Beveiligen en configureren van de mobiele Qlik Analytics-app met Microsoft Intune

De mobiele Qlik Analytics-app geeft buitendienstteams veilige toegang tot Qlik Cloud-analyses op hun mobiele apparaten. U kunt Microsoft Intune en Microsoft Entra ID gebruiken om toegang te beheren, bedrijfsgegevens te beschermen en de instellingen te bieden die gebruikers nodig hebben om verbinding te maken met uw Qlik Cloud-tenant.

Dit onderwerp behandelt het configureren van Intune-app-beveiligingsbeleid, app-configuratiebeleid en Qlik Cloud-toegangscontroles om de mobiele Qlik Analytics-app op Android- en iOS-apparaten te beheren en te beveiligen.

Microsoft Intune instellen voor de mobiele Qlik Analytics-app in Microsoft Entra ID

Deze sectie schetst de belangrijkste stappen om de mobiele Qlik Analytics-app te registreren en te beheren in Entra ID en Intune. Configureer Entra ID en Intune volgens de vereisten van uw organisatie. Zie de Microsoft Intune-documentatie voor gedetailleerde instructies over applicatieregistratie.

De Qlik Analytics-app registreren in Microsoft Entra ID

Registreer de mobiele Qlik Analytics-app in Microsoft Entra ID om deze te gebruiken met Microsoft Intune.

Doe het volgende:

1. Ga in Entra ID naar App-registraties en selecteer Nieuwe registratie.

2. Selecteer de koppeling naar Bedrijfsapplicaties, aangezien u een wereldwijd geregistreerde applicatie integreert.

3. Zoek naar de applicatie-ID: 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Dit is de wereldwijde app-registratie van Qlik.

4. Indien nodig kan de Intune-beheerder de registratie starten door zich aan te melden en naar het volgende te gaan:

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. Zodra de mobiele Qlik Analytics-app is toegevoegd en wordt weergegeven onder Bedrijfsapplicaties, voltooit u het volgende:

   • Wijs gebruikers en groepen toe als u wilt beperken wie toegang heeft tot de app.

   • Verleen onder Machtigingen beheerderstoestemming voor uw domein.

Richtlijnen voor beleid voor voorwaardelijke toegang

De mobiele Qlik Analytics-app is wereldwijd geregistreerd in Microsoft Entra ID met applicatie-ID 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Deze registratie wordt weergegeven als een cloud-applicatie in uw tenant. Elk beleid voor voorwaardelijke toegang dat is afgestemd op Alle cloud-apps is van toepassing op deze app-registratie.

Voorwaardelijke toegang en authenticatiestroom

De authenticatiestroom Toegestaan met Intune omvat twee aanmeldingsstappen:

1. App-authenticatie (MSAL-aanmelding)

   De mobiele Qlik Analytics-app gebruikt MSAL om de gebruiker te authenticeren bij Entra. Intune MAM-beleid wordt tijdens deze stap geëvalueerd.

2. Browsergebaseerde Qlik Cloud-aanmelding

   De app opent een externe browser op het apparaat om de Qlik Cloud-authenticatie te voltooien. Voor Intune-stromen wordt Microsoft Edge afgedwongen.

In deze tweede stap evalueert Entra de browser—niet de mobiele Qlik Analytics-app—als de client-applicatie bij het toepassen van beleid voor voorwaardelijke toegang voor de app-registratie. Elke toekenningscontrole die wordt toegepast op de app-registratie moet worden ondersteund door de browser die in deze stap wordt gebruikt.

Overwegingen voor de reikwijdte van voorwaardelijke toegang

Omdat de Qlik Analytics-app-registratie zichtbaar is als een cloud-applicatie in uw tenant, is beleid voor voorwaardelijke toegang dat is afgestemd op Alle cloud-apps ook van toepassing op de browser-aanmeldingsstap.

Als een beleid App-beveiligingsbeleid vereisen gebruikt als toekenningscontrole, moet de browser die wordt gebruikt in de Qlik-aanmeldingsstap onafhankelijk aan deze vereiste voldoen. Hiervoor moet voor Microsoft Edge een Intune-app-beveiligingsbeleid zijn geïmplementeerd voor uw gebruikers. Als Edge niet wordt gedekt door een app-beveiligingsbeleid, kan de browser-aanmeldingsstap worden geblokkeerd.

Voorafgaand aan de implementatie

Voordat u de mobiele Qlik Analytics-app implementeert met het afdwingen van Intune MAM, moet u bij uw Microsoft Entra- of Intune-beheerder verifiëren hoe uw bestaande beleid voor voorwaardelijke toegang van toepassing is op de browser die wordt gebruikt in de Qlik-aanmeldingsstap.

Qlik biedt geen begeleiding bij het configureren van Entra-beleid voor voorwaardelijke toegang of bredere Intune-implementatieconfiguraties. Zie Meer informatie over voorwaardelijke toegang en Intune in de Microsoft-documentatie voor begeleiding.

Mobiele toegang configureren met MAM in Qlik Cloud

Het afdwingen van Intune (MAM) wordt beheerd door de machtiging voor mobiele toegang die is toegewezen aan gebruikers en groepen in het Qlik Cloud-activiteitencentrum voor beheer. Dit is de belangrijkste configuratiestap aan de Qlik-kant en moet worden voltooid naast uw Intune- en Entra-configuratie.

Machtigingen voor mobiele toegang

U configureert machtigingen voor mobiele toegang in het Beheer-activiteitencentrum > Gebruikers beheren > Machtigingen.

Open de machtigingsinstellingen voor de Gebruikersstandaard of een aangepaste rol, vouw Functies en acties uit en zoek Mobiel > Systeemeigen mobiele app.

Zie Toegang instellen tot de mobiele Qlik Analytics-app voor meer informatie over de machtigingsinstellingen.

Richtlijnen voor het toewijzen van machtigingen voor door Intune beheerde tenants

Voor tenants die Intune-app-beveiliging gebruiken, wijst u Toegestaan met Intune toe aan alle gebruikers en groepen die mobiele toegang nodig hebben, ongeacht de status van het apparaatbeheer.

Waarom Toegestaan niet voldoende is voor door Intune beheerde gebruikers

De machtiging voor mobiele toegang is van toepassing op de gebruiker, niet op het apparaat. Als aan een gebruiker Toegestaan is toegewezen op zijn zakelijke, voor MDM ingeschreven apparaat, heeft deze dezelfde toegangsmachtiging wanneer hij zich aanmeldt op een persoonlijk, onbeheerd apparaat.

Dat persoonlijke apparaat heeft geen MDM-inschrijving en geen Intune-broker. Als de toegangsmachtiging van de gebruiker is ingesteld op Toegestaan, vereist de mobiele Qlik Analytics-app geen Intune-inschrijving en wordt toegang verleend zonder dat app-beveiligingsbeleid wordt toegepast. De gebruiker heeft toegang tot de tenant vanaf een onbeheerd apparaat zonder Intune-beveiliging, waardoor het Intune-beleid van uw organisatie wordt omzeild.

Aanbevolen toewijzingspatroon voor door Intune beheerde tenants

Gebruik Toegestaan alleen voor tenants of groepen waarvoor Intune-app-beveiliging niet is vereist, zoals interne niet-Intune-tenants of specifieke serviceaccounts.

Compatibiliteit van identiteitsprovider

Voor het afdwingen van Intune MAM is Microsoft Entra ID vereist als de identiteitsprovider (IdP) voor uw Qlik Cloud-tenant. De volgende tabel geeft een overzicht van de ondersteuning voor mobiele apps in configuraties van identiteitsproviders.

Belangrijke overwegingen

App-beveiligingsbeleid bepaalt welke apps gegevens met elkaar kunnen delen.

• Als gebruikers diagnostische e-mails moeten verzenden vanuit de mobiele Qlik Analytics-app, moet het beleid gegevensoverdracht tussen apps toestaan.

• De mobiele Qlik Analytics-app vereist toegang tot de apparaatbrowser om de aanmelding te voltooien. Uw app-beveiligingsbeleid moet dit toestaan.

• Belangrijke Intune-app-beleidsinstellingen om te controleren:

  • Gegevensbeveiliging > Organisatiegegevens naar andere apps verzenden

  • Gegevensbeveiliging > Apps selecteren om vrij te stellen (com.qlik.qsm)

  • Functionaliteit > Overdracht van webinhoud met andere apps beperken—wanneer geconfigureerd om URL's in Microsoft Edge te openen, wordt de Qlik Cloud-aanmeldingspagina geopend in Edge. Edge voert vervolgens zijn eigen Microsoft-authenticatie uit voordat de pagina wordt weergegeven. Als uw beleid voor voorwaardelijke toegang een toekenningscontrole toepast op Alle cloud-apps of op uw IdP-app-registratie, wordt die toekenningscontrole op dit punt geëvalueerd tegen Edge. Zie Richtlijnen voor beleid voor voorwaardelijke toegang voor de implicaties van verschillende toekenningscontroles op dat evaluatiepunt.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}