Sécurisation et configuration de l'application mobile Qlik Analytics avec Microsoft Intune

L'application mobile Qlik Analytics offre aux équipes sur le terrain un accès sécurisé aux analyses Qlik Cloud sur leurs appareils mobiles. Vous pouvez utiliser Microsoft Intune et Microsoft Entra ID pour contrôler l'accès, protéger les données de l'entreprise et fournir les paramètres dont les utilisateurs ont besoin pour se connecter à votre client Qlik Cloud.

Cette rubrique couvre la configuration des stratégies de protection des applications Intune, des stratégies de configuration des applications et des contrôles d'accès Qlik Cloud pour gérer et sécuriser l'application mobile Qlik Analytics sur les appareils Android et iOS.

Configuration de Microsoft Intune pour l'application mobile Qlik Analytics dans Microsoft Entra ID

Cette section décrit les principales étapes pour inscrire et gérer l'application mobile Qlik Analytics dans Entra ID et dans Intune. Configurez Entra ID et Intune selon les exigences de votre organisation. Pour des instructions détaillées sur l'inscription de l'application, consultez la documentation Microsoft Intune.

Inscription de l'application Qlik Analytics dans Microsoft Entra ID

Inscrivez l'application mobile Qlik Analytics dans Microsoft Entra ID pour pouvoir l'utiliser avec Microsoft Intune.

Procédez comme suit :

1. Dans Entra ID, accédez à Inscriptions d'applications et sélectionnez Nouvelle inscription.

2. Sélectionnez le lien vers Applications d'entreprise, car vous intégrez une application inscrite globalement.

3. Recherchez l'ID de l'application : 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Il s'agit de l'inscription globale de l'application Qlik.

4. Si nécessaire, l'administrateur Intune peut lancer l'inscription en se connectant et en consultant :

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. Une fois que l'application mobile Qlik Analytics est ajoutée et apparaît sous Applications d'entreprise, effectuez les opérations suivantes :

   • Attribuez des utilisateurs et des groupes si vous souhaitez limiter l'accès à l'application.

   • Sous Autorisations, accordez le consentement administrateur pour votre domaine.

Conseils relatifs à la stratégie d'accès conditionnel

L'application mobile Qlik Analytics est enregistrée globalement dans Microsoft Entra ID avec l'ID d'application 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Cet enregistrement apparaît sous la forme d'une application cloud dans votre client. Toute stratégie d'accès conditionnel limitée à Toutes les applications cloud s'applique à cet enregistrement d'application.

Accès conditionnel et flux d'authentification

Le flux d'authentification Autorisé avec Intune comprend deux étapes de connexion :

1. Authentification d'application (connexion MSAL)

   L'application mobile Qlik Analytics utilise MSAL pour authentifier l'utilisateur auprès d'Entra. Les stratégies MAM Intune sont évaluées au cours de cette étape.

2. Connexion Qlik Cloud basée sur un navigateur

   L'application ouvre un navigateur externe sur l'appareil pour effectuer l'authentification Qlik Cloud. Pour les flux Intune, Microsoft Edge est appliqué.

Dans cette deuxième étape, Entra évalue le navigateur — et non l'application mobile Qlik Analytics — comme application cliente lors de l'application de stratégies d'accès conditionnel pour l'enregistrement d'application. Tout contrôle d'octroi appliqué à l'enregistrement d'application doit être supporté par le navigateur utilisé à cette étape.

Considérations relatives à la portée de l'accès conditionnel

Étant donné que l'enregistrement d'application Qlik Analytics est visible sous forme d'application cloud dans votre client, les stratégies d'accès conditionnel axées sur Toutes les applications cloud s'appliquent également à l'étape de connexion du navigateur.

Si une stratégie utilise Exiger une stratégie de protection des applications comme contrôle d'octroi, le navigateur utilisé à l'étape de connexion Qlik doit remplir cette condition indépendamment. Pour ce faire, il faut que Microsoft Edge dispose d'une stratégie de protection des applications Intune déployée pour vos utilisateurs. Si Edge n'est pas couvert par une stratégie de protection des applications, il se peut que l'étape de connexion du navigateur soit bloquée.

Avant le déploiement

Avant de déployer l'application mobile Qlik Analytics avec la contrainte MAM Intune, vérifiez auprès de votre administrateur Microsoft Entra ou Intune comment vos stratégies d'accès conditionnel existantes s'appliquent au navigateur utilisé à l'étape de connexion Qlik.

Qlik ne fournit pas de conseils sur la configuration des stratégies d'accès conditionnel Entra ni sur les configurations de déploiement Intune plus larges. Pour obtenir des conseils, consultez En savoir plus sur l'accès conditionnel et Intune dans la documentation Microsoft.

Configuration de l'accès mobile avec MAM dans Qlik Cloud

La contrainte (MAM) Intune est contrôlée par l'autorisation d'accès mobile attribuée aux utilisateurs et aux groupes dans le centre d'activités Administration de Qlik Cloud. Il s'agit de la principale étape de configuration côté Qlik, et elle doit être effectuée en parallèle de votre configuration Intune et Entra.

Autorisations d'accès mobile

Vous configurez les autorisations d'accès mobile dans le centre d'activités Administration > Gérer les utilisateurs > Autorisations.

Ouvrez les paramètres d'autorisation du rôle Utilisateur par défaut ou d'un rôle personnalisé, développez Fonctionnalités et actions et localisez Mobile > Application mobile native.

Pour plus d'informations sur les paramètres d'autorisation, consultez Définition de l'accès à l'application mobile Qlik Analytics.

Conseils d'attribution des autorisations pour les clients gouvernés par Intune

Pour les clients qui utilisent la protection des applications Intune, attribuez Autorisé avec Intune à tous les utilisateurs et à tous les groupes qui nécessitent un accès mobile, quel que soit l'état de gestion de l'appareil.

Pourquoi Accordé n'est pas suffisant pour les utilisateurs gouvernés par Intune

L'autorisation d'accès mobile s'applique à l'utilisateur et non à l'appareil. Si un utilisateur se voit attribuer Accordé sur son appareil d'entreprise inscrit auprès de MDM, il conserve la même autorisation d'accès lorsqu'il se connecte sur un appareil personnel non géré.

Cet appareil personnel n'a aucune inscription MDM et aucun broker Intune. Avec l'autorisation d'accès de l'utilisateur définie sur Accordé, l'application mobile Qlik Analytics ne nécessite pas d'inscription Intune et l'accès est accordé sans appliquer de stratégies de protection des applications. L'utilisateur peut accéder au client à partir d'un appareil non géré sans protection Intune, contournant ainsi les stratégies Intune de votre organisation.

Modèle d'affectation recommandé pour les clients gouvernés par Intune

Utilisez Accordé uniquement pour les clients ou les groupes pour lesquels la protection des applications Intune n'est pas requise, tels que les clients internes non-Intune ou des comptes de service spécifiques.

Compatibilité du fournisseur d'identité

La contrainte MAM Intune nécessite Microsoft Entra ID comme fournisseur d'identité (IdP) pour votre client Qlik Cloud. Le tableau suivant récapitule la compatibilité des applications mobiles avec les différentes configurations de fournisseur d'identité.

Considérations importantes

Les stratégies de protection des applications contrôlent les applications qui peuvent partager des données entre elles.

• Si les utilisateurs doivent envoyer des e-mails de diagnostic depuis l'application mobile Qlik Analytics, la stratégie doit autoriser le transfert de données entre les applications.

• L'application mobile Qlik Analytics nécessite un accès au navigateur de l'appareil pour terminer la connexion. Votre stratégie de protection des applications doit le permettre.

• Paramètres de stratégies des applications Intune clés à examiner :

  • Protection des données > Envoyer les données de l'organisation à d'autres applications

  • Protection des données > Sélectionner les applications à exempter (com.qlik.qsm)

  • Fonctionnalité > Restreindre le transfert de contenu web avec d'autres applications—en cas de configuration pour ouvrir des URL dans Microsoft Edge, la page de connexion Qlik Cloud s'ouvre dans Edge. Edge effectue alors sa propre authentification Microsoft avant d'afficher la page. Si vos stratégies d'accès conditionnel appliquent un contrôle d'octroi à Toutes les applications cloud ou à l'enregistrement de votre application IdP, ce contrôle d'octroi est évalué par rapport à Edge à ce stade. Consultez Conseils relatifs à la stratégie d'accès conditionnel pour connaître les implications des différents contrôles d'octroi à ce point d'évaluation.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}