使用 Microsoft Intune 保護與設定 Qlik 分析 行動應用程式

Qlik 分析 行動應用程式讓現場團隊能在其行動裝置上安全地存取 Qlik Cloud 分析。您可以使用 Microsoft Intune 和 Microsoft Entra ID 來控制存取、保護公司資料，並提供使用者連線至您的 Qlik Cloud 租用戶所需的設定。

本主題涵蓋如何設定 Intune 應用程式保護原則、應用程式設定原則以及 Qlik Cloud 存取控制，以管理並保護 Android 和 iOS 裝置上的 Qlik 分析 行動應用程式。

在 Microsoft Entra ID 中為 Qlik 分析 行動應用程式設定 Microsoft Intune

本節概述在 Entra ID 和 Intune 中註冊和管理 Qlik 分析 行動應用程式的主要步驟。請根據您組織的需求設定 Entra ID 和 Intune。如需應用程式註冊的詳細指示，請參閱 Microsoft Intune 文件。

在 Microsoft Entra ID 中註冊 Qlik 分析 應用程式

在 Microsoft Entra ID 中註冊 Qlik 分析 行動應用程式，以將其與 Microsoft Intune 搭配使用。

請執行下列動作：

1. 在 Entra ID 中，移至 應用程式註冊，然後選取 新增註冊。

2. 選取 企業應用程式 的連結，因為您正在整合全域註冊的應用程式。

3. 搜尋應用程式 ID：53dfc2c0-8711-4bb3-a48f-b384ff663ab9。這是 Qlik 全域應用程式註冊。

4. 如有需要，Intune 管理員可以透過登入並造訪以下網址來起始註冊：

   https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9

5. 新增 Qlik 分析 行動應用程式並顯示在 企業應用程式 下方後，請完成下列事項：

   • 如果您想要限制可存取應用程式的人員，請指派使用者和群組。

   • 在 權限 下，授與您網域的管理員同意。

條件式存取原則指引

Qlik 分析 行動應用程式已在 Microsoft Entra ID 中全域註冊，應用程式 ID 為 53dfc2c0-8711-4bb3-a48f-b384ff663ab9。此註冊會在您的租用戶中顯示為雲端應用程式。任何範圍設定為 所有雲端應用程式 的條件式存取原則，皆適用於此應用程式註冊。

條件式存取與驗證流程

允許使用 Intune 驗證流程包含兩個登入步驟：

1. 應用程式驗證 (MSAL 登入)

   Qlik Analytics 行動應用程式使用 MSAL 透過 Entra 驗證使用者。在此步驟中會評估 Intune MAM 原則。

2. 瀏覽器型 Qlik Cloud 登入

   應用程式會在裝置上開啟外部瀏覽器以完成 Qlik Cloud 驗證。對於 Intune 流程，會強制執行 Microsoft Edge。

在這第二個步驟中，當為應用程式註冊套用條件式存取原則時，Entra 會將瀏覽器 (而非 Qlik 分析 行動應用程式) 評估為用戶端應用程式。套用至應用程式註冊的任何授與控制，都必須受到此步驟中使用的瀏覽器支援。

條件式存取範圍考量

由於 Qlik 分析 應用程式註冊在您的租用戶中顯示為雲端應用程式，因此範圍設定為 所有雲端應用程式 的條件式存取原則也適用於瀏覽器登入步驟。

如果原則使用 需要應用程式保護原則 作為授與控制，則在 Qlik 登入步驟中使用的瀏覽器必須獨立滿足此需求。這需要為您的使用者部署 Microsoft Edge 的 Intune 應用程式保護原則。如果 Edge 未涵蓋在應用程式保護原則中，則瀏覽器登入步驟可能會遭到封鎖。

部署之前

在部署強制執行 Intune MAM 的 Qlik Analytics 行動應用程式之前，請向您的 Microsoft Entra 或 Intune 管理員確認您現有的條件式存取原則如何套用至 Qlik 登入步驟中使用的瀏覽器。

Qlik 不提供有關設定 Entra 條件式存取原則或更廣泛的 Intune 部署設定的指引。如需指引，請參閱 Microsoft 文件中的 了解條件式存取和 Intune。

在 Qlik Cloud 中使用 MAM 設定行動存取

Intune (MAM) 強制執行是由在 Qlik Cloud 管理活動中心指派給使用者和群組的行動存取權限所控制。這是 Qlik 端的主要設定步驟，必須與您的 Intune 和 Entra 設定一起完成。

行動存取權限

您可以在 管理 活動中心 > 管理使用者 > 權限 中設定行動存取權限。

開啟使用者預設或自訂角色的權限設定，展開 功能和動作，然後找到 行動 > 原生行動應用程式。

如需有關權限設定的詳細資訊，請參閱 設定對 Qlik 分析 行動應用程式的存取權限。

受 Intune 控管之租用戶的權限指派指引

對於使用 Intune 應用程式保護的租用戶，請將 允許使用 Intune 指派給所有需要行動存取的使用者和群組，無論裝置管理狀態為何。

為什麼「允許」對受 Intune 控管的使用者來說不夠

行動存取權限適用於使用者，而非裝置。如果使用者在其已註冊 MDM 的公司裝置上被指派 允許，當他們在未受管理的個人裝置上登入時，也會帶有相同的存取權限。

該個人裝置沒有 MDM 註冊，也沒有 Intune 代理程式。在使用者存取權限設定為 允許 的情況下，Qlik 分析 行動應用程式不需要 Intune 註冊，且會在未套用應用程式保護原則的情況下授與存取權。使用者可以從沒有 Intune 保護的未受管理裝置存取租用戶，從而繞過您組織的 Intune 原則。

受 Intune 控管之租用戶的建議指派模式

僅對不需要 Intune 應用程式保護的租用戶或群組 (例如內部非 Intune 租用戶或特定服務帳戶) 使用 允許。

身分識別提供者相容性

強制執行 Intune MAM 需要 Microsoft Entra ID 作為您 Qlik Cloud 租用戶的身分識別提供者 (IdP)。下表總結了跨身分識別提供者設定的行動應用程式支援。

重要考量

應用程式保護原則控制哪些應用程式可以彼此共用資料。

• 如果使用者需要從 Qlik 分析 行動應用程式傳送診斷電子郵件，則原則必須允許應用程式之間的資料傳輸。

• Qlik Analytics 行動應用程式需要存取裝置瀏覽器才能完成登入。您的應用程式保護原則必須允許此操作。

• 要檢閱的關鍵 Intune 應用程式原則設定：

  • 資料保護 > 將組織資料傳送至其他應用程式

  • 資料保護 > 選取要豁免的應用程式 (com.qlik.qsm)

  • 功能 > 限制與其他應用程式的網頁內容傳輸—當設定為在 Microsoft Edge 中開啟 URL 時，Qlik Cloud 登入頁面會在 Edge 中開啟。然後，Edge 會在轉譯頁面之前執行其專屬的 Microsoft 驗證。如果您的條件式存取原則將授與控制套用至 所有雲端應用程式 或您的 IdP 應用程式註冊，則此時會針對 Edge 評估該授與控制。請參閱 條件式存取原則指引，以了解在該評估點不同授與控制的影響。

• 冷啟動和 MAM 應用程式保護原則 — 在初始安裝時，Qlik 分析 行動應用程式處於未受管理狀態 (未套用 Intune 應用程式保護原則)，直到其啟動並指派且套用原則為止。如果 Microsoft Edge 設定了 MAM 原則，限制驗證瀏覽器工作階段只能與受原則管理的應用程式互動，則驗證流程可能會遭到封鎖，因為該應用程式尚未向 Intune 服務註冊為受管理的應用程式。管理員可能需要豁免 Qlik 分析 應用程式不受此限制，或確保在使用者首次啟動之前完成應用程式保護原則指派。

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}

{
  "policyName": "<policy name>",
  "Accounts": [
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    },
    {
      "name": "<tenant name>",
      "url": "<tenant URL>"
    }
  ]
}