Защита и настройка мобильного приложения Qlik Analytics с помощью Microsoft Intune

Мобильное приложение Qlik Analytics предоставляет выездным командам безопасный доступ к аналитике Qlik Cloud на их мобильных устройствах. Вы можете использовать Microsoft Intune и Microsoft Entra ID для управления доступом, защиты данных компании и предоставления настроек, необходимых пользователям для подключения к вашему клиенту Qlik Cloud.

В этом разделе описывается, как настроить политики защиты приложений Intune, политики конфигурации приложений и элементы управления доступом Qlik Cloud для управления и защиты мобильного приложения Qlik Analytics на устройствах Android и iOS.

Настройка Microsoft Intune для мобильного приложения Qlik Analytics в Microsoft Entra ID

В этом разделе описаны основные шаги по регистрации и управлению мобильным приложением Qlik Analytics в Entra ID и Intune. Настройте Entra ID и Intune в соответствии с требованиями вашей организации. Подробные инструкции по регистрации приложения см. в документации Microsoft Intune.

Регистрация приложения Qlik Analytics в Microsoft Entra ID

Зарегистрируйте мобильное приложение Qlik Analytics в Microsoft Entra ID, чтобы использовать его с Microsoft Intune.

Выполните следующие действия.

1. В Entra ID перейдите в раздел Регистрация приложений и выберите Новая регистрация.

2. Выберите ссылку на Корпоративные приложения, так как вы интегрируете глобально зарегистрированное приложение.

3. Найдите идентификатор приложения: 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Это глобальная регистрация приложения Qlik.

4. При необходимости администратор Intune может инициировать регистрацию, войдя в систему и перейдя по ссылке:

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. После того как мобильное приложение Qlik Analytics будет добавлено и появится в разделе Корпоративные приложения, выполните следующее:

   • Назначьте пользователей и группы, если вы хотите ограничить доступ к приложению.

   • В разделе Разрешения предоставьте согласие администратора для вашего домена.

Руководство по политике условного доступа

Мобильное приложение Qlik Analytics глобально зарегистрировано в Microsoft Entra ID с идентификатором приложения 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Эта регистрация отображается как облачное приложение в вашем клиенте. Любая политика условного доступа, применяемая ко Всем облачным приложениям, применяется к этой регистрации приложения.

Условный доступ и процесс аутентификации

Процесс аутентификации Разрешено с Intune включает два этапа входа:

1. Аутентификация приложения (вход MSAL)

   Мобильное приложение Qlik Analytics использует MSAL для аутентификации пользователя с помощью Entra. Политики Intune MAM оцениваются на этом этапе.

2. Вход в Qlik Cloud через браузер

   Приложение открывает внешний браузер на устройстве для завершения аутентификации Qlik Cloud. Для процессов Intune принудительно используется Microsoft Edge.

На этом втором этапе Entra оценивает браузер, а не мобильное приложение Qlik Analytics, как клиентское приложение при применении политик условного доступа для регистрации приложения. Любой элемент управления предоставлением доступа, применяемый к регистрации приложения, должен поддерживаться браузером, используемым на этом этапе.

Рекомендации по области действия условного доступа

Поскольку регистрация приложения Qlik Analytics отображается как облачное приложение в вашем клиенте, политики условного доступа, применяемые ко Всем облачным приложениям, также применяются к этапу входа через браузер.

Если политика использует Требовать политику защиты приложений в качестве элемента управления предоставлением доступа, браузер, используемый на этапе входа в Qlik, должен самостоятельно удовлетворять этому требованию. Для этого требуется, чтобы для Microsoft Edge была развернута политика защиты приложений Intune для ваших пользователей. Если Edge не охвачен политикой защиты приложений, этап входа через браузер может быть заблокирован.

Перед развертыванием

Перед развертыванием мобильного приложения Qlik Analytics с принудительным применением Intune MAM уточните у администратора Microsoft Entra или Intune, как ваши существующие политики условного доступа применяются к браузеру, используемому на этапе входа в Qlik.

Qlik не предоставляет руководство по настройке политик условного доступа Entra или более широких конфигураций развертывания Intune. Для получения руководства см. Узнайте об условном доступе и Intune в документации Microsoft.

Настройка мобильного доступа с помощью MAM в Qlik Cloud

Принудительное применение Intune (MAM) контролируется разрешением на мобильный доступ, назначенным пользователям и группам в центре активности администрирования Qlik Cloud. Это основной шаг настройки на стороне Qlik, который должен быть выполнен наряду с настройкой Intune и Entra.

Разрешения на мобильный доступ

Вы настраиваете разрешения на мобильный доступ в центре активности Администрирование > Управление пользователями > Разрешения.

Откройте настройки разрешений для значения по умолчанию для пользователя или пользовательской роли, разверните Функции и действия и найдите Мобильные устройства > Собственное мобильное приложение.

Для получения дополнительной информации о настройках разрешений см. Настройка доступа к мобильному приложению Qlik Analytics.

Руководство по назначению разрешений для клиентов, управляемых Intune

Для клиентов, использующих защиту приложений Intune, назначьте Разрешено с Intune всем пользователям и группам, которым требуется мобильный доступ, независимо от состояния управления устройством.

Почему значения «Разрешено» недостаточно для пользователей, управляемых Intune

Разрешение на мобильный доступ применяется к пользователю, а не к устройству. Если пользователю назначено Разрешено на его корпоративном устройстве, зарегистрированном в MDM, он имеет то же разрешение на доступ при входе на личном, неуправляемом устройстве.

Это личное устройство не имеет регистрации MDM и брокера Intune. Если разрешение на доступ пользователя установлено на Разрешено, мобильное приложение Qlik Analytics не требует регистрации в Intune, и доступ предоставляется без применения политик защиты приложений. Пользователь может получить доступ к клиенту с неуправляемого устройства без защиты Intune, обходя политики Intune вашей организации.

Рекомендуемый шаблон назначения для клиентов, управляемых Intune

Используйте Разрешено только для клиентов или групп, где защита приложений Intune не требуется, например, для внутренних клиентов без Intune или определенных сервисных учетных записей.

Совместимость поставщика удостоверений

Для принудительного применения Intune MAM требуется Microsoft Entra ID в качестве поставщика удостоверений (IdP) для вашего клиента Qlik Cloud. В следующей таблице обобщена поддержка мобильных приложений в различных конфигурациях поставщиков удостоверений.

Важные соображения

Политики защиты приложений контролируют, какие приложения могут обмениваться данными друг с другом.

• Если пользователям необходимо отправлять диагностические электронные письма из мобильного приложения Qlik Analytics, политика должна разрешать передачу данных между приложениями.

• Мобильному приложению Qlik Analytics требуется доступ к браузеру устройства для завершения входа. Ваша политика защиты приложений должна разрешать это.

• Ключевые настройки политики приложений Intune для проверки:

  • Защита данных > Отправка данных организации в другие приложения

  • Защита данных > Выбор приложений для исключения (com.qlik.qsm)

  • Функциональность > Ограничение передачи веб-содержимого в другие приложения — при настройке на открытие URL-адресов в Microsoft Edge страница входа в Qlik Cloud открывается в Edge. Затем Edge выполняет собственную аутентификацию Microsoft перед отображением страницы. Если ваши политики условного доступа применяют элемент управления предоставлением доступа ко Всем облачным приложениям или к регистрации приложения IdP, этот элемент управления предоставлением доступа оценивается для Edge на этом этапе. См. Руководство по политике условного доступа для получения информации о последствиях различных элементов управления предоставлением доступа на этом этапе оценки.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}