilidade. Veja Registar-se para obter notificações do SDK para obter detalhes sobre o registo.

public interface MAMComplianceNotification extends MAMUserNotification {
    MAMCAComplianceStatus getComplianceStatus();
    String getComplianceErrorTitle();
    String getComplianceErrorMessage();
}

O getComplianceStatus() método devolve o resultado da tentativa de remediação de compatibilidade como um valor da enumeração [MAMCAComplianceStatus].

Se a status de conformidade for MAMCAComplianceStatus.COMPLIANT, a aplicação deverá reiniciar a aquisição do token original (para o seu próprio recurso).

Se a tentativa de remediação de compatibilidade tiver falhado, os getComplianceErrorTitle() métodos e getComplianceErrorMessage() devolverão cadeias localizadas que a aplicação pode apresentar ao utilizador final, se assim o preferir. A maioria dos casos de erro não é remediada pela aplicação, pelo que, para o caso geral, pode ser melhor falhar a criação ou o início de sessão da conta e permitir que o utilizador tente novamente mais tarde.

Se uma falha for persistente, os registos de Portal da Empresa podem ajudar a determinar a causa. O utilizador final pode submeter os registos. Para obter mais informações, consulte Carregar e enviar registos de e-mail.

Eis um exemplo de registo de um recetor através de uma classe anónima para implementar a interface MAMNotificationReceiver:

final MAMNotificationReceiverRegistry notificationRegistry = MAMComponents.get(MAMNotificationReceiverRegistry.class);
// create a receiver
final MAMNotificationReceiver receiver = new MAMNotificationReceiver() {
    public boolean onReceive(MAMNotification notification) {
        if (notification.getType() == MAMNotificationType.COMPLIANCE_STATUS) {
            MAMComplianceNotification complianceNotification = (MAMComplianceNotification) notification;
            
            // take appropriate action based on complianceNotification.getComplianceStatus()
            
            // unregister this receiver if no longer needed
            notificationRegistry.unregisterReceiver(this, MAMNotificationType.COMPLIANCE_STATUS);
        }
        return true;
    }
};
// register the receiver
notificationRegistry.registerReceiver(receiver, MAMNotificationType.COMPLIANCE_STATUS);

Declarar suporte para a AC de Proteção de Aplicações

Assim que a sua aplicação estiver pronta para processar a remediação da AC da Aplicação, pode indicar à Identidade da Microsoft que a sua aplicação está pronta para a AC da Aplicação. Para fazê-lo na sua aplicação MSAL, crie o seu Cliente Público com as Capacidades de Cliente de "protapp"

{
      "client_id" : "[YOUR_CLIENT_ID]",
      "authorization_user_agent" : "DEFAULT",
      "redirect_uri" : "[YOUR_REDIRECT_URI]",
      "multiple_clouds_supported":true,
      "broker_redirect_uri_registered": true,
      "account_mode": "MULTIPLE",
      "client_capabilities": "protapp",
      "authorities" : [
        {
          "type": "AAD",
          "audience": {
            "type": "AzureADandPersonalMicrosoftAccount"
          }
        }
      ]
    }

Depois de concluir o procedimento acima, avance para Validar a AC de Proteção de Aplicações abaixo.

Notas de Implementação

AcquireTokenSilentParameters acquireTokenSilentParameters =
        builder.withScopes(Arrays.asList(scopes))
               .forceRefresh(false)
               .build();

acquireTokenSilentAsync(acquireTokenSilentParameters);

Registar-se para receber notificações do SDK

O guia do SDK da Aplicação Intune já abordou vários cenários em que a sua aplicação poderá ter de se registar para receber notificações do SDK, tais como:

• Processamento de aplicações WRONG_USER de várias identidades (veja Identidades Geridas vs. Não Geridas)
• Processamento de aplicações MANAGEMENT_REMOVED de várias identidades (veja Proteção da Memória Intermédia de Dados).
• Processamento de aplicações WIPE_USER_DATA de várias identidades ou WIPE_USER_AUXILIARY_DATA (veja Eliminação Seletiva).
• Aplicações que implementam o processamento REFRESH_APP_CONFIG de configuração de aplicações (veja Obter a configuração da aplicação a partir do SDK).

Esta secção descreve todos os tipos de notificação que o SDK pode enviar, quando e por que motivo a aplicação o quer escutar e como implementar um recetor de notificação.

Tipos de notificações

Todas as notificações do SDK implementam a interface MAMNotification , que tem uma única função, getType(), devolvendo uma enumeração MAMNotificationType .

A maioria das notificações são MAMUserNotifications, que fornecem informações específicas de uma única identidade. O OID da identidade pode ser obtido através da getUserOid() função e o UPN da identidade pode ser obtido através de getUserIdentity().

MAMEnrollmentNotification e MAMComplianceNotification expandem MAMUserNotificationainda mais o , que contêm resultados para tentativas de inscrição de um utilizador/dispositivo com o Serviço MAM e o resultado para tentar remediar a conformidade da AC de Proteção de Aplicações, respetivamente.

(*) As eliminações podem ocorrer por vários motivos, por exemplo:

• A aplicação denominada unregisterAccountForMAM.
• Um administrador de TI iniciou uma eliminação remota.
• Administração políticas de Acesso Condicional necessárias não foram satisfeitas.

MANAGEMENT_REMOVED

A MANAGEMENT_REMOVED notificação informa a aplicação de que uma conta anteriormente gerida por políticas está prestes a não ser gerida. Assim que a conta não for gerida, a aplicação deixará de conseguir ler os ficheiros encriptados dessa conta, ler os dados da conta encriptados com MAMDataProtectionManager, interagir com a área de transferência encriptada ou participar no ecossistema de aplicações geridas.

Isto não requer a eliminação de dados do utilizador ou a sessão do utilizador (se fosse necessária uma eliminação, seria enviada uma WIPE_USER_DATA notificação). Muitas aplicações podem não precisar de processar esta notificação, mas as aplicações que utilizam MAMDataProtectionManager têm de lidar com isto. Veja Proteção da Memória Intermédia de Dados para obter detalhes.

Quando o SDK chamar o recetor da MANAGEMENT_REMOVED aplicação, o seguinte será verdadeiro:

• O SDK já desencriptou ficheiros encriptados anteriormente (mas não memórias intermédias de dados protegidos) pertencentes à aplicação. Os ficheiros em localizações públicas no sdcard que não pertencem diretamente à aplicação (por exemplo, as pastas Documentos ou Transferir) não são desencriptados.

• Os novos ficheiros ou memórias intermédias de dados protegidos criados pelo método do recetor (ou qualquer outro código em execução após o início do recetor) não serão encriptados.

• A aplicação ainda tem acesso a chaves de encriptação, pelo que as operações como a desencriptação de memórias intermédias de dados serão bem-sucedidas.

Assim que o recetor da aplicação for devolvido, deixará de ter acesso às chaves de encriptação.

Implementar MAMNotificationReceiver

Para se registar para receber notificações do SDK, a aplicação tem de criar um MAMNotificationReceiver e registá-lo com MAMNotificationReceiverRegistry.

Para registar o recetor, chame registerReceiver com o recetor e o tipo de notificação pretendido no seu Application.onCreate método:

@Override
public void onCreate() {
  super.onCreate();
  MAMComponents.get(MAMNotificationReceiverRegistry.class)
    .registerReceiver(
      new ToastNotificationReceiver(),
      MAMNotificationType.WIPE_USER_DATA);
}

A implementação MAMNotificationReceiver da sua aplicação tem de incluir o onReceive(MAMNotification notification) método . Este método será invocado individualmente para cada notificação recebida e tem de devolver um boolean. Geralmente, este método deve sempre devolver true, a menos que a aplicação tenha encontrado uma falha ao responder a uma notificação.

Tal como acontece com outros tipos de recetores Android, a sua aplicação tem flexibilidade no processamento de notificações:

• Pode criar implementações MAMNotificationReceiver distintas para tipos de notificação distintos (descrito abaixo). Neste caso, certifique-se de que regista cada implementação e cada tipo de notificação separadamente.
• Pode utilizar uma única implementação MAMNotificationReceiver que contém lógica para responder a vários tipos de notificação distintos. Neste caso, tem de estar registado para cada tipo de notificação a que possa responder.
• Pode criar várias implementações MAMNotificationReceiver que cada uma responde ao mesmo tipo de notificação. Neste caso, ambos têm de estar registados no mesmo tipo de notificação.

Temas Personalizados

Um tema personalizado pode ser fornecido ao SDK da Aplicação Intune; este tema personalizado será aplicado a todos os ecrãs e caixas de diálogo do SDK. Se não for fornecido um tema, será utilizado o tema predefinido do SDK.

Fornecer um Tema Personalizado

Para fornecer um tema, tem de adicionar a seguinte linha de código no Application.onMAMCreate método :

MAMThemeManager.setAppTheme(R.style.AppTheme);

No exemplo acima, tem de substituir R.style.AppTheme pelo tema de estilo que pretende que o SDK aplique.

Gestão de Certificados de Raiz Fidedigna

Se a sua aplicação precisar de certificados SSL/TLS emitidos por uma autoridade de certificação no local ou privada para fornecer acesso seguro a sites e aplicações internos, o SDK da Aplicação Intune adicionou suporte para a gestão de confiança de certificados com as classes de API MAMTrustedRootCertsManager e MAMCertTrustWebViewClient.

A Gestão de Certificados de Raiz Fidedigna fornece suporte para:

• SSLContext
• SSLSocketFactory
• TrustManager
• WebView

Requisitos

• A Gestão de Certificados de Raiz Fidedigna requer uma licença do Microsoft Tunnel for Mobile Application Management. Para saber mais, visite: Microsoft Tunnel com Gestão de Aplicações Móveis.
• Configure políticas de Intune Configuração de Aplicativos para fornecer certificados de raiz fidedigna para aplicações de linha de negócio e o Edge no Android. Veja: Utilizar a VPN do Microsoft Tunnel com dispositivos Android que não se inscrevem no Microsoft Intune.

Utilizar Certificados de Raiz Fidedigna do Intune para Estabelecer Âncoras de Confiança

A Gestão de Certificados de Raiz Fidedigna permite que a sua aplicação utilize certificados de raiz fidedigna de Intune em combinação com certificados do dispositivo.

As classes de API MAMTrustedRootCertsManager e MAMCertTrustWebViewClient utilizam o Intune certificados de raiz fidedigna entregues através da Política de Configuração de Aplicativos como uma opção de contingência se os arquivos de certificados de raiz fidedigna do dispositivo não contiverem os certificados de raiz fidedigna necessários para estabelecer uma ligação segura aos recursos no local. Desta forma, a aplicação pode utilizar certificados de dispositivos e Intune para verificar ligações seguras e comunicação com origens fidedignas.

Para melhorar as definições de segurança de rede, uma aplicação pode utilizar o ficheiro XML de Configuração de Segurança de Rede. A Gestão de Certificados de Raiz Fidedigna respeita esta segurança adicional ao verificar se o XML de Configuração de Segurança de Rede da aplicação tem alguma destas funcionalidades:

• Âncoras de confiança personalizadas com ACs adicionais, como certificados autoassinados.
• Regras específicas do domínio para limitar as ACs fidedignas.
• Afixar conjuntos para certificados para domínios específicos.

Se alguma destas ações se aplicar a um domínio que está a ser verificado para fidedignidade, a Gestão de Certificados de Raiz Fidedigna ignorará as verificações de fidedignidade personalizadas deste domínio e permitirá que apenas os gestores de fidedignidade predefinidos da plataforma façam as verificações.

Classe MAMTrustedRootCertsManager

Esta classe fornece as seguintes APIs:

• createSSLContextForOID(String oid, String protocol): cria um SSLContext objeto que utiliza certificados de raiz fidedigna para a identidade especificada e o protocolo SSL/TLS especificado. O objeto devolvido SSLContext desta classe já está inicializado corretamente com X509TrustManager objetos que utilizam os certificados de raiz fidedigna combinados do dispositivo e do serviço MAM.
• createSSLSocketFactoryForOID(String oid, String protocol): cria um SSLSocketFactory objeto que utiliza certificados de raiz fidedigna para a identidade especificada e o protocolo SSL/TLS especificado. O objeto devolvido SSLSocketFactory é referenciado a partir do mesmo SSLContext objeto nesta classe.
• createX509TrustManagersForOID(String oid): cria uma matriz de X509TrustManager objetos que utilizam os certificados de raiz fidedigna combinados do dispositivo e o serviço MAM para a identidade especificada.

Eis alguns exemplos de utilização desta classe.

Exemplo a Utilizar HttpsUrlConnection

// Create an SSL socket factory using supplying the optional parameters identity and protocol
SSLSocketFactory sslSocketFactory = MAMTrustedRootCertsManager.createSSLSocketFactoryForOID(oid, "TLSv1.3");

// Create a URL object for the desired endpoint
URL url = new URL("https://example.com");

// Open a connection using the URL object
HttpsURLConnection httpsURLConnection = (HttpsURLConnection) url.openConnection();

// Set the SSL socket factory for the connection
httpsURLConnection.setSSLSocketFactory(sslSocketFactory);

// Perform any other configuration or operations on the connection as needed
...

Exemplo com OkHttpClient

// Get the TrustManager instances for an identity from the SDK
TrustManager[] trustManagers = MAMTrustedRootCertsManager.createX509TrustManagersForOID(oid);

// Get SSLContext from the platform
SSLContext sslContext = SSLContext.getInstance("TLSv1.3");

// Initialize the SSLContext with the trust managers from the Intune App SDK
sslContext.init(null, trustManagers, null);  

// Create an OkHttpClient.Builder object
OkHttpClient.Builder builder = new OkHttpClient.Builder();

// Set the SSLSocketFactory and the trust managers from the SDK
builder.sslSocketFactory(sslContext.socketFactory, trustManagers[0] as X509TrustManager).build();

// Build an OkHttpClient object from the builder
OkHttpClient okHttpClient = builder.build();

// Create a Request object for the desired endpoint
Request request = new Request.Builder().url("https://example.com").build();

// Execute the request using the OkHttpClient object and get a Response object
Response response = okHttpClient.newCall(request).execute();

// Perform any other operations on the response as needed
...

Classe MAMCertTrustWebViewClient

Esta classe fornece uma implementação personalizada da classe android.webkit.WebViewClient Android que fornece uma forma de lidar com o erro android.net.http.SslError.SSL_UNTRUSTED SSL no WebView. Ao processar o erro, a classe utiliza certificados de raiz fidedigna configurados no Intune e recebidos do serviço MAM para marcar a fiabilidade do anfitrião a partir do URL de destino que gerou o erro SSL no WebView. Se a implementação personalizada não processar o erro SSL, o comportamento predefinido herdado da superclasse será invocado. Ao utilizar esta classe, deve criar uma instância da mesma e, em seguida, chamar WebView.setWebViewClient(WebViewClient) para registá-la numa WebView instância.

Eis um exemplo de utilização desta classe.

Exemplo com o WebView

// Get the MAM implementation of WebViewClient from the Intune App SDK
MAMCertTrustWebViewClient mamCertTrustWebViewClient = new MAMCertTrustWebViewClient();

// Set the MAM WebViewClient from the SDK as the current handler on the instance of WebView
webView.setWebViewClient(mamCertTrustWebViewClient);

// Perform any other operations on WebView
...

Critérios de Saída

Veja Testar rapidamente com a alteração da política para facilitar os testes.

Validar guardar em/abrir a partir de restrições

Ignore se não implementou a Política para limitar a transferência de dados entre aplicações e localizações de armazenamento na cloud ou de dispositivos.

Refamiliarize-se em todos os cenários em que a sua aplicação pode guardar dados em serviços cloud ou dados locais e abrir dados a partir de serviços cloud ou dados locais.

Para simplificar, estes testes pressupõem que a sua aplicação inclui apenas suporte para guardar e abrir dados de OneDrive for Business a partir de uma única localização na aplicação. No entanto, tem de validar todas as combinações: cada localização de gravação suportada em todos os locais onde a sua aplicação permite guardar dados e todas as localizações abertas suportadas em todos os locais onde a sua aplicação permite abrir dados.

Para estes testes, instale a sua aplicação e o Portal da Empresa do Intune; inicie sessão com uma conta gerida antes de iniciar o teste. Além disso:

• Defina a política da conta gerida como:
  • "Enviar dados da organização para outras aplicações" para "Aplicações geridas por políticas".
  • "Receber dados de outras aplicações" para "Aplicações geridas por políticas".

Validar restrições de notificação

Ignore se não implementou a Política para restringir o conteúdo dentro das notificações.

No que diz respeito à Política de Proteção de Aplicações, a aplicação pode acionar três tipos diferentes de notificações:

1. Notificações que não contêm dados de conta.
2. Notificações que contêm dados pertencentes a uma conta gerida.
3. Notificações que contêm dados pertencentes a uma conta não gerida.

Se a sua aplicação for de identidade única, apenas as primeiras 2 são relevantes, uma vez que não serão aplicadas proteções se a única conta não for gerida.

As restrições de notificação podem ser validadas ao acionar os três tipos de notificações com valores de política diferentes configurados.

Para estes testes, instale a sua aplicação e o Portal da Empresa do Intune; inicie sessão com uma conta gerida antes de iniciar o teste. Se a sua aplicação for de várias identidades, inicie sessão na sua aplicação com uma conta não gerida.

Validar a cópia de segurança e o restauro de dados

Ignore se não implementou a Política para proteger os dados de cópia de segurança.

Familiarize-se novamente com o conteúdo (ficheiros e/ou pares chave-valor) que a sua aplicação configurou para cópia de segurança. Deve validar que apenas o conteúdo esperado faz parte do restauro. O conteúdo adicional no restauro pode levar a uma fuga de dados.

Para estes testes, instale a sua aplicação e o Portal da Empresa do Intune; inicie sessão com uma conta gerida antes de iniciar o teste. Se a sua aplicação for de várias identidades, inicie sessão na sua aplicação com uma conta não gerida.

Siga as instruções oficiais do Android para testar a cópia de segurança. Estas instruções diferem para cópias de segurança automáticas e cópias de segurança de chave/valor, por isso, siga de perto.

Validar a captura de ecrã personalizada na política

Ignore se não tiver implementado Restrições de Captura de Ecrã Personalizada.

Se a sua aplicação tiver uma funcionalidade que ignora o nível FLAG_SECUREdo AndroidWindow, confirme que esta funcionalidade está bloqueada pelas restrições de captura de ecrã da política de proteção de aplicações.

Para estes testes, instale a sua aplicação e o Portal da Empresa do Intune; inicie sessão com uma conta gerida antes de iniciar o teste.

Validar a AC de Proteção de Aplicações

Ignore se não implementou a AC de Proteção de Aplicações de Suporte.

Além dos passos de validação típicos da criação e atribuição da política de proteção de aplicações à sua aplicação e conta de teste, também tem de criar e atribuir uma política de Acesso Condicional de Proteção de Aplicações à sua conta de teste. Veja Configurar políticas de Acesso Condicional com base na aplicação com Intune para obter detalhes.

Passos de teste:

1. Desinstale o Microsoft Authenticator e Portal da Empresa do Intune antes de iniciar este teste.
2. Instale a sua aplicação.
3. Inicie sessão na sua aplicação com a sua conta de teste direcionada à política de proteção de aplicações e à política de AC baseada em aplicações.
4. Confirme se a sua aplicação lhe pede para instalar o Portal da Empresa.
5. Inicie sessão novamente.
6. Confirme se a sua aplicação lhe pede para registar o seu dispositivo. Siga as instruções. Se a sua aplicação não pedir o registo aqui, confirme que o dispositivo de teste desinstalou primeiro outras aplicações ativadas para SDK, Portal da Empresa e Authenticator. Se ainda assim não pedir, reveja as instruções de implementação acima.
7. Confirme que consegue aceder a todos os dados da aplicação após o registo.

Validar recetores de notificação

Ignore se não implementou o Registo para notificações do SDK.

Os passos de validação dependem do tipo de notificações que a sua aplicação registou. Para todos os tipos de notificações, adicione registos para garantir que o recetor está a ser invocado corretamente.

MAM_ENROLLMENT_RESULT pode ser acionado simplesmente iniciando sessão na sua aplicação com uma conta direcionada com a política de proteção de aplicações.

REFRESH_APP_CONFIGe REFRESH_POLICY podem ser acionados ao atualizar as respetivas políticas de Configuração de Aplicativos e política de proteção de aplicações direcionadas para a sua conta de teste e aguardando que o SDK receba a política atualizada.

MANAGEMENT_REMOVED, WIPE_USER_DATA, WIPE_USER_AUXILIARY_DATA, as WIPE_COMPLETED notificações podem ser acionadas através da emissão de uma eliminação seletiva de Microsoft Intune.

Validar temas personalizados

Ignore se não implementou Temas Personalizados.

O suporte de temas personalizados pode ser validado ao inspecionar as cores nas caixas de diálogo do SDK. A caixa de diálogo mais simples para marcar é o ecrã PIN da MAM.

Pré-condições:

• Defina a política da conta gerida como:
  • "PIN para acesso" a "Obrigatório".
• Instale a sua aplicação e o Portal da Empresa do Intune.

Passos de Teste:

1. Inicie a aplicação e inicie sessão com a conta de teste.
2. Confirme que o ecrã do PIN de MAM é apresentado e se tem um tema com base no tema personalizado que forneceu ao SDK.

Próximas etapas

Se seguiu este guia por ordem e concluiu todos os Critérios de Saída acima, parabéns, a sua aplicação está agora totalmente integrada no SDK da Aplicação Intune e pode impor políticas de proteção de aplicações! Se ignorou uma das secções anteriores de participação da aplicação, Fase 5: Identidade Múltipla e Fase 6: Configuração de Aplicativos e não tem a certeza se a sua aplicação deve suportar estas funcionalidades, reveja As Decisões-chave para a integração do SDK.

Proteção de aplicativos é agora um cenário essencial para a sua aplicação. Continue a referir-se a este guia e ao Apêndice à medida que continua a desenvolver a sua aplicação.