# Защита и настройка мобильного Qlik Analytics приложения с помощью Microsoft Intune Мобильное Qlik Analytics приложение предоставляет выездным группам безопасный доступ к аналитике Qlik Cloud на их мобильных устройствах. Вы можете использовать Microsoft Intune и Microsoft Entra ID для управления доступом, защиты данных компании и предоставления пользователям необходимых настроек для подключения к вашему Qlik Cloud клиенту. В этом разделе описывается, как настроить политики защиты приложений Intune, политики конфигурации приложений и элементы управления доступом Qlik Cloud для управления мобильным приложением Qlik Analytics и обеспечения его безопасности на устройствах Android и iOS. ## Об интеграции Microsoft Intune * Qlik интегрировала стандартные SDK Microsoft Intune и Microsoft Authentication Library (MSAL) в соответствии с рекомендациями Microsoft для разработчиков. * Microsoft Entra ID, Microsoft Intune и связанные с ними SDK являются продуктами Microsoft. * Qlik, в том числе поддержка Qlik, не может предоставлять рекомендации по настройке вашего развертывания Entra или Intune либо по настройкам мобильных устройств, на которых используется мобильное приложение Qlik Analytics. * Обратитесь к [документации Microsoft Intune](https://learn.microsoft.com/en-us/intune/intune-service/apps/app-management) или свяжитесь со службой поддержки Microsoft Intune для получения рекомендаций по управлению мобильными устройствами (MDM) или управлению мобильными приложениями (MAM). Примечание к информацииSDK Microsoft Tunnel для управления мобильными приложениями не интегрирован в мобильное приложение Qlik Analytics. ## Что вам понадобится, прежде чем начать Прежде чем настраивать мобильное Qlik Analytics приложение в Intune, убедитесь, что у вас есть следующее: * Qlik Cloud клиент, использующий Microsoft Entra ID в качестве основного поставщика удостоверений Для принудительного применения Intune MAM требуется, чтобы ваш клиент Qlik Cloud был настроен на прямое использование Entra ID в качестве поставщика удостоверений через OIDC. Для получения дополнительной информации см. раздел [Поставщики удостоверений в Qlik Cloud](https://help.qlik.com/ru-RU/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-idp-configuration.htm). Примечание к информацииТенанты, использующие поставщика удостоверений, отличного от Entra (например, Okta, Auth0, SAML или Qlik Account), не поддерживают принудительное применение Intune MAM. Клиенты, использующие федерацию поставщика удостоверений, отличного от Entra, с Microsoft Entra ID, не поддерживаются в этом выпуске. См. [Совместимость с поставщиками удостоверений](https://help.qlik.com/ru-RU/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#IDP). * Microsoft Entra ID интегрирован с Microsoft Intune Ваша организация должна иметь Entra, подключенный к Intune, чтобы вы могли применять политики для устройств и приложений. * Пользователи, зарегистрированные в Microsoft Entra ID Все пользователи, которые будут получать доступ к мобильному приложению Qlik Analytics, должны иметь учетные записи в вашем клиенте Entra ID и быть включены в каталог пользователей, используемый для доступа к клиенту Qlik Cloud. * Разрешения администратора клиента Qlik Cloud Вам необходим доступ администратора клиента в Qlik Cloud для назначения элементов управления мобильным доступом пользователям и группам. См. [Настройка мобильного доступа с помощью MAM в Qlik Cloud](https://help.qlik.com/ru-RU/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#Configur2). ## Установка мобильного приложения Qlik Analytics Мобильное Qlik Analytics приложение доступно в iOS App Store и Google Play Store. Для получения дополнительной информации см. раздел [Начало работы с мобильным приложением Qlik Analytics](https://help.qlik.com/ru-RU/cloud-services/Subsystems/Hub/Content/Sense_Hub/Mobile/qsmsaas-get-started.htm). Примечание к информацииВ зависимости от платформы и развертывания на устройстве могут потребоваться Microsoft Company Portal и/или Microsoft Authenticator. В Android для сценариев MAM без регистрации устройств (MAM-WE) требуется Корпоративный портал. ## Настройка Microsoft Intune для мобильного Qlik Analytics приложения в Microsoft Entra ID В этом разделе описаны основные шаги для регистрации и управления мобильным Qlik Analytics приложением в Entra ID и Intune. Настройте Entra ID и Intune в соответствии с требованиями вашей организации. Подробные инструкции по регистрации приложения см. в [документации Microsoft Intune](https://learn.microsoft.com/en-us/intune/intune-service/apps/app-management). ### Регистрация приложения Qlik Analytics в Microsoft Entra ID Зарегистрируйте мобильное приложение Qlik Analytics в Microsoft Entra ID, чтобы использовать его с Microsoft Intune. Выполните следующие действия. 1. В Entra ID перейдите в раздел Регистрации приложений и выберите Новая регистрация. 2. Выберите ссылку на Корпоративные приложения, так как вы интегрируете глобально зарегистрированное приложение. 3. Найдите идентификатор приложения: `53dfc2c0-8711-4bb3-a48f-b384ff663ab9`. Это глобальная регистрация приложения Qlik. 4. При необходимости администратор Intune может инициировать регистрацию, войдя в систему и посетив: `https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9` 5. После того как мобильное приложение Qlik Analytics будет добавлено и появится в разделе Корпоративные приложения, выполните следующие действия: * Назначьте пользователей и группы, если вы хотите ограничить доступ к приложению. * В разделе Разрешения предоставьте согласие администратора для своего домена. ### Рекомендации по политикам условного доступа Мобильное приложение Qlik Analytics глобально зарегистрировано в Microsoft Entra ID с идентификатором приложения `53dfc2c0-8711-4bb3-a48f-b384ff663ab9`. Эта регистрация отображается как облачное приложение в вашем клиенте. Любая политика условного доступа с областью действия Все облачные приложения применяется к этой регистрации приложения. #### Условный доступ и поток аутентификации Процесс аутентификации Allowed with Intune включает два этапа входа: 1. Аутентификация приложения (вход с помощью MSAL) Мобильное приложение Qlik Analytics использует MSAL для аутентификации пользователя в Entra. На этом шаге оцениваются политики Intune MAM. 2. Вход в Qlik Cloud через браузер Приложение открывает внешний браузер на устройстве для завершения аутентификации в Qlik Cloud. Для потоков Intune принудительно применяется Microsoft Edge. На этом втором шаге Entra оценивает браузер — а не мобильное приложение Qlik Analytics — как клиентское приложение при применении политик условного доступа для регистрации приложения. Любой элемент управления предоставлением разрешений, примененный к регистрации приложения, должен поддерживаться браузером, используемым на этом шаге. #### Рекомендации по области действия условного доступа Поскольку регистрация приложения Qlik Analytics отображается как облачное приложение в вашем клиенте, политики условного доступа, область действия которых распространяется на Все облачные приложения, также применяются к этапу входа через браузер. Если политика использует Требовать политику защиты приложений в качестве элемента управления предоставлением доступа, браузер, используемый на этапе входа в Qlik, должен удовлетворять этому требованию независимо. Для этого требуется, чтобы для ваших пользователей была развернута политика защиты приложений Intune для Microsoft Edge. Если Edge не подпадает под действие политики защиты приложений, этап входа в браузер может быть заблокирован. #### Перед развертыванием Перед развертыванием мобильного приложения Qlik Analytics с принудительным применением Intune MAM уточните у администратора Microsoft Entra или Intune, как существующие политики условного доступа применяются к браузеру, используемому на этапе входа в Qlik. Qlik не предоставляет рекомендаций по настройке политик Entra Conditional Access или более широких конфигураций развертывания Intune. Рекомендации см. в документации Microsoft: [Узнайте об условном доступе и Intune](https://learn.microsoft.com/en-us/intune/intune-service/protect/conditional-access). ### Как работает принудительное применение MAM для мобильного приложения Qlik Analytics Когда пользователю назначается доступ Разрешено с помощью Intune, мобильное приложение Qlik Analytics инициирует регистрацию в Microsoft Intune в рамках процесса входа. Приложение проверяет статус регистрации перед предоставлением доступа к контенту клиента. Если устройство не зарегистрировано должным образом или не соответствует требованиям Intune, доступ запрещается на уровне приложения. Это принудительное применение выполняется в мобильном приложении и является частью поэтапного развертывания. В будущем выпуске будет добавлено соответствующее принудительное применение на стороне сервера на Слое аутентификации Qlik Cloud для дополнительной эшелонированной защиты. ## Настройка мобильного доступа с помощью MAM в Qlik Cloud Применение Intune (MAM) контролируется разрешением на мобильный доступ, назначенным пользователям и группам в центре активности Administration Qlik Cloud. Это основной шаг настройки на стороне Qlik, который необходимо выполнить наряду с настройкой Intune и Entra. ### Права мобильного доступа Разрешения на мобильный доступ настраиваются в центре активности Администрирование > Управление пользователями > Разрешения. Нажмите Управление разрешениями по умолчанию или откройте настраиваемую роль, разверните Функции и действия и найдите Мобильные устройства > Нативное мобильное приложение. Дополнительные сведения о настройках разрешений см. в [Настройка доступа к мобильному приложению Qlik Analytics](https://help.qlik.com/ru-RU/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mobile-set-access.htm). ### Рекомендации по назначению разрешений для клиентов под управлением Intune Для клиентов, использующих защиту приложений Intune, назначьте Разрешено с помощью Intune всем пользователям и группам, которым требуется мобильный доступ, независимо от состояния управления устройствами. #### Почему статуса Allowed недостаточно для пользователей под управлением Intune Разрешение на мобильный доступ распространяется на пользователя, а не на устройство. Если пользователю назначено Разрешено на корпоративном устройстве, зарегистрированном в MDM, то же разрешение на доступ сохраняется при входе с личного неуправляемого устройства. Это личное устройство не имеет регистрации в MDM и брокера Intune. Если для разрешения на доступ пользователя задано значение Разрешено, Qlik Analyticsмобильное приложение не требует регистрации в Intune, а доступ предоставляется без применения политик защиты приложений. Пользователь может получить доступ к клиенту с неуправляемого устройства без защиты Intune, в обход политик Intune вашей организации. #### Рекомендуемый шаблон назначения для клиентов, управляемых Intune Шаблон присваивания | Назначение | Разрешение | Причина | | --- | --- | --- | | Настройка разрешений по умолчанию | Не разрешено | По умолчанию мобильный доступ отсутствует | | Пользователи, зарегистрированные в MDM | Разрешено с помощью Intune | На зарегистрированных устройствах регистрация завершается незаметно или практически незаметно. Никаких существенных затруднений не создается. Тот же пользователь на личном устройстве должен завершить регистрацию, прежде чем будет предоставлен доступ. | | Пользователи BYOD | Разрешено с помощью Intune | Требование полной регистрации на неуправляемых устройствах. | Используйте Разрешено только для клиентов или групп, для которых не требуется защита приложений Intune, например для внутренних клиентов без Intune или определенных учетных записей служб. ### Совместимость с поставщиками удостоверений Для применения Intune MAM требуется Microsoft Entra ID в качестве поставщика удостоверений (IdP) для вашего клиента Qlik Cloud. В следующей таблице обобщены сведения о поддержке мобильного приложения для различных конфигураций поставщиков удостоверений. Совместимость с IdP | Поставщик удостоверений | Стандартный мобильный доступ (Разрешено) | Применение Intune (разрешено с помощью Intune) | | --- | --- | --- | | Microsoft Entra ID | Поддерживается | Поддерживается | | Okta (без федерации с Entra) | Поддерживается | Не поддерживается — не назначайте Разрешено с помощью Intune | | Auth0 (без федерации с Entra) | Поддерживается | Не поддерживается — не назначайте Разрешено с помощью Intune | | SAML / ADFS (без федерации Entra) | Поддерживается | Не поддерживается — не назначайте Разрешено с помощью Intune | | Qlik Account | Поддерживается | Не поддерживается — не назначайте Разрешено с помощью Intune | | Универсальный OIDC | Поддерживается | Не поддерживается — не назначайте Разрешено с помощью Intune | | Сценарии с федеративным поставщиком удостоверений (любой поставщик удостоверений, отличный от Entra, объединенный в федерацию с Entra ID) | Поддерживается | Не поддерживается в этой версии | Примечание к информацииСценарии с федеративным IdP: клиенты, настроившие федерацию Okta, Auth0, SAML или ADFS с Microsoft Entra ID, в этом выпуске не поддерживаются для принудительного применения Intune MAM. Назначение Разрешено с Intune пользователям в клиенте с федеративным IdP приведет к сбоям аутентификации. Поддержка сценариев с федеративными IdP запланирована в одном из будущих выпусков. ## Настройка политик защиты приложений Мобильное приложение Qlik Analytics поддерживает следующие Intune функции политики: * Требование к пользователям входить в систему с учетными данными компании (Microsoft Entra ID). * Принудительное использование PIN-кода для доступа к приложению. * Ограничение действий копирования, вставки и загрузки в приложении. * Блокировка или контроль снимков экрана. * Предварительная загрузка настроек клиента Qlik Cloud с помощью политик конфигурации приложения. ### Важные замечания Политики защиты приложений контролируют, какие приложения могут обмениваться данными друг с другом. * Если пользователям нужно отправлять диагностические электронные письма из мобильного Qlik Analytics приложения, политика должна разрешать передачу данных между приложениями. * Мобильному приложению Qlik Analytics требуется доступ к браузеру устройства для завершения входа. Ваша политика защиты приложений должна разрешать это. * Основные параметры политики приложений Intune для проверки: * Защита данных > Отправлять данные организации в другие приложения * Защита данных > Выбрать приложения для исключения (com.qlik.qsm) * Функциональные возможности > Ограничить передачу веб-содержимого другим приложениям — если настроено открытие URL-адресов в Microsoft Edge, страница входа в Qlik Cloud открывается в Edge. Затем Edge выполняет собственную проверку подлинности Microsoft перед отображением страницы. Если ваши политики условного доступа применяют элемент управления предоставлением к всем облачным приложениям или к регистрации приложения IdP, на этом этапе данный элемент управления предоставлением оценивается для Edge. См. [Рекомендации по политикам условного доступа](https://help.qlik.com/ru-RU/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#Conditio), чтобы узнать о последствиях применения различных элементов управления предоставлением разрешений на этом этапе оценки. * Холодный запуск и политики защиты приложений MAM — при первоначальной установке мобильное приложение Qlik Analytics находится в неуправляемом состоянии (политика защиты приложений Intune не применена) до тех пор, пока оно не будет запущено, а политика не будет назначена и применена. Если для Microsoft Edge настроена политика MAM, ограничивающая сеанс браузера для проверки подлинности взаимодействием только с управляемыми политикой приложениями, процесс проверки подлинности может быть заблокирован, поскольку приложение еще не зарегистрировано в службе Intune в качестве управляемого приложения. Администраторам может потребоваться либо исключить приложение Qlik Analytics из этого ограничения, либо убедиться, что назначение политики защиты приложений завершено до первого запуска пользователем. ## Настройка политик конфигурации приложений Используйте политики конфигурации приложений в Intune, чтобы предоставить мобильному приложению Qlik Analytics необходимые настройки для подключения к вашему клиенту Qlik Cloud. В следующих примерах показано, как настроить пары «ключ-значение» для мобильного приложения в Intune. Замените заполнители (``, ``, ``) своими значениями. ### Управляемые устройства (iOS) Конфигурации приложений > Имя политики > Свойства > Параметры: * Тип регистрации устройства: Управляемые устройства * Платформа: iOS Пары «ключ-значение»: Ключ: `mdm` Значение: ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` `Accounts` определяет одного или нескольких Qlik Cloud клиентов, к которым может подключаться приложение. * `name`: Выбранное вами имя клиента, отображаемое пользователям. * `url`: URL-адрес клиента Qlik Cloud (например, mobileintune.us.qlikcloud.com). Ключ: `IntuneMAMOID` Значение: `{{userid}}` Передает идентификатор пользователя Intune в приложение. OR * Тип регистрации устройства: Управляемые устройства * Платформа: Android Пары «ключ-значение»: Ключ: `mdm` Значение: ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` `Accounts` определяет одного или нескольких Qlik Cloud клиентов, к которым может подключаться приложение. * `name`: Выбранное вами имя клиента, отображаемое пользователям. * `url`: URL-адрес клиента Qlik Cloud (например, mobileintune.us.qlikcloud.com). ### Управляемые приложения (несколько платформ) Конфигурации приложений > Имя политики > Свойства > Параметры: * Тип регистрации устройства: Управляемые приложения * Платформа: iOS Пара «ключ-значение»: Ключ: `mdm` Значение: ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` Этот JSON выполняет ту же функцию, что и в сценарии управляемого устройства, определяя доступные клиентские подключения для аутентификации в вашей Qlik Cloud среде. В этом сценарии требуется только `mdm` ключ. Сопоставление идентификаторов пользователей не требуется. ## Информация о политике в приложении Экран О программе в настройках мобильного приложения Qlik Analytics показывает, применена ли к приложению политика. * При развертывании любой политики (защиты приложений или конфигурации приложений) на экране отображается Политика применена — Да. * Если для политики настроено имя политики, оно также отображается в отдельной строке как Имя политики.