De mobiele Qlik Analytics-app beveiligen en configureren met Microsoft Intune

De mobiele Qlik Analytics-app geeft buitendienstteams veilige toegang tot Qlik Cloud-analyses op hun mobiele apparaten. U kunt Microsoft Intune en Microsoft Entra ID gebruiken om de toegang te beheren, bedrijfsgegevens te beschermen en de instellingen te bieden die gebruikers nodig hebben om verbinding te maken met uw Qlik Cloud-tenant.

Dit onderwerp behandelt het configureren van Intune-appbeveiligingsbeleid, appconfiguratiebeleid en Qlik Cloud-toegangscontroles om de mobiele Qlik Analytics-app op Android- en iOS-apparaten te beheren en te beveiligen.

Microsoft Intune instellen voor de mobiele Qlik Analytics-app in Microsoft Entra ID

In deze sectie worden de belangrijkste stappen beschreven voor het registreren en beheren van de mobiele Qlik Analytics-app in Entra ID en Intune. Configureer Entra ID en Intune volgens de vereisten van uw organisatie. Zie de Microsoft Intune-documentatie voor gedetailleerde instructies over applicatieregistratie.

De Qlik Analytics-app registreren in Microsoft Entra ID

Registreer de mobiele Qlik Analytics-app in Microsoft Entra ID om deze te gebruiken met Microsoft Intune.

Doe het volgende:

1. Ga in Entra ID naar App-registraties en selecteer Nieuwe registratie.

2. Selecteer de koppeling naar Bedrijfstoepassingen, aangezien u een wereldwijd geregistreerde applicatie integreert.

3. Zoek naar de applicatie-ID: 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Dit is de wereldwijde app-registratie van Qlik.

4. Indien nodig kan de Intune-beheerder de registratie starten door zich aan te melden en naar het volgende te gaan:

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. Zodra de mobiele Qlik Analytics-app is toegevoegd en wordt weergegeven onder Bedrijfstoepassingen, voltooit u het volgende:

   • Wijs gebruikers en groepen toe als u wilt beperken wie toegang heeft tot de app.

   • Verleen onder Machtigingen beheerderstoestemming voor uw domein.

Richtlijnen voor beleid voor voorwaardelijke toegang

De mobiele Qlik Analytics-app is wereldwijd geregistreerd in Microsoft Entra ID met applicatie-ID 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Deze registratie wordt weergegeven als een cloudapplicatie in uw tenant. Elk beleid voor voorwaardelijke toegang dat is afgestemd op Alle cloud-apps is van toepassing op deze app-registratie.

Voorwaardelijke toegang en verificatiestroom

De verificatiestroom Toegestaan met Intune omvat twee aanmeldingsstappen:

1. App-verificatie (MSAL-aanmelding)

   De mobiele Qlik Analytics-app gebruikt MSAL om de gebruiker te verifiëren bij Entra. Intune MAM-beleid wordt tijdens deze stap geëvalueerd.

2. Browsergebaseerde Qlik Cloud-aanmelding

   De app opent een externe browser op het apparaat om de Qlik Cloud-verificatie te voltooien. Voor Intune-stromen wordt Microsoft Edge afgedwongen.

In deze tweede stap evalueert Entra de browser — niet de mobiele Qlik Analytics-app — als de clientapplicatie bij het toepassen van beleid voor voorwaardelijke toegang voor de app-registratie. Elke toekenningscontrole die wordt toegepast op de app-registratie moet worden ondersteund door de browser die in deze stap wordt gebruikt.

Overwegingen voor het bereik van voorwaardelijke toegang

Omdat de Qlik Analytics-app-registratie zichtbaar is als een cloudapplicatie in uw tenant, is beleid voor voorwaardelijke toegang dat is afgestemd op Alle cloud-apps ook van toepassing op de browseraanmeldingsstap.

Als een beleid App-beveiligingsbeleid vereisen gebruikt als toekenningscontrole, moet de browser die wordt gebruikt in de Qlik-aanmeldingsstap onafhankelijk aan deze vereiste voldoen. Hiervoor is vereist dat voor Microsoft Edge een Intune-appbeveiligingsbeleid is geïmplementeerd voor uw gebruikers. Als Edge niet wordt gedekt door een appbeveiligingsbeleid, kan de browseraanmeldingsstap worden geblokkeerd.

Vóór implementatie

Voordat u de mobiele Qlik Analytics-app implementeert met het afdwingen van Intune MAM, moet u bij uw Microsoft Entra- of Intune-beheerder nagaan hoe uw bestaande beleid voor voorwaardelijke toegang van toepassing is op de browser die wordt gebruikt in de Qlik-aanmeldingsstap.

Qlik biedt geen begeleiding bij het configureren van Entra-beleid voor voorwaardelijke toegang of bredere Intune-implementatieconfiguraties. Zie Meer informatie over voorwaardelijke toegang en Intune in de Microsoft-documentatie voor begeleiding.

Mobiele toegang configureren met MAM in Qlik Cloud

Het afdwingen van Intune (MAM) wordt beheerd door de machtiging voor mobiele toegang die is toegewezen aan gebruikers en groepen in het activiteitencentrum Qlik Cloud-beheer. Dit is de belangrijkste configuratiestap aan de Qlik-kant en moet worden voltooid naast uw Intune- en Entra-configuratie.

Machtigingen voor mobiele toegang

U configureert machtigingen voor mobiele toegang in het activiteitencentrum Beheer > Gebruikers beheren > Machtigingen.

Open de machtigingsinstellingen voor de Gebruikersstandaard of een aangepaste rol, vouw Functies en acties uit en zoek Mobiel > Systeemeigen mobiele app.

Zie Toegang instellen tot de mobiele Qlik Analytics-app voor meer informatie over de machtigingsinstellingen.

Richtlijnen voor het toewijzen van machtigingen voor door Intune beheerde tenants

Wijs voor tenants die Intune-appbeveiliging gebruiken Toegestaan met Intune toe aan alle gebruikers en groepen die mobiele toegang nodig hebben, ongeacht de status van apparaatbeheer.

Waarom Toegestaan niet voldoende is voor door Intune beheerde gebruikers

De machtiging voor mobiele toegang is van toepassing op de gebruiker, niet op het apparaat. Als aan een gebruiker Toegestaan is toegewezen op zijn zakelijke, voor MDM ingeschreven apparaat, heeft deze dezelfde toegangsmachtiging wanneer hij zich aanmeldt op een persoonlijk, onbeheerd apparaat.

Dat persoonlijke apparaat heeft geen MDM-inschrijving en geen Intune-broker. Als de toegangsmachtiging van de gebruiker is ingesteld op Toegestaan, vereist de mobiele Qlik Analytics-app geen Intune-inschrijving en wordt toegang verleend zonder dat appbeveiligingsbeleid wordt toegepast. De gebruiker heeft toegang tot de tenant vanaf een onbeheerd apparaat zonder Intune-beveiliging, waardoor het Intune-beleid van uw organisatie wordt omzeild.

Aanbevolen toewijzingspatroon voor door Intune beheerde tenants

Gebruik Toegestaan alleen voor tenants of groepen waarvoor Intune-appbeveiliging niet is vereist, zoals interne niet-Intune-tenants of specifieke serviceaccounts.

Compatibiliteit van identiteitsprovider

Voor het afdwingen van Intune MAM is Microsoft Entra ID vereist als de identiteitsprovider (IdP) voor uw Qlik Cloud-tenant. De volgende tabel geeft een overzicht van de ondersteuning voor mobiele apps in verschillende identiteitsproviderconfiguraties.

Belangrijke overwegingen

App-beveiligingsbeleid bepaalt welke apps gegevens met elkaar kunnen delen.

• Als gebruikers diagnostische e-mails moeten verzenden vanuit de mobiele Qlik Analytics-app, moet het beleid gegevensoverdracht tussen apps toestaan.

• De mobiele Qlik Analytics-app vereist toegang tot de apparaatbrowser om de aanmelding te voltooien. Uw appbeveiligingsbeleid moet dit toestaan.

• Belangrijke Intune-appbeleidsinstellingen om te controleren:

  • Gegevensbeveiliging > Organisatiegegevens naar andere apps verzenden

  • Gegevensbeveiliging > Apps selecteren om vrij te stellen (com.qlik.qsm)

  • Functionaliteit > Overdracht van webinhoud met andere apps beperken — indien geconfigureerd om URL's in Microsoft Edge te openen, wordt de Qlik Cloud-aanmeldingspagina geopend in Edge. Edge voert vervolgens zijn eigen Microsoft-verificatie uit voordat de pagina wordt weergegeven. Als uw beleid voor voorwaardelijke toegang een toekenningscontrole toepast op Alle cloud-apps of op uw IdP-app-registratie, wordt die toekenningscontrole op dit punt geëvalueerd ten opzichte van Edge. Zie Richtlijnen voor beleid voor voorwaardelijke toegang voor de implicaties van verschillende toekenningscontroles op dat evaluatiepunt.

• Koude start en MAM-appbeveiligingsbeleid — Bij de eerste installatie bevindt de mobiele Qlik Analytics-app zich in een onbeheerde status (geen Intune-appbeveiligingsbeleid toegepast) totdat deze is gestart en het beleid is toegewezen en toegepast. Als Microsoft Edge is geconfigureerd met een MAM-beleid dat de verificatiebrowsersessie beperkt tot interactie met alleen door beleid beheerde apps, kan de verificatiestroom worden geblokkeerd, omdat de app nog niet is geregistreerd als een beheerde app bij de Intune-service. Beheerders moeten mogelijk de Qlik Analytics-app vrijstellen van deze beperking of ervoor zorgen dat de toewijzing van het appbeveiligingsbeleid is voltooid vóór de eerste start door de gebruiker.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}