Zabezpieczanie i konfigurowanie aplikacji mobilnej Qlik Analytics za pomocą Microsoft Intune

Aplikacja mobilna Qlik Analytics zapewnia zespołom terenowym bezpieczny dostęp do analiz Qlik Cloud na ich urządzeniach mobilnych. Możesz użyć Microsoft Intune i Microsoft Entra ID, aby kontrolować dostęp, chronić dane firmowe i udostępniać ustawienia, których użytkownicy potrzebują, aby połączyć się z Twoją dzierżawą Qlik Cloud.

Ten temat opisuje, jak skonfigurować zasady ochrony aplikacji Intune, zasady konfiguracji aplikacji i kontrole dostępu Qlik Cloud w celu zarządzania i zabezpieczania aplikacji mobilnej Qlik Analytics na urządzeniach z systemem Android i iOS.

Konfigurowanie Microsoft Intune dla aplikacji mobilnej Qlik Analytics w Microsoft Entra ID

W tej sekcji opisano główne kroki rejestracji i zarządzania aplikacją mobilną Qlik Analytics w Entra ID i Intune. Skonfiguruj Entra ID i Intune zgodnie z wymaganiami swojej organizacji. Szczegółowe instrukcje dotyczące rejestracji aplikacji można znaleźć w dokumentacji Microsoft Intune.

Rejestrowanie aplikacji Qlik Analytics w Microsoft Entra ID

Zarejestruj aplikację mobilną Qlik Analytics w Microsoft Entra ID, aby używać jej z Microsoft Intune.

Wykonaj następujące czynności:

1. W Entra ID przejdź do Rejestracje aplikacji i wybierz Nowa rejestracja.

2. Wybierz łącze do Aplikacje dla przedsiębiorstw, ponieważ integrujesz globalnie zarejestrowaną aplikację.

3. Wyszukaj identyfikator aplikacji: 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Jest to globalna rejestracja aplikacji Qlik.

4. W razie potrzeby administrator Intune może zainicjować rejestrację, logując się i odwiedzając stronę:

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. Po dodaniu aplikacji mobilnej Qlik Analytics i jej pojawieniu się w sekcji Aplikacje dla przedsiębiorstw wykonaj następujące czynności:

   • Przypisz użytkowników i grupy, jeśli chcesz ograniczyć dostęp do aplikacji.

   • W sekcji Uprawnienia udziel zgody administratora dla swojej domeny.

Wskazówki dotyczące zasad dostępu warunkowego

Aplikacja mobilna Qlik Analytics jest globalnie zarejestrowana w Microsoft Entra ID z identyfikatorem aplikacji 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Ta rejestracja pojawia się jako aplikacja w chmurze w Twojej dzierżawie. Wszelkie zasady dostępu warunkowego o zakresie Wszystkie aplikacje w chmurze mają zastosowanie do tej rejestracji aplikacji.

Dostęp warunkowy i przepływ uwierzytelniania

Przepływ uwierzytelniania Dozwolone z Intune obejmuje dwa kroki logowania:

1. Uwierzytelnianie aplikacji (logowanie MSAL)

   Aplikacja mobilna Qlik Analytics używa MSAL do uwierzytelniania użytkownika w Entra. Zasady Intune MAM są oceniane podczas tego kroku.

2. Logowanie do Qlik Cloud w przeglądarce

   Aplikacja otwiera zewnętrzną przeglądarkę na urządzeniu, aby ukończyć uwierzytelnianie Qlik Cloud. W przypadku przepływów Intune wymuszana jest przeglądarka Microsoft Edge.

W tym drugim kroku Entra ocenia przeglądarkę — a nie aplikację mobilną Qlik Analytics — jako aplikację kliencką podczas stosowania zasad dostępu warunkowego dla rejestracji aplikacji. Wszelkie kontrole przyznawania zastosowane do rejestracji aplikacji muszą być obsługiwane przez przeglądarkę używaną w tym kroku.

Kwestie dotyczące zakresu dostępu warunkowego

Ponieważ rejestracja aplikacji Qlik Analytics jest widoczna jako aplikacja w chmurze w Twojej dzierżawie, zasady dostępu warunkowego o zakresie Wszystkie aplikacje w chmurze mają również zastosowanie do kroku logowania w przeglądarce.

Jeśli zasada używa Wymagaj zasad ochrony aplikacji jako kontroli przyznawania, przeglądarka używana w kroku logowania Qlik musi niezależnie spełniać to wymaganie. Wymaga to wdrożenia zasad ochrony aplikacji Intune dla przeglądarki Microsoft Edge dla użytkowników. Jeśli przeglądarka Edge nie jest objęta zasadami ochrony aplikacji, krok logowania w przeglądarce może zostać zablokowany.

Przed wdrożeniem

Przed wdrożeniem aplikacji mobilnej Qlik Analytics z wymuszaniem Intune MAM sprawdź u administratora Microsoft Entra lub Intune, w jaki sposób istniejące zasady dostępu warunkowego mają zastosowanie do przeglądarki używanej w kroku logowania Qlik.

Firma Qlik nie udziela wskazówek dotyczących konfigurowania zasad dostępu warunkowego Entra ani szerszych konfiguracji wdrożenia Intune. Wskazówki można znaleźć w temacie Informacje o dostępie warunkowym i usłudze Intune w dokumentacji firmy Microsoft.

Konfigurowanie dostępu mobilnego z MAM w Qlik Cloud

Wymuszanie Intune (MAM) jest kontrolowane przez uprawnienie dostępu mobilnego przypisane do użytkowników i grup w centrum aktywności Administrowanie Qlik Cloud. Jest to główny krok konfiguracji po stronie Qlik i musi zostać wykonany wraz z konfiguracją Intune i Entra.

Uprawnienia dostępu mobilnego

Uprawnienia dostępu mobilnego konfiguruje się w centrum aktywności Administrowanie > Zarządzaj użytkownikami > Uprawnienia.

Otwórz ustawienia uprawnień dla opcji Domyślne użytkownika lub roli niestandardowej, rozwiń Funkcje i akcje i zlokalizuj Urządzenia mobilne > Natywna aplikacja mobilna.

Więcej informacji o ustawieniach uprawnień zawiera temat Ustawianie dostępu do aplikacji mobilnej Qlik Analytics.

Wskazówki dotyczące przypisywania uprawnień dla dzierżaw zarządzanych przez Intune

W przypadku dzierżaw korzystających z ochrony aplikacji Intune przypisz Dozwolone z Intune wszystkim użytkownikom i grupom, którzy wymagają dostępu mobilnego, niezależnie od stanu zarządzania urządzeniem.

Dlaczego opcja Dozwolone nie jest wystarczająca dla użytkowników zarządzanych przez Intune

Uprawnienie dostępu mobilnego dotyczy użytkownika, a nie urządzenia. Jeśli użytkownik ma przypisane uprawnienie Dozwolone na swoim firmowym urządzeniu zarejestrowanym w MDM, ma to samo uprawnienie dostępu, gdy loguje się na osobistym, niezarządzanym urządzeniu.

To osobiste urządzenie nie ma rejestracji MDM ani brokera Intune. Gdy uprawnienie dostępu użytkownika jest ustawione na Dozwolone, aplikacja mobilna Qlik Analytics nie wymaga rejestracji w Intune, a dostęp jest przyznawany bez stosowania zasad ochrony aplikacji. Użytkownik może uzyskać dostęp do dzierżawy z niezarządzanego urządzenia bez ochrony Intune, omijając zasady Intune w organizacji.

Zalecany wzorzec przypisywania dla dzierżaw zarządzanych przez Intune

Używaj opcji Dozwolone tylko dla dzierżaw lub grup, w których ochrona aplikacji Intune nie jest wymagana, takich jak wewnętrzne dzierżawy bez Intune lub określone konta usług.

Zgodność dostawcy tożsamości

Wymuszanie Intune MAM wymaga Microsoft Entra ID jako dostawcy tożsamości (IdP) dla dzierżawy Qlik Cloud. Poniższa tabela podsumowuje obsługę aplikacji mobilnej w różnych konfiguracjach dostawców tożsamości.

Ważne kwestie

Zasady ochrony aplikacji kontrolują, które aplikacje mogą udostępniać sobie nawzajem dane.

• Jeśli użytkownicy muszą wysyłać e-maile diagnostyczne z aplikacji mobilnej Qlik Analytics, zasady muszą zezwalać na transfer danych między aplikacjami.

• Aplikacja mobilna Qlik Analytics wymaga dostępu do przeglądarki urządzenia, aby ukończyć logowanie. Zasady ochrony aplikacji muszą na to zezwalać.

• Kluczowe ustawienia zasad aplikacji Intune do przejrzenia:

  • Ochrona danych > Wysyłaj dane organizacji do innych aplikacji

  • Ochrona danych > Wybierz aplikacje do wykluczenia (com.qlik.qsm)

  • Funkcjonalność > Ogranicz transfer zawartości internetowej z innymi aplikacjami — w przypadku skonfigurowania otwierania adresów URL w przeglądarce Microsoft Edge strona logowania Qlik Cloud jest otwierana w przeglądarce Edge. Następnie przeglądarka Edge wykonuje własne uwierzytelnianie Microsoft przed wyrenderowaniem strony. Jeśli zasady dostępu warunkowego stosują kontrolę przyznawania do Wszystkie aplikacje w chmurze lub do rejestracji aplikacji IdP, ta kontrola przyznawania jest w tym momencie oceniana względem przeglądarki Edge. Zobacz Wskazówki dotyczące zasad dostępu warunkowego, aby poznać implikacje różnych kontroli przyznawania w tym punkcie oceny.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}