保护和配置带 Microsoft Intune 的 Qlik Analytics 移动应用程序

Qlik Analytics 移动应用程序为现场团队提供在其移动设备上安全访问 Qlik Cloud 分析的功能。您可以使用 Microsoft Intune 和 Microsoft Entra ID 来控制访问、保护公司数据，并提供用户连接到您的 Qlik Cloud 租户所需的设置。

本主题介绍如何配置 Intune 应用程序保护策略、应用程序配置策略以及 Qlik Cloud 访问控制，以在 Android 和 iOS 设备上管理和保护 Qlik Analytics 移动应用程序。

在 Microsoft Entra ID 中为 Qlik Analytics 移动应用程序设置 Microsoft Intune

本部分概述了在 Qlik Analytics 和 Entra ID 中注册和管理 Intune 移动应用程序的主要步骤。根据您的组织要求配置 Entra ID 和 Intune。有关应用程序注册的详细说明，请参阅Microsoft Intune 文档。

在Microsoft Entra ID中注册Qlik Analytics应用程序

在Microsoft Entra ID中注册Qlik Analytics移动应用程序，以便将其与Microsoft Intune配合使用。

执行以下操作：

1. 在Entra ID中，转到应用注册，然后选择新建注册。

2. 选择企业应用程序的链接，因为您正在集成全局注册的应用程序。

3. 搜索应用程序 ID：53dfc2c0-8711-4bb3-a48f-b384ff663ab9。这是 Qlik 全局应用程序注册。

4. 如果需要，Intune 管理员可以通过登录并访问以下内容来发起注册：

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. 添加 Qlik Analytics 移动应用程序并在企业应用程序下显示后，请完成以下操作：

   • 如果您想限制谁可以访问该应用程序，请分配用户和组。

   • 在权限下，为您的域授予管理员同意。

条件访问策略指南

Qlik Analytics 移动应用程序已在 Microsoft Entra ID 中全局注册，应用程序 ID 为 53dfc2c0-8711-4bb3-a48f-b384ff663ab9。此注册在您的租户中显示为云应用程序。范围限定为所有云应用程序的任何条件访问策略均适用于此应用程序注册。

条件访问和身份验证流

通过 Intune 允许身份验证流程包含两个登录步骤：

1. 应用身份验证 (MSAL 登录)

   Qlik Analytics 移动应用程序使用 MSAL 通过 Entra 对用户进行身份验证。在此步骤中评估 Intune MAM 策略。

2. 基于浏览器的 Qlik Cloud 登录

   该应用程序在设备上打开外部浏览器以完成 Qlik Cloud 身份验证。对于 Intune 流程，强制使用 Microsoft Edge。

在第二步中，Entra 在为应用程序注册应用条件访问策略时，将浏览器（而非 Qlik Analytics 移动应用程序）评估为客户端应用程序。应用于应用程序注册的任何授权控制都必须受此步骤中使用的浏览器支持。

条件访问范围注意事项

由于 Qlik Analytics 应用程序注册在您的租户中作为云应用程序可见，因此作用域限定为所有云应用程序的条件访问策略也适用于浏览器登录步骤。

如果策略使用 需要应用程序保护策略 作为授权控制，则在 Qlik 登录步骤中使用的浏览器必须独立满足此要求。这需要为你的用户部署 Microsoft Edge 的 Intune 应用程序保护策略。如果 Edge 未受应用程序保护策略保护，浏览器登录步骤可能会被阻止。

部署前

在部署强制实施 Intune MAM 的 Qlik Analytics 移动应用程序之前，请与您的 Microsoft Entra 或 Intune 管理员确认您现有的条件访问策略如何应用于 Qlik 登录步骤中所使用的浏览器。

Qlik 不提供有关配置 Entra 条件访问策略或更广泛的 Intune 部署配置的指导。有关指导，请参阅 Microsoft 文档中的 了解条件访问和 Intune。

在 Qlik Cloud 中使用 MAM 配置移动访问

Intune (MAM) 强制执行由 Qlik Cloud 管理活动中心中分配给用户和组的移动访问权限控制。这是 Qlik 端的主要配置步骤，必须与您的 Intune 和 Entra 配置一同完成。

移动端访问权限

您可以在 Administration 活动中心 > 管理用户 > 权限 中配置移动访问权限。

单击管理默认权限或打开自定义角色，展开功能和操作，然后找到移动 > 原生移动应用程序。

有关权限设置的详细信息，请参阅 设置对 Qlik Analytics 移动应用程序的访问权限。

受 Intune 治理的租户的权限分配指南

对于使用 Intune 应用程序保护的租户，请将 允许使用 Intune 分配给所有需要移动访问的用户和组，无论设备管理状态如何。

为什么“已允许”不足以满足受 Intune 管理的用户

移动访问权限适用于用户，而非设备。如果用户在其已注册 MDM 的公司设备上被分配了 允许，则当他们在个人未受管设备上登录时，也将具有相同的访问权限。

该个人设备未进行 MDM 注册，也没有 Intune 代理。将用户的访问权限设置为 已允许 时，Qlik Analytics移动应用程序不需要 Intune 注册，并且无需应用应用程序保护策略即可授予访问权限。用户可以从未受管理且没有 Intune 保护的设备访问租户，从而绕过您组织的 Intune 策略。

受 Intune 治理的租户的推荐分配模式

仅对不需要 Intune 应用程序保护的租户或组使用 已允许，例如内部非 Intune 租户或特定服务帐户。

身份提供商兼容性

强制实施 Intune MAM 要求将 Microsoft Entra ID 作为 Qlik Cloud 租户的身份提供程序 (IdP)。下表总结了跨身份提供商配置的移动应用程序支持情况。

重要考虑因素

应用程序保护策略控制哪些应用程序可以相互共享数据。

• 如果用户需要从 Qlik Analytics 移动应用程序发送诊断电子邮件，则策略必须允许应用程序之间的数据传输。

• Qlik Analytics 移动应用程序需要访问设备浏览器以完成登录。您的应用程序保护策略必须允许此操作。

• 需审查的关键 Intune 应用程序策略设置：

  • 数据保护 > 将组织数据发送到其他应用程序

  • 数据保护 > 选择要豁免的应用程序 (com.qlik.qsm)

  • 功能 > 限制与其他应用的网络内容传输—配置为在 Microsoft Edge 中打开 URL 时，Qlik Cloud 登录页面将在 Edge 中打开。然后，Edge 会在渲染页面之前执行其自身的 Microsoft 身份验证。如果你的条件访问策略将授予控制应用于 所有云应用程序 或你的 IdP 应用程序注册，则此时将针对 Edge 评估该授予控制。请参阅 条件访问策略指南 了解该评估点不同授权控制的影响。

• 冷启动和 MAM 应用程序保护策略 — 首次安装时，Qlik Analytics 移动应用程序处于未托管状态（未应用 Intune 应用程序保护策略），直到该应用程序启动并且策略已分配并应用。如果 Microsoft Edge 配置了将身份验证浏览器会话限制为仅与受策略管理的应用程序交互的 MAM 策略，则身份验证流可能会被阻止，因为该应用程序尚未在 Intune 服务中注册为受管理应用程序。管理员可能需要将 Qlik Analytics 应用程序从此限制中豁免，或者确保在用户首次启动之前完成应用程序保护策略分配。

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}