# Beveiligen en configureren van de Qlik Analytics mobiele app met Microsoft Intune De Qlik Analytics mobiele app geeft buitendiensten veilige toegang tot Qlik Cloud analyses op hun mobiele apparaten. U kunt Microsoft Intune en Microsoft Entra ID gebruiken om toegang te beheren, bedrijfsgegevens te beschermen en de instellingen te bieden die gebruikers nodig hebben om verbinding te maken met uw Qlik Cloud tenant. In dit onderwerp wordt beschreven hoe u Intune app-beveiligingsbeleid, app-configuratiebeleid en Qlik Cloud toegangsbeheer configureert om de mobiele Qlik Analytics-app op Android- en iOS-apparaten te beheren en te beveiligen. ## Over de Microsoft Intune integratie * Qlik heeft de standaard Intune en Microsoft Authentication Library (MSAL) SDK's van Microsoft geïntegreerd in overeenstemming met de richtlijnen voor ontwikkelaars van Microsoft. * Microsoft Entra ID, Microsoft Intune en gerelateerde SDK's zijn Microsoft-producten. * Qlik, inclusief Qlik Support, kan geen begeleiding bieden bij het configureren van uw Entra- of Intune-implementatie, of bij de instellingen voor mobiele apparaten waarop de mobiele app Qlik Analytics wordt uitgevoerd. * Raadpleeg de [Microsoft Intune-documentatie](https://learn.microsoft.com/en-us/intune/intune-service/apps/app-management) of neem contact op met de ondersteuning van Microsoft Intune voor richtlijnen over mobiel apparaatbeheer (MDM) of mobiel applicatiebeheer (MAM). InformatieDe Microsoft Tunnel for Mobile Application Management SDK is niet geïntegreerd in de mobiele Qlik Analytics app. ## Wat u nodig hebt voordat u begint Voordat u de mobiele Qlik Analytics app configureert in Intune, moet u ervoor zorgen dat u het volgende hebt: * Qlik Cloud tenant die Microsoft Entra ID gebruikt als de primaire identiteitsprovider Het afdwingen van Intune MAM vereist dat uw Qlik Cloud tenant is geconfigureerd om Entra ID rechtstreeks als identiteitsprovider te gebruiken via OIDC. Ga voor meer informatie naar [Identiteitsproviders in Qlik Cloud](https://help.qlik.com/nl-NL/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-idp-configuration.htm). InformatieTenants die gebruikmaken van een niet-Entra-identiteitsprovider (zoals Okta, Auth0, SAML of Qlik Account) bieden geen ondersteuning voor het afdwingen van Intune MAM. Tenants die een niet-Entra-identiteitsprovider federeren met Microsoft Entra ID worden niet ondersteund in deze release. Zie [Compatibiliteit met identiteitsproviders](https://help.qlik.com/nl-NL/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#IDP). * Microsoft Entra ID geïntegreerd met Microsoft Intune Uw organisatie moet Entraverbonden hebben met Intune, zodat u apparaat- en app-beleid kunt afdwingen. * Gebruikers geregistreerd in Microsoft Entra ID Alle gebruikers die toegang krijgen tot de mobiele Qlik Analytics-app moeten een account hebben in uw Entra ID-tenant en opgenomen zijn in de gebruikersdirectory die wordt gebruikt voor toegang tot de Qlik Cloud-tenant. * Machtigingen voor Qlik Cloud-tenantbeheerders U hebt toegang als tenant-beheerder in Qlik Cloud nodig om besturingselementen voor mobiele toegang toe te wijzen aan gebruikers en groepen. Zie [Mobiele toegang met MAM configureren in Qlik Cloud](https://help.qlik.com/nl-NL/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#Configur2). ## De mobiele Qlik Analytics app installeren De Qlik Analytics mobiele app is beschikbaar in de iOS App Store en Google Play Store. Ga voor meer informatie naar [Aan de slag met de Qlik Analytics mobiele app](https://help.qlik.com/nl-NL/cloud-services/Subsystems/Hub/Content/Sense_Hub/Mobile/qsmsaas-get-started.htm). InformatieAfhankelijk van het platform en de implementatie, kunnen Microsoft Company Portal en/of Microsoft Authenticator vereist zijn op het apparaat. Op Android is Bedrijfsportal vereist voor scenario's met MAM zonder apparaatinschrijving (MAM-WE). ## Instellen van Microsoft Intune voor de Qlik Analytics mobiele app in Microsoft Entra ID Deze sectie beschrijft de belangrijkste stappen om de Qlik Analytics mobiele app te registreren en te beheren in Entra ID en Intune. Configureer Entra ID en Intune volgens de vereisten van uw organisatie. Voor gedetailleerde instructies over applicatieregistratie, zie de [Microsoft Intune-documentatie](https://learn.microsoft.com/en-us/intune/intune-service/apps/app-management). ### De Qlik Analytics app registreren in Microsoft Entra ID Registreer de mobiele Qlik Analytics app in Microsoft Entra ID om deze te gebruiken met Microsoft Intune. Doe het volgende: 1. Ga in Entra ID naar App-registraties en selecteer Nieuwe registratie. 2. Selecteer de link naar Bedrijfstoepassingen, aangezien u een wereldwijd geregistreerde applicatie integreert. 3. Zoek naar de applicatie-ID: `53dfc2c0-8711-4bb3-a48f-b384ff663ab9`. Dit is de Qlik globale app-registratie. 4. Indien vereist, kan de Intune beheerder de registratie starten door zich aan te melden en te bezoeken: `https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9` 5. Zodra de mobiele Qlik Analytics app is toegevoegd en verschijnt onder Bedrijfstoepassingen, voltooi het volgende: * Wijs gebruikers en groepen toe als u wilt beperken wie toegang heeft tot de app. * Verleen onder Machtigingen beheerderstoestemming voor uw domein. ### Richtlijnen voor beleid voor voorwaardelijke toegang De Qlik Analytics mobiele app is wereldwijd geregistreerd in Microsoft Entra ID met toepassings-id `53dfc2c0-8711-4bb3-a48f-b384ff663ab9`. Deze registratie wordt weergegeven als een cloudapplicatie in uw tenant. Elk beleid voor voorwaardelijke toegang dat is gericht op Alle cloud-apps is van toepassing op deze app-registratie. #### Voorwaardelijke toegang en authenticatiestroom De authenticatiestroom Toegestaan met Intune omvat twee aanmeldstappen: 1. App-authenticatie (MSAL-aanmelding) De mobiele Qlik Analytics-app gebruikt MSAL om de gebruiker bij Entra te authenticeren. Intune MAM-beleid wordt tijdens deze stap geëvalueerd. 2. Browsergebaseerd aanmelden bij Qlik Cloud De app opent een externe browser op het apparaat om de Qlik Cloud-authenticatie te voltooien. Voor Intune-stromen wordt Microsoft Edge afgedwongen. In deze tweede stap evalueert Entra de browser—niet de mobiele Qlik Analytics-app—als de clienttoepassing bij het toepassen van beleid voor voorwaardelijke toegang voor de app-registratie. Elk besturingselement voor toekenning dat is toegepast op de app-registratie moet worden ondersteund door de browser die in deze stap wordt gebruikt. #### Overwegingen voor het bereik van voorwaardelijke toegang Omdat de Qlik Analytics app-registratie zichtbaar is als een cloudtoepassing in uw tenant, zijn beleidsregels voor voorwaardelijke toegang die zijn gericht op Alle cloud-apps ook van toepassing op de aanmeldingsstap in de browser. Als een beleid App-beveiligingsbeleid vereisen gebruikt als het besturingselement voor toewijzing, moet de browser die wordt gebruikt in de Qlik-aanmeldingsstap onafhankelijk aan deze vereiste voldoen. Hiervoor moet voor Microsoft Edge een Intune-app-beveiligingsbeleid zijn geïmplementeerd voor uw gebruikers. Als Edge niet onder een app-beveiligingsbeleid valt, wordt de aanmeldstap van de browser mogelijk geblokkeerd. #### Vóór implementatie Voordat u de mobiele Qlik Analytics-app implementeert met Intune MAM-afdwinging, controleert u bij uw Microsoft Entra- of Intune-beheerder hoe uw bestaande beleid voor voorwaardelijke toegang van toepassing is op de browser die wordt gebruikt in de Qlik-aanmeldingsstap. Qlik biedt geen richtlijnen voor het configureren van Entra Conditional Access-beleid of bredere Intune-implementatieconfiguraties. Raadpleeg voor richtlijnen [Meer informatie over voorwaardelijke toegang en Intune](https://learn.microsoft.com/en-us/intune/intune-service/protect/conditional-access) in de Microsoft-documentatie. ### Hoe MAM-afdwinging werkt voor de mobiele Qlik Analytics-app Wanneer een gebruiker de toegang Toegestaan met Intune krijgt toegewezen, start de mobiele Qlik Analytics-app de Microsoft Intune-inschrijving als onderdeel van de aanmeldprocedure. De app verifieert de inschrijvingsstatus voordat toegang wordt verleend tot tenant-inhoud. Als het apparaat niet correct is ingeschreven of niet voldoet aan de Intune-vereisten, wordt de toegang op app-niveau geweigerd. Deze handhaving wordt uitgevoerd in de mobiele app en maakt deel uit van een gefaseerde levering. Een toekomstige release zal overeenkomstige server-side afdwinging toevoegen op de Qlik Cloud-authenticatielaag voor extra defense-in-depth. ## Mobiele toegang met MAM configureren in Qlik Cloud Het afdwingen van Intune (MAM) wordt geregeld via de machtiging voor mobiele toegang die is toegewezen aan gebruikers en groepen in het activiteitencentrum Beheer van Qlik Cloud. Dit is de belangrijkste configuratiestap aan de Qlik-zijde en moet samen met uw Intune- en Entra-configuratie worden voltooid. ### Machtigingen voor mobiele toegang U configureert machtigingen voor mobiele toegang in het activiteitencentrum Beheer > Gebruikers beheren > Machtigingen. Klik op Standaardmachtigingen beheren of open een aangepaste rol, vouw Functies en acties uit en zoek Mobiel > Native mobiele app op. Voor meer informatie over de machtigingsinstellingen, zie [Toegang instellen tot de mobiele Qlik Analytics-app](https://help.qlik.com/nl-NL/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mobile-set-access.htm). ### Richtlijnen voor het toewijzen van machtigingen voor door Intune beheerde tenants Voor tenants die Intune-appbeveiliging gebruiken, wijst u Allowed with Intune toe aan alle gebruikers en groepen die mobiele toegang vereisen, ongeacht de status van apparaatbeheer. #### Waarom Toegestaan niet voldoende is voor door Intune beheerde gebruikers De machtiging voor mobiele toegang is van toepassing op de gebruiker, niet op het apparaat. Als aan een gebruiker Toegestaan is toegewezen op een zakelijk, via MDM geregistreerd apparaat, behoudt deze dezelfde toegangsrechten wanneer deze zich aanmeldt op een persoonlijk, onbeheerd apparaat. Dat persoonlijke apparaat heeft geen MDM-inschrijving en geen Intune-broker. Wanneer de toegangsmachtiging van de gebruiker is ingesteld op Toegestaan, vereist de Qlik Analyticsmobiele app geen Intune-inschrijving en wordt toegang verleend zonder dat er app-beveiligingsbeleid wordt toegepast. De gebruiker kan toegang krijgen tot de tenant vanaf een niet-beheerd apparaat zonder Intune-beveiliging, waardoor het Intune-beleid van uw organisatie wordt omzeild. #### Aanbevolen toewijzingspatroon voor door Intune beheerde tenants Toewijzingspatroon | Toewijzing | Machtiging | Reden | | --- | --- | --- | | Standaardmachtigingsinstelling | Niet toegestaan | Standaard geen mobiele toegang | | MDM-geregistreerde gebruikers | Toegestaan met Intune | Op ingeschreven apparaten wordt de inschrijving stil of nagenoeg stil voltooid. Er wordt geen noemenswaardige frictie toegevoegd. Dezelfde gebruiker op een persoonlijk apparaat moet de inschrijving voltooien voordat toegang wordt verleend. | | BYOD-gebruikers | Toegestaan met Intune | Vereiste voor volledige inschrijving op niet-beheerde apparaten. | Gebruik Toegestaan alleen voor tenants of groepen waar Intune-appbeveiliging niet is vereist, zoals interne niet-Intune-tenants of specifieke serviceaccounts. ### Compatibiliteit met identiteitsproviders Het afdwingen van Intune MAM vereist Microsoft Entra ID als identiteitsprovider (IdP) voor uw Qlik Cloud-tenant. De volgende tabel geeft een overzicht van de ondersteuning voor mobiele apps bij verschillende configuraties van identiteitsproviders. IdP-compatibiliteit | Identiteitsprovider | Standaard mobiele toegang (Toegestaan) | Intune-afdwinging (Toegestaan met Intune) | | --- | --- | --- | | Microsoft Entra ID | Ondersteund | Ondersteund | | Okta (geen Entra-federatie) | Ondersteund | Niet ondersteund — wijs Toegestaan met Intune niet toe | | Auth0 (geen Entra-federatie) | Ondersteund | Niet ondersteund — wijs Toegestaan met Intune niet toe | | SAML / ADFS (geen Entra-federatie) | Ondersteund | Niet ondersteund — wijs Toegestaan met Intune niet toe | | Qlik Account | Ondersteund | Niet ondersteund — wijs Toegestaan met Intune niet toe | | Generieke OIDC | Ondersteund | Niet ondersteund — wijs Toegestaan met Intune niet toe | | Gefedereerde IdP-scenario's (elke niet-Entra-IdP die is gefedereerd met Entra ID) | Ondersteund | Niet ondersteund in deze release | InformatieGefedereerde IdP-scenario's: Klanten die Okta, Auth0, SAML of ADFS federeren met Microsoft Entra ID worden in deze release niet ondersteund voor het afdwingen van Intune MAM. Het toewijzen van Allowed with Intune aan gebruikers in een gefedereerde IdP-tenant zal leiden tot authenticatiefouten. Ondersteuning voor gefedereerde IdP-scenario's is gepland voor een toekomstige release. ## Appbeveiligingsbeleid instellen De mobiele Qlik Analytics-app ondersteunt de volgende Intune-beleidsfuncties: * Gebruikers verplichten zich aan te melden met bedrijfsreferenties (Microsoft Entra ID). * Een pincode afdwingen om toegang te krijgen tot de app. * Kopiëren, plakken en downloaden binnen de app beperken. * Schermafbeeldingen blokkeren of beheren. * Qlik Cloud tenantinstellingen vooraf laden met behulp van app-configuratiebeleid. ### Belangrijke overwegingen App-beveiligingsbeleid bepaalt welke apps gegevens met elkaar kunnen delen. * Als gebruikers diagnostische e-mails moeten verzenden vanuit de mobiele Qlik Analytics app, moet het beleid gegevensoverdracht tussen apps toestaan. * De mobiele Qlik Analytics-app vereist toegang tot de browser van het apparaat om de aanmelding te voltooien. Uw app-beveiligingsbeleid moet dit toestaan. * Belangrijke Intune app-beleidsinstellingen om te controleren: * Gegevensbeveiliging > Organisatiegegevens naar andere apps verzenden * Gegevensbeveiliging > Apps selecteren om uit te sluiten (com.qlik.qsm) * Functionaliteit > Overdracht van webinhoud met andere apps beperken—wanneer geconfigureerd om URL's in Microsoft Edge te openen, wordt de Qlik Cloud-aanmeldingspagina geopend in Edge. Edge voert vervolgens zijn eigen Microsoft-authenticatie uit voordat de pagina wordt gerenderd. Als uw beleidsregels voor voorwaardelijke toegang een besturingselement voor toekenning toepassen op Alle cloud-apps of op uw IdP-app-registratie, wordt dat besturingselement voor toekenning op dit punt geëvalueerd voor Edge. Zie [Richtlijnen voor beleid voor voorwaardelijke toegang](https://help.qlik.com/nl-NL/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#Conditio) voor de implicaties van verschillende besturingselementen voor toekenning op dat evaluatiepunt. * Koude start en MAM-app-beveiligingsbeleid — Bij de eerste installatie bevindt de mobiele Qlik Analytics-app zich in een onbeheerde status (er is geen Intune-app-beveiligingsbeleid toegepast) totdat deze is gestart en het beleid is toegewezen en toegepast. Als Microsoft Edge is geconfigureerd met een MAM-beleid dat de verificatiebrowsersessie beperkt tot alleen interactie met door beleid beheerde apps, kan de verificatiestroom worden geblokkeerd, aangezien de app nog niet is geregistreerd als een beheerde app bij de Intune-service. Beheerders moeten mogelijk de Qlik Analytics-app uitzonderen van deze beperking of ervoor zorgen dat de toewijzing van het App Protection-beleid is voltooid voordat de gebruiker de app voor het eerst start. ## App-configuratiebeleid instellen Gebruik app-configuratiebeleid in Intune om de mobiele Qlik Analytics app te voorzien van de instellingen die nodig zijn om verbinding te maken met uw Qlik Cloud tenant. De volgende voorbeelden laten zien hoe u sleutel-waardeparen configureert voor de mobiele app in Intune. Vervang tijdelijke aanduidingen (``, ``, ``) door uw eigen waarden. ### Beheerde apparaten (iOS) Appconfiguraties > Beleidsnaam > Eigenschappen > Instellingen: * Type apparaatinschrijving: Beheerde apparaten * Platform: iOS Sleutel-waardeparen: Sleutel: `mdm` Waarde: ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` `Accounts` definieert een of meer Qlik Cloud tenants waarmee de app verbinding kan maken. * `name`: Uw gekozen tenantnaam die aan gebruikers wordt getoond. * `url`: De URL van de Qlik Cloud tenant (bijvoorbeeld, mobileintune.us.qlikcloud.com). Sleutel: `IntuneMAMOID` Waarde: `{{userid}}` Geeft de Intune gebruikers-ID door aan de app. OR * Type apparaatinschrijving: Beheerde apparaten * Platform: Android Sleutel-waardeparen: Sleutel: `mdm` Waarde: ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` `Accounts` definieert een of meer Qlik Cloud tenants waarmee de app verbinding kan maken. * `name`: Uw gekozen tenantnaam die aan gebruikers wordt getoond. * `url`: De URL van de Qlik Cloud tenant (bijvoorbeeld, mobileintune.us.qlikcloud.com). ### Beheerde apps (meerdere platforms) Appconfiguraties > Beleidsnaam > Eigenschappen > Instellingen: * Type apparaatinschrijving: Beheerde apps * Platform: iOS Sleutel-waardepaar: Sleutel: `mdm` Waarde: ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` Deze JSON heeft dezelfde functie als in het beheerde apparaatscenario, waarin de beschikbare tenantverbindingen worden gedefinieerd voor authenticatie bij uw Qlik Cloud omgeving. In dit scenario is alleen de `mdm`-sleutel vereist. Er is geen toewijzing van gebruikers-ID's nodig. ## Beleidsinformatie in de app Het scherm Over in de instellingen van de mobiele app Qlik Analytics toont of er een beleid is toegepast op de app. * Wanneer er een beleid wordt geïmplementeerd (app-beveiliging of app-configuratie), wordt op het scherm Beleid toegepast — Ja weergegeven. * Als voor het beleid een beleidsnaam is geconfigureerd, wordt deze ook op een afzonderlijke rij weergegeven als de Beleidsnaam.