保護及設定 Qlik 分析 行動應用程式與 Microsoft Intune

Qlik 分析 行動應用程式可讓現場團隊在其行動裝置上安全地存取 Qlik Cloud 分析。您可以使用 Microsoft Intune 和 Microsoft Entra ID 來控制存取、保護公司資料，並提供使用者連線至 Qlik Cloud 租用戶所需的設定。

本主題說明如何設定 Intune 應用程式保護原則、應用程式設定原則，以及 Qlik Cloud 存取控制，以管理並保護 Android 和 iOS 裝置上的 Qlik 分析 行動應用程式。

在 Microsoft Entra ID 中為 Qlik 分析 行動應用程式設定 Microsoft Intune

本區段概述在 Qlik 分析 和 Entra ID 中註冊和管理 Intune 行動應用程式的主要步驟。根據貴組織的需求設定 Entra ID 和 Intune。如需應用程式註冊的詳細指示，請參閱 Microsoft Intune 文件。

在 Microsoft Entra ID 中註冊 Qlik 分析 應用程式

在 Microsoft Entra ID 中註冊 Qlik 分析 行動應用程式，以便與 Microsoft Intune 搭配使用。

請執行下列動作：

1. 在 Entra ID 中，移至 應用程式註冊，然後選取 新增註冊。

2. 選取 企業應用程式 的連結，因為您正在整合全域註冊的應用程式。

3. 搜尋應用程式 ID：53dfc2c0-8711-4bb3-a48f-b384ff663ab9。這是 Qlik 全域應用程式註冊。

4. 如有需要，Intune 管理員可以登入並造訪以下網址來啟動註冊：

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. 新增 Qlik 分析 行動應用程式並顯示在 企業應用程式 下方後，請完成下列步驟：

   • 如果您想限制可存取應用程式的人員，請指派使用者和群組。

   • 在 權限 下，為您的網域授與管理員同意權。

條件式存取原則指引

Qlik 分析 行動應用程式已在 Microsoft Entra ID 中全域註冊，應用程式識別碼為 53dfc2c0-8711-4bb3-a48f-b384ff663ab9。此註冊會在您的租用戶中顯示為雲端應用程式。任何範圍限定為 所有雲端應用程式 的條件式存取原則皆適用於此應用程式註冊。

條件式存取與驗證流程

允許使用 Intune 驗證流程包含兩個登入步驟：

1. 應用程式驗證 (MSAL 登入)

   Qlik Analytics 行動應用程式使用 MSAL 向 Entra 驗證使用者。在此步驟中會評估 Intune MAM 原則。

2. 以瀏覽器為基礎的 Qlik Cloud 登入

   應用程式會在裝置上開啟外部瀏覽器，以完成 Qlik Cloud 驗證。針對 Intune 流程，會強制使用 Microsoft Edge。

在第二個步驟中，Entra 在套用應用程式註冊的條件式存取原則時，會將瀏覽器—而非 Qlik 分析 行動應用程式—評估為用戶端應用程式。套用至應用程式註冊的任何授與控制項，都必須受此步驟所使用的瀏覽器支援。

條件式存取範圍考量事項

因為 Qlik 分析 應用程式註冊在您的租用戶中會顯示為雲端應用程式，所以範圍設定為 所有雲端應用程式 的條件式存取原則也會套用至瀏覽器登入步驟。

如果原則使用 需要應用程式保護原則 做為授與控制項，則在 Qlik 登入步驟中使用的瀏覽器必須獨立符合此要求。這需要為您的使用者部署 Microsoft Edge 的 Intune 應用程式防護原則。如果 Edge 未受應用程式保護原則涵蓋，瀏覽器登入步驟可能會遭到封鎖。

部署前

在搭配 Intune MAM 強制執行部署 Qlik Analytics 行動應用程式之前，請向您的 Microsoft Entra 或 Intune 管理員確認您現有的條件式存取原則如何套用至 Qlik 登入步驟中使用的瀏覽器。

Qlik 不提供設定 Entra 條件式存取原則或更廣泛的 Intune 部署設定的相關指引。如需指引，請參閱 Microsoft 文件中的 瞭解條件式存取和 Intune。

在 Qlik Cloud 中使用 MAM 設定行動存取

Intune (MAM) 強制執行是由指派給 Qlik Cloud 管理活動中心中使用者和群組的行動存取權限所控制。這是 Qlik 端的主要設定步驟，且必須與您的 Intune 和 Entra 設定一併完成。

行動存取權限

您可以在 管理 活動中心 > 管理使用者 > 權限 中設定行動存取權限。

按一下 管理預設權限 或開啟自訂角色，展開 功能與動作，並找到 行動裝置 > 原生行動應用程式。

如需有關權限設定的詳細資訊，請參閱設定 Qlik 分析 行動應用程式的存取權限。

適用於受 Intune 管制之租用戶的權限指派指南

針對使用 Intune 應用程式保護的租用戶，無論裝置管理狀態為何，請將 允許使用 Intune 指派給所有需要行動存取權的使用者和群組。

為何「允許」對受 Intune 管控的使用者而言並不足夠

行動存取權限適用於使用者，而非裝置。如果使用者在已註冊 MDM 的公司裝置上被指派 Allowed，當他們登入個人、未受管理的裝置時，也會具有相同的存取權限。

該個人裝置未進行 MDM 註冊，也沒有 Intune 訊息代理程式。當使用者的存取權限設定為 允許 時，Qlik 分析行動應用程式不需要進行 Intune 註冊，且可在未套用應用程式保護原則的情況下獲准存取。使用者可以從沒有 Intune 保護的未受管理裝置存取租用戶，略過貴組織的 Intune 原則。

適用於受 Intune 控管之租用戶的建議指派模式

僅針對不需要 Intune 應用程式保護的租用戶或群組 (例如內部非 Intune 租用戶或特定服務帳戶) 使用 允許。

身分識別提供者相容性

強制執行 Intune MAM 需要 Microsoft Entra ID 作為您 Qlik Cloud 租用戶的身分識別提供者 (IdP)。下表摘要說明各身分提供者設定的行動應用程式支援情形。

重要考慮事項

應用程式保護原則可控制哪些應用程式可以彼此共用資料。

• 如果使用者需要從 Qlik 分析 行動應用程式傳送診斷電子郵件，原則必須允許應用程式之間進行資料傳輸。

• Qlik Analytics 行動應用程式需要存取裝置瀏覽器以完成登入。您的應用程式保護原則必須允許此操作。

• 要審查的關鍵 Intune 應用程式政策設定：

  • 資料保護 > 將組織資料傳送至其他應用程式

  • 資料保護 > 選取要豁免的應用程式 (com.qlik.qsm)

  • 功能 > 限制與其他應用程式傳輸 Web 內容—設定為在 Microsoft Edge 中開啟 URL 時，Qlik Cloud 登入頁面會在 Edge 中開啟。Edge 接著會在轉譯頁面之前執行其本身的 Microsoft 驗證。如果您的條件式存取原則將授與控制項套用至 所有雲端應用程式 或您的 IdP 應用程式註冊，該授與控制項會在此時針對 Edge 進行評估。請參閱 條件式存取原則指引，以了解在該評估點不同授與控制項的影響。

• 冷啟動與 MAM 應用程式防護原則 — 在初始安裝時，Qlik 分析 行動應用程式會處於未受管狀態 (未套用 Intune 應用程式防護原則)，直到啟動該應用程式且已指派並套用原則為止。如果 Microsoft Edge 設定了限制驗證瀏覽器工作階段僅能與受原則管理的應用程式互動的 MAM 原則，驗證流程可能會遭到封鎖，因為該應用程式尚未向 Intune 服務註冊為受控應用程式。系統管理員可能需要將 Qlik 分析 應用程式排除在此限制之外，或確保在使用者首次啟動之前完成應用程式保護原則指派。

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}