Zabezpieczanie i konfigurowanie mobilnej aplikacji Qlik Analytics za pomocą Microsoft Intune

Mobilna aplikacja Qlik Analytics zapewnia zespołom terenowym bezpieczny dostęp do analiz Qlik Cloud na ich urządzeniach mobilnych. Możesz użyć Microsoft Intune i Microsoft Entra ID, aby kontrolować dostęp, chronić dane firmy i udostępniać ustawienia, których użytkownicy potrzebują do połączenia się z dzierżawą Qlik Cloud.

W tym temacie opisano, jak skonfigurować zasady ochrony aplikacji Intune, zasady konfiguracji aplikacji oraz mechanizmy kontroli dostępu Qlik Cloud, aby zarządzać aplikacją mobilną Qlik Analytics i zabezpieczać ją na urządzeniach z systemem Android i iOS.

Konfigurowanie Microsoft Intune dla mobilnej aplikacji Qlik Analytics w Microsoft Entra ID

Ta sekcja przedstawia główne kroki do rejestrowania i zarządzania mobilną aplikacją Qlik Analytics w Entra ID i Intune. Skonfiguruj Entra ID i Intune zgodnie z wymaganiami Twojej organizacji. Aby uzyskać szczegółowe instrukcje dotyczące rejestracji aplikacji, zobacz dokumentację Microsoft Intune.

Rejestrowanie aplikacji Qlik Analytics w Microsoft Entra ID

Zarejestruj aplikację mobilną Qlik Analytics w Microsoft Entra ID, aby używać jej z Microsoft Intune.

Wykonaj następujące czynności:

1. W Entra ID przejdź do Rejestracje aplikacji i wybierz Nowa rejestracja.

2. Wybierz łącze do Aplikacje dla przedsiębiorstw, ponieważ integrujesz globalnie zarejestrowaną aplikację.

3. Wyszukaj identyfikator aplikacji: 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Jest to globalna rejestracja aplikacji Qlik.

4. W razie potrzeby administrator Intune może zainicjować rejestrację, logując się i odwiedzając:

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. Gdy aplikacja mobilna Qlik Analytics zostanie dodana i pojawi się w obszarze Aplikacje dla przedsiębiorstw, wykonaj następujące czynności:

   • Przypisz użytkowników i grupy, jeśli chcesz ograniczyć dostęp do aplikacji.

   • W sekcji Uprawnienia udziel zgody administratora dla swojej domeny.

Wskazówki dotyczące zasad dostępu warunkowego

Aplikacja mobilna Qlik Analytics jest globalnie zarejestrowana w Microsoft Entra ID z identyfikatorem aplikacji 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Ta rejestracja pojawia się jako aplikacja w chmurze w Twojej dzierżawie. Każda zasada dostępu warunkowego o zakresie obejmującym Wszystkie aplikacje w chmurze ma zastosowanie do tej rejestracji aplikacji.

Dostęp warunkowy i przepływ uwierzytelniania

Przepływ uwierzytelniania Allowed with Intune obejmuje dwa kroki logowania:

1. Uwierzytelnianie aplikacji (logowanie za pomocą MSAL)

   Aplikacja mobilna Qlik Analytics używa MSAL do uwierzytelniania użytkownika w usłudze Entra. Zasady MAM usługi Intune są oceniane w tym kroku.

2. Logowanie do Qlik Cloud w przeglądarce

   Aplikacja otwiera zewnętrzną przeglądarkę na urządzeniu, aby dokończyć uwierzytelnianie w Qlik Cloud. W przypadku przepływów usługi Intune przeglądarka Microsoft Edge jest wymuszana.

W tym drugim kroku Entra ocenia przeglądarkę — a nie aplikację mobilną Qlik Analytics — jako aplikację kliencką podczas stosowania zasad dostępu warunkowego dla rejestracji aplikacji. Każdy mechanizm kontroli przyznawania dostępu zastosowany do rejestracji aplikacji musi być obsługiwany przez przeglądarkę używaną w tym kroku.

Kwestie dotyczące zakresu dostępu warunkowego

Ponieważ rejestracja aplikacji Qlik Analytics jest widoczna jako aplikacja w chmurze w Twojej dzierżawie, zasady dostępu warunkowego o zakresie Wszystkie aplikacje w chmurze mają również zastosowanie do kroku logowania w przeglądarce.

Jeśli zasada używa Wymagaj zasad ochrony aplikacji jako kontroli przyznawania dostępu, przeglądarka używana w kroku logowania do Qlik musi niezależnie spełniać to wymaganie. Wymaga to, aby przeglądarka Microsoft Edge miała wdrożone zasady ochrony aplikacji usługi Intune dla Twoich użytkowników. Jeśli program Edge nie jest objęty zasadami ochrony aplikacji, krok logowania do przeglądarki może zostać zablokowany.

Przed wdrożeniem

Przed wdrożeniem aplikacji mobilnej Qlik Analytics z wymuszeniem Intune MAM ustal z administratorem Microsoft Entra lub Intune, w jaki sposób istniejące zasady dostępu warunkowego mają zastosowanie do przeglądarki używanej na etapie logowania do Qlik.

Qlik nie zapewnia wskazówek dotyczących konfigurowania zasad dostępu warunkowego Entra ani szerszych konfiguracji wdrożenia Intune. Wskazówki można znaleźć w artykule Dowiedz się więcej o dostępie warunkowym i usłudze Intune w dokumentacji firmy Microsoft.

Konfigurowanie dostępu mobilnego za pomocą MAM w Qlik Cloud

Wymuszanie Intune (MAM) jest kontrolowane przez uprawnienie dostępu mobilnego przypisane użytkownikom i grupom w centrum aktywności Administracja Qlik Cloud. Jest to główny krok konfiguracji po stronie Qlik i musi zostać wykonany wraz z konfiguracją Intune i Entra.

Uprawnienia dostępu mobilnego

Uprawnienia dostępu mobilnego konfiguruje się w centrum aktywności Administrowanie > Zarządzaj użytkownikami > Uprawnienia.

Kliknij Zarządzaj domyślnymi uprawnieniami lub otwórz rolę niestandardową, rozwiń Funkcje i akcje i znajdź Mobilne > Natywna aplikacja mobilna.

Aby uzyskać więcej informacji na temat ustawień uprawnień, zobacz Ustawianie dostępu do aplikacji mobilnej Qlik Analytics.

Wskazówki dotyczące przypisywania uprawnień dla dzierżaw zarządzanych przez usługę Intune

W przypadku dzierżawców korzystających z ochrony aplikacji usługi Intune przypisz Allowed with Intune wszystkim użytkownikom i grupom wymagającym dostępu mobilnego, niezależnie od stanu zarządzania urządzeniem.

Dlaczego stan „Dozwolone” nie jest wystarczający dla użytkowników zarządzanych przez usługę Intune

Uprawnienie do dostępu mobilnego dotyczy użytkownika, a nie urządzenia. Jeśli użytkownik ma przypisany stan Dozwolone na swoim urządzeniu służbowym zarejestrowanym w usłudze MDM, zachowuje te same uprawnienia dostępu po zalogowaniu się na urządzeniu osobistym, niezarządzanym.

To urządzenie osobiste nie ma rejestracji w usłudze MDM ani brokera usługi Intune. Gdy uprawnienie dostępu użytkownika jest ustawione na Dozwolone, Qlik Analyticsaplikacja mobilna nie wymaga rejestracji w usłudze Intune, a dostęp jest przyznawany bez stosowania zasad ochrony aplikacji. Użytkownik może uzyskać dostęp do dzierżawy z niezarządzanego urządzenia bez ochrony usługi Intune, pomijając zasady usługi Intune Twojej organizacji.

Zalecany wzorzec przypisywania dla dzierżaw zarządzanych przez usługę Intune

Używaj opcji Dozwolone tylko dla dzierżaw lub grup, w których ochrona aplikacji usługi Intune nie jest wymagana, takich jak wewnętrzne dzierżawy bez usługi Intune lub określone konta usługowe.

Zgodność z dostawcami tożsamości

Wymuszanie Intune MAM wymaga Microsoft Entra ID jako dostawcy tożsamości (IdP) dla Twojej dzierżawy Qlik Cloud. W poniższej tabeli podsumowano obsługę aplikacji mobilnej w różnych konfiguracjach dostawców tożsamości.

Ważne kwestie do uwzględnienia

Zasady ochrony aplikacji kontrolują, które aplikacje mogą udostępniać sobie dane.

• Jeśli użytkownicy muszą wysyłać diagnostyczne wiadomości e-mail z mobilnej Qlik Analytics aplikacji, zasady muszą zezwalać na transfer danych między aplikacjami.

• Aplikacja mobilna Qlik Analytics wymaga dostępu do przeglądarki urządzenia, aby dokończyć logowanie. Twoje zasady ochrony aplikacji muszą na to zezwalać.

• Kluczowe ustawienia zasad aplikacji Intune do przejrzenia:

  • Ochrona danych > Wysyłaj dane organizacji do innych aplikacji

  • Ochrona danych > Wybierz aplikacje do wykluczenia (com.qlik.qsm)

  • Funkcjonalność > Ogranicz przesyłanie zawartości internetowej z innymi aplikacjami — po skonfigurowaniu otwierania adresów URL w przeglądarce Microsoft Edge strona logowania do Qlik Cloud jest otwierana w przeglądarce Edge. Następnie Edge przeprowadza własne uwierzytelnianie Microsoft przed wyrenderowaniem strony. Jeśli Twoje zasady dostępu warunkowego stosują kontrolę przyznawania do Wszystkich aplikacji w chmurze lub do rejestracji aplikacji IdP, ta kontrola przyznawania jest w tym momencie oceniana pod kątem przeglądarki Edge. Zobacz Wskazówki dotyczące zasad dostępu warunkowego, aby poznać skutki różnych mechanizmów kontroli przyznawania w tym punkcie oceny.

• Zimny start i zasady ochrony aplikacji MAM — podczas początkowej instalacji aplikacja mobilna Qlik Analytics znajduje się w stanie niezarządzanym (brak zastosowanych zasad ochrony aplikacji usługi Intune) do czasu jej uruchomienia oraz przypisania i zastosowania zasad. Jeśli przeglądarka Microsoft Edge jest skonfigurowana z zasadami MAM, które ograniczają sesję uwierzytelniania w przeglądarce do interakcji wyłącznie z aplikacjami zarządzanymi przez zasady, przepływ uwierzytelniania może zostać zablokowany, ponieważ aplikacja nie została jeszcze zarejestrowana jako aplikacja zarządzana w usłudze Intune. Administratorzy mogą musieć wykluczyć aplikację Qlik Analytics z tego ograniczenia lub upewnić się, że przypisanie zasad ochrony aplikacji zostało ukończone przed pierwszym uruchomieniem przez użytkownika.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}