Säkra och konfigurera Qlik Analytics-mobilappen med Microsoft Intune

Qlik Analytics-mobilappen ger fältteam säker åtkomst till Qlik Cloud-analyser på deras mobila enheter. Du kan använda Microsoft Intune och Microsoft Entra ID för att styra åtkomst, skydda företagsdata och tillhandahålla de inställningar som användare behöver för att ansluta till din Qlik Cloud-klientorganisation.

Det här avsnittet beskriver hur du konfigurerar Intune-appskyddspolicyer, appkonfigurationspolicyer och Qlik Cloud-åtkomstkontroller för att hantera och säkra Qlik Analytics-mobilappen på Android- och iOS-enheter.

Konfigurera Microsoft Intune för Qlik Analytics-mobilappen i Microsoft Entra ID

Det här avsnittet beskriver de viktigaste stegen för att registrera och hantera Qlik Analytics-mobilappen i Entra ID och Intune. Konfigurera Entra ID och Intune enligt din organisations krav. Detaljerade instruktioner om applikationsregistrering finns i Microsoft Intune-dokumentationen.

Registrera Qlik Analytics-appen i Microsoft Entra ID

Registrera Qlik Analytics-mobilappen i Microsoft Entra ID för att använda den med Microsoft Intune.

Gör följande:

1. I Entra ID går du till Appregistreringar och väljer Ny registrering.

2. Välj länken till Företagsapplikationer, eftersom du integrerar en globalt registrerad applikation.

3. Sök efter applikations-ID:t: 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Detta är den globala appregistreringen för Qlik.

4. Vid behov kan Intune-administratören initiera registreringen genom att logga in och besöka:

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. När Qlik Analytics-mobilappen har lagts till och visas under Företagsapplikationer slutför du följande:

   • Tilldela användare och grupper om du vill begränsa vem som kan få åtkomst till appen.

   • Under Behörigheter beviljar du administratörsmedgivande för din domän.

Vägledning för policy för villkorlig åtkomst

Qlik Analytics-mobilappen är globalt registrerad i Microsoft Entra ID med applikations-ID 53dfc2c0-8711-4bb3-a48f-b384ff663ab9. Den här registreringen visas som en molnapplikation i din klientorganisation. Alla policyer för villkorlig åtkomst som är begränsade till Alla molnappar gäller för den här appregistreringen.

Villkorlig åtkomst och autentiseringsflöde

Autentiseringsflödet Tillåtet med Intune innehåller två inloggningssteg:

1. Appautentisering (MSAL-inloggning)

   Qlik Analytics-mobilappen använder MSAL för att autentisera användaren med Entra. Intune MAM-policyer utvärderas under det här steget.

2. Webbläsarbaserad Qlik Cloud-inloggning

   Appen öppnar en extern webbläsare på enheten för att slutföra Qlik Cloud-autentiseringen. För Intune-flöden framtvingas Microsoft Edge.

I det här andra steget utvärderar Entra webbläsaren – inte Qlik Analytics-mobilappen – som klientapplikation när policyer för villkorlig åtkomst tillämpas för appregistreringen. Alla beviljandekontroller som tillämpas på appregistreringen måste stödjas av den webbläsare som används i det här steget.

Överväganden för omfattning av villkorlig åtkomst

Eftersom Qlik Analytics-appregistreringen är synlig som en molnapplikation i din klientorganisation gäller policyer för villkorlig åtkomst som är begränsade till Alla molnappar även för webbläsarinloggningssteget.

Om en policy använder Kräv appskyddspolicy som beviljandekontroll måste den webbläsare som används i Qlik-inloggningssteget uppfylla detta krav oberoende av varandra. Detta kräver att Microsoft Edge har en Intune-appskyddspolicy distribuerad för dina användare. Om Edge inte omfattas av en appskyddspolicy kan webbläsarinloggningssteget blockeras.

Före distribution

Innan du distribuerar Qlik Analytics-mobilappen med tillämpning av Intune MAM bör du verifiera med din Microsoft Entra- eller Intune-administratör hur dina befintliga policyer för villkorlig åtkomst gäller för den webbläsare som används i Qlik-inloggningssteget.

Qlik ger ingen vägledning om hur du konfigurerar Entra-policyer för villkorlig åtkomst eller bredare Intune-distributionskonfigurationer. För vägledning, se Läs mer om villkorlig åtkomst och Intune i Microsoft-dokumentationen.

Konfigurera mobil åtkomst med MAM i Qlik Cloud

Intune (MAM)-tillämpning styrs av den mobila åtkomstbehörighet som tilldelats användare och grupper i aktivitetscentret för Qlik Cloud-administration. Detta är det huvudsakliga konfigurationssteget på Qlik-sidan och måste slutföras tillsammans med din Intune- och Entra-konfiguration.

Behörigheter för mobil åtkomst

Du konfigurerar behörigheter för mobil åtkomst i aktivitetscentret Administration > Hantera användare > Behörigheter.

Öppna behörighetsinställningarna för Användarstandard eller en anpassad roll, expandera Funktioner och åtgärder och leta reda på Mobil > Inbyggd mobilapp.

Mer information om behörighetsinställningarna finns i Ställa in åtkomst till mobilappen Qlik Analytics.

Vägledning för behörighetstilldelning för Intune-styrda klientorganisationer

För klientorganisationer som använder Intune-appskydd tilldelar du Tillåtet med Intune till alla användare och grupper som kräver mobil åtkomst, oavsett enhetshanteringstillstånd.

Varför Tillåtet inte är tillräckligt för Intune-styrda användare

Behörigheten för mobil åtkomst gäller för användaren, inte för enheten. Om en användare tilldelas Tillåtet på sin företagsägda, MDM-registrerade enhet, har de samma åtkomstbehörighet när de loggar in på en personlig, ohanterad enhet.

Den personliga enheten har ingen MDM-registrering och ingen Intune-mäklare. När användarens åtkomstbehörighet är inställd på Tillåtet kräver Qlik Analytics-mobilappen inte Intune-registrering, och åtkomst beviljas utan att appskyddspolicyer tillämpas. Användaren kan få åtkomst till klientorganisationen från en ohanterad enhet utan Intune-skydd och därmed kringgå organisationens Intune-policyer.

Rekommenderat tilldelningsmönster för Intune-styrda klientorganisationer

Använd Tillåtet endast för klientorganisationer eller grupper där Intune-appskydd inte krävs, till exempel interna klientorganisationer utan Intune eller specifika tjänstekonton.

Kompatibilitet för identitetsleverantör

Tillämpning av Intune MAM kräver Microsoft Entra ID som identitetsleverantör (IdP) för din Qlik Cloud-klientorganisation. Följande tabell sammanfattar mobilappstöd för olika konfigurationer av identitetsleverantörer.

Viktiga överväganden

Appskyddspolicyer styr vilka appar som kan dela data med varandra.

• Om användare behöver skicka diagnostiska e-postmeddelanden från Qlik Analytics-mobilappen måste policyn tillåta dataöverföring mellan appar.

• Qlik Analytics-mobilappen kräver åtkomst till enhetens webbläsare för att slutföra inloggningen. Din appskyddspolicy måste tillåta detta.

• Viktiga Intune-appolicyinställningar att granska:

  • Dataskydd > Skicka organisationsdata till andra appar

  • Dataskydd > Välj appar att undanta (com.qlik.qsm)

  • Funktionalitet > Begränsa överföring av webbinnehåll med andra appar – när den är konfigurerad för att öppna webbadresser i Microsoft Edge öppnas inloggningssidan för Qlik Cloud i Edge. Edge utför sedan sin egen Microsoft-autentisering innan sidan renderas. Om dina policyer för villkorlig åtkomst tillämpar en beviljandekontroll på Alla molnappar eller på din IdP-appregistrering utvärderas den beviljandekontrollen mot Edge vid denna tidpunkt. Se Vägledning för policy för villkorlig åtkomst för konsekvenserna av olika beviljandekontroller vid den utvärderingstidpunkten.

• Kallstart och MAM-appskyddspolicyer – Vid den första installationen är Qlik Analytics-mobilappen i ett ohanterat tillstånd (ingen Intune-appskyddspolicy tillämpad) tills den har startats och policyn har tilldelats och tillämpats. Om Microsoft Edge är konfigurerat med en MAM-policy som begränsar autentiseringswebbläsarsessionen till att endast interagera med policyhanterade appar kan autentiseringsflödet blockeras, eftersom appen ännu inte har registrerats som en hanterad app med Intune-tjänsten. Administratörer kan behöva antingen undanta Qlik Analytics-appen från denna begränsning eller se till att tilldelningen av appskyddspolicyn är slutförd innan användarens första start.

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}