Sichern und Konfigurieren der mobilen App von Qlik Analytics mit Microsoft Intune

Die mobile App von Qlik Analytics bietet Außendienstteams sicheren Zugriff auf Qlik Cloud-Analysen auf ihren mobilen Geräten. Sie können Microsoft Intune und Microsoft Entra ID verwenden, um den Zugriff zu steuern, Unternehmensdaten zu schützen und die Einstellungen bereitzustellen, die Benutzer benötigen, um sich mit Ihrem Qlik Cloud-Mandanten zu verbinden.

In diesem Thema wird erläutert, wie Sie Intune-App-Schutzrichtlinien, App-Konfigurationsrichtlinien und Qlik Cloud Zugriffssteuerungen konfigurieren, um die Qlik Analytics Mobil-App auf Android- und iOS-Geräten zu verwalten und zu sichern.

Einrichten von Microsoft Intune für die mobile App von Qlik Analytics in Microsoft Entra ID

Dieser Abschnitt beschreibt die wichtigsten Schritte zum Registrieren und Verwalten der Qlik Analytics mobilen App in Entra ID und Intune. Konfigurieren Sie Entra ID und Intune entsprechend den Anforderungen Ihrer Organisation. Detaillierte Anweisungen zur Anwendungsregistrierung finden Sie in der Microsoft Intune-Dokumentation.

Registrieren der Qlik Analytics-App in Microsoft Entra ID

Registrieren Sie die mobile App von Qlik Analytics in Microsoft Entra ID, um sie mit Microsoft Intune zu verwenden.

Gehen Sie folgendermaßen vor:

1. Gehen Sie in Entra ID zu App-Registrierungen und wählen Sie Neue Registrierung aus.

2. Wählen Sie den Link zu Unternehmensanwendungen aus, da Sie eine global registrierte Anwendung integrieren.

3. Suchen Sie nach der Anwendungs-ID: 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Dies ist die globale Registrierung der Qlik App.

4. Falls erforderlich, kann der Intune-Administrator die Registrierung initiieren, indem er sich anmeldet und folgende Seite besucht:

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. Sobald die mobile App von Qlik Analytics hinzugefügt wurde und unter Unternehmensanwendungen angezeigt wird, führen Sie Folgendes aus:

   • Weisen Sie Benutzer und Gruppen zu, wenn Sie den Zugriff auf die App einschränken möchten.

   • Erteilen Sie unter Berechtigungen die Administratorzustimmung für Ihre Domäne.

Anleitung zur Richtlinie für bedingten Zugriff

Die Qlik Analytics Mobil-App ist global in Microsoft Entra ID mit der Anwendungs-ID 53dfc2c0-8711-4bb3-a48f-b384ff663ab9 registriert. Diese Registrierung wird als Cloud-Anwendung in Ihrem Mandanten angezeigt. Jede Richtlinie für bedingten Zugriff, deren Anwendungsbereich Alle Cloud-Apps umfasst, gilt für diese App-Registrierung.

Bedingter Zugriff und Authentifizierungsfluss

Der Authentifizierungsfluss Mit Intune zulässig umfasst zwei Anmeldeschritte:

1. App-Authentifizierung (MSAL-Anmeldung)

   Die Qlik Analytics Mobil-App verwendet MSAL zur Authentifizierung des Benutzers mit Entra. Intune MAM-Richtlinien werden in diesem Schritt ausgewertet.

2. Browserbasierte Qlik Cloud-Anmeldung

   Über die App wird ein externer Browser auf dem Gerät geöffnet, um die Qlik Cloud Authentifizierung abzuschließen. Für Intune-Flüsse wird Microsoft Edge erzwungen.

In diesem zweiten Schritt wertet Entra den Browser – nicht die Qlik Analytics Mobil-App – als Client-Anwendung aus, wenn Richtlinien für bedingten Zugriff auf die App-Registrierung angewendet werden. Jede auf die App-Registrierung angewendete Gewährungskontrolle muss vom in diesem Schritt verwendeten Browser unterstützt werden.

Überlegungen zum Anwendungsbereich des bedingten Zugriffs

Da die Qlik Analytics App-Registrierung als Cloud-Anwendung in Ihrem Mandanten angezeigt wird, gelten Richtlinien für bedingten Zugriff mit dem Anwendungsbereich Alle Cloud-Apps auch für den Browser-Anmeldeschritt.

Wenn eine Richtlinie App-Schutzrichtlinie erforderlich als Gewährungssteuerung verwendet, muss der im Qlik Anmeldeschritt verwendete Browser diese Anforderung unabhängig erfüllen. Dies erfordert, dass für Microsoft Edge eine Intune App-Schutzrichtlinie für Ihre Benutzer bereitgestellt wird. Wenn Edge nicht durch eine App-Schutzrichtlinie abgedeckt ist, kann der Browser-Anmeldeschritt blockiert werden.

Vor der Bereitstellung

Bevor Sie die Qlik Analytics Mobil-App mit Intune MAM-Erzwingung bereitstellen, erkundigen Sie sich bei Ihrem Microsoft Entra- oder Intune-Administrator, wie Ihre vorhandenen Richtlinien für bedingten Zugriff auf den Browser angewendet werden, der im Qlik Anmeldeschritt verwendet wird.

Qlik bietet keine Hilfestellung zur Konfiguration von Entra-Richtlinien für bedingten Zugriff oder umfassenderen Intune-Bereitstellungskonfigurationen. Weitere Informationen finden Sie in der Microsoft-Dokumentation unter Erfahren Sie mehr über bedingtem Zugriff und Intune.

Konfigurieren des mobilen Zugriffs mit MAM in Qlik Cloud

Die Intune (MAM)-Erzwingung wird durch die Berechtigung für den mobilen Zugriff gesteuert, die Benutzern und Gruppen im Qlik Cloud Aktivitätscenter „Administration“ zugewiesen ist. Dies ist der wichtigste Konfigurationsschritt auf Qlik Seite. Er muss zusammen mit Ihrer Intune- und Entra-Konfiguration abgeschlossen werden.

Berechtigungen für den mobilen Zugriff

Sie konfigurieren die Berechtigungen für den mobilen Zugriff im Aktivitätscenter Administration > Benutzer verwalten > Berechtigungen.

Öffnen Sie die Berechtigungseinstellungen für die Rolle „Benutzerstandard“ oder eine benutzerdefinierte Rolle, erweitern Sie Funktionen und Aktionen und suchen Sie Mobil > Native Mobil-App.

Weitere Informationen zu den Berechtigungseinstellungen finden Sie unter Festlegen des Zugriffs auf die Qlik Analytics Mobil-App.

Hilfestellung zur Berechtigungszuweisung für von Intune verwaltete Mandanten

Für Mandanten, die Intune-App-Schutz verwenden, weisen Sie Mit Intune zulässig allen Benutzern und Gruppen zu, die mobilen Zugriff benötigen, unabhängig vom Geräteverwaltungsstatus.

Warum „Zulässig“ für von Intune verwaltete Benutzer nicht ausreicht

Die Berechtigung für mobilen Zugriff gilt für den Benutzer, nicht für das Gerät. Wenn einem Benutzer auf seinem unternehmenseigenen, MDM-registrierten Gerät Zulässig zugewiesen ist, hat er dieselbe Zugriffsberechtigung, wenn er sich auf einem persönlichen, nicht verwalteten Gerät anmeldet.

Dieses persönliche Gerät hat keine MDM-Registrierung und keinen Intune-Broker. Wenn die Zugriffsberechtigung des Benutzers auf Zulässig festgelegt ist, erfordert die Qlik Analytics Mobil-App keine Intune-Registrierung, und der Zugriff wird ohne Anwendung von App-Schutzrichtlinien gewährt. Der Benutzer kann von einem nicht verwalteten Gerät ohne Intune-Schutz auf den Mandanten zugreifen und dabei die Intune-Richtlinien Ihrer Organisation umgehen.

Empfohlenes Zuweisungsmuster für Intune-verwaltete Mandanten

Verwenden Sie Zulässig nur für Mandanten oder Gruppen, bei denen kein Intune-App-Schutz erforderlich ist, z. B. interne Nicht-Intune-Mandanten oder bestimmte Dienstkonten.

Kompatibilität des Identitätsanbieters

Die Erzwingung von Intune MAM erfordert Microsoft Entra ID als Identitätsanbieter (IdP) für Ihren Qlik Cloud Mandanten. In der folgenden Tabelle wird die Unterstützung von Mobil-Apps über Identitätsanbieterkonfigurationen hinweg zusammengefasst.

Wichtige Überlegungen

App-Schutzrichtlinien steuern, welche Apps Daten miteinander teilen können.

• Wenn Benutzer Diagnose-E-Mails von der mobilen App von Qlik Analytics senden müssen, muss die Richtlinie die Datenübertragung zwischen Apps zulassen.

• Die Qlik Analytics Mobil-App benötigt Zugriff auf den Gerätebrowser, um die Anmeldung abzuschließen. Ihre App-Schutzrichtlinie muss dies zulassen.

• Wichtige Intune-App-Richtlinieneinstellungen, die überprüft werden sollten, sind:

  • Datenschutz > Organisationsdaten an andere Apps senden

  • Datenschutz > Apps zum Freistellen auswählen (com.qlik.qsm)

  • Funktionalität > Webinhaltsübertragung mit anderen Apps einschränken – wenn für das Öffnen von URLs in Microsoft Edge konfiguriert, wird die Qlik Cloud Anmeldeseite in Edge geöffnet. Edge führt dann eine eigene Microsoft-Authentifizierung durch, bevor die Seite gerendert wird. Wenn Ihre Richtlinien für bedingten Zugriff eine Gewährungskontrolle auf Alle Cloud-Apps oder auf Ihre IdP-App-Registrierung anwenden, wird diese Gewährungskontrolle an dieser Stelle für Edge ausgewertet. Siehe Anleitung zur Richtlinie für bedingten Zugriff für die Auswirkungen verschiedener Gewährungskontrollen in diesem Auswertungspunkt.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}