# 保護及設定 Qlik 分析 行動應用程式與 Microsoft Intune Qlik 分析 行動應用程式可讓現場團隊在其行動裝置上安全地存取 Qlik Cloud 分析。您可以使用 Microsoft Intune 和 Microsoft Entra ID 來控制存取、保護公司資料，並提供使用者連線至 Qlik Cloud 租用戶所需的設定。 本主題說明如何設定 Intune 應用程式保護原則、應用程式設定原則，以及 Qlik Cloud 存取控制，以管理並保護 Android 和 iOS 裝置上的 Qlik 分析 行動應用程式。 ## 關於 Microsoft Intune 整合 * Qlik 已根據 Microsoft 的開發人員指引，整合 Microsoft 的標準 Intune 與 Microsoft 驗證程式庫 (MSAL) SDK。 * Microsoft Entra ID、Microsoft Intune 和相關 SDK 均為 Microsoft 產品。 * Qlik（包括 Qlik 支援）無法針對設定您的 Entra 或 Intune 部署，或執行 Qlik 分析 行動應用程式之裝置的行動裝置設定提供指導。 * 如需行動裝置管理 (MDM) 或行動應用程式管理 (MAM) 的指引，請參閱 [Microsoft Intune 文件](https://learn.microsoft.com/en-us/intune/intune-service/apps/app-management)或聯絡 Microsoft Intune 支援。 資訊備註Microsoft Tunnel for Mobile Application Management SDK 未整合在 Qlik 分析 行動應用程式中。 ## 開始前您需要準備什麼 在設定 Qlik 分析 行動應用程式於 Intune 之前，請確認您已具備下列項目： * 使用 Microsoft Entra ID 作為主要身分識別提供者的 Qlik Cloud 租用戶 強制執行 Intune MAM 需要將您的 Qlik Cloud 租用戶設定為透過 OIDC 直接使用 Entra ID 作為身分識別提供者。如需詳細資訊，請參閱[Qlik Cloud 中的識別提供者](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mc-create-idp-configuration.htm)。 資訊備註使用非 Entra 身分識別提供者 (例如 Okta、Auth0、SAML 或 Qlik Account) 的租戶不支援強制執行 Intune MAM。此版本不支援將非 Entra 身分識別提供者同盟至 Microsoft Entra ID 的租用戶。請參閱 [身分識別提供者相容性](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#IDP)。 * Microsoft Entra ID 與 Microsoft Intune 整合 您的組織必須具備 Entra 已連線至 Intune，以便您可以強制執行裝置和應用程式原則。 * 已在 Microsoft Entra ID 中註冊的使用者 所有將存取 Qlik 分析 行動應用程式的使用者都必須在您的 Entra ID 租用戶中擁有帳戶，並包含在用於 Qlik Cloud 租用戶存取的使用者目錄中。 * Qlik Cloud 租用戶管理員權限 您需要在 Qlik Cloud 中具備租用戶管理員存取權，才能將行動存取控制指派給使用者和群組。請參閱 [在 Qlik Cloud 中使用 MAM 設定行動存取](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#Configur2)。 ## 安裝 Qlik 分析 行動應用程式 Qlik 分析 行動應用程式可在 iOS App Store 和 Google Play Store 中取得。如需詳細資訊，請參閱[開始使用 Qlik 分析 行動應用程式](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Mobile/qsmsaas-get-started.htm)。 資訊備註視平台和部署而定，裝置上可能需要 Microsoft Company Portal 和/或 Microsoft Authenticator。在 Android 上，未註冊裝置的 MAM (MAM-WE) 案例需要公司入口網站。 ## 在 Microsoft Entra ID 中為 Qlik 分析 行動應用程式設定 Microsoft Intune 本區段概述在 Qlik 分析 和 Entra ID 中註冊和管理 Intune 行動應用程式的主要步驟。根據貴組織的需求設定 Entra ID 和 Intune。如需應用程式註冊的詳細指示，請參閱 [Microsoft Intune 文件](https://learn.microsoft.com/en-us/intune/intune-service/apps/app-management)。 ### 在 Microsoft Entra ID 中註冊 Qlik 分析 應用程式 在 Microsoft Entra ID 中註冊 Qlik 分析 行動應用程式，以便與 Microsoft Intune 搭配使用。 請執行下列動作： 1. 在 Entra ID 中，移至 應用程式註冊，然後選取 新增註冊。 2. 選取 企業應用程式 的連結，因為您正在整合全域註冊的應用程式。 3. 搜尋應用程式 ID：`53dfc2c0-8711-4bb3-a48f-b384ff663ab9`。這是 Qlik 全域應用程式註冊。 4. 如有需要，Intune 管理員可以登入並造訪以下網址來啟動註冊： `https://login.microsoftonline.com/common/adminconsent?client_id=53dfc2c0-8711-4bb3-a48f-b384ff663ab9` 5. 新增 Qlik 分析 行動應用程式並顯示在 企業應用程式 下方後，請完成下列步驟： * 如果您想限制可存取應用程式的人員，請指派使用者和群組。 * 在 權限 下，為您的網域授與管理員同意權。 ### 條件式存取原則指引 Qlik 分析 行動應用程式已在 Microsoft Entra ID 中全域註冊，應用程式識別碼為 `53dfc2c0-8711-4bb3-a48f-b384ff663ab9`。此註冊會在您的租用戶中顯示為雲端應用程式。任何範圍限定為 所有雲端應用程式 的條件式存取原則皆適用於此應用程式註冊。 #### 條件式存取與驗證流程 允許使用 Intune 驗證流程包含兩個登入步驟： 1. 應用程式驗證 (MSAL 登入) Qlik Analytics 行動應用程式使用 MSAL 向 Entra 驗證使用者。在此步驟中會評估 Intune MAM 原則。 2. 以瀏覽器為基礎的 Qlik Cloud 登入 應用程式會在裝置上開啟外部瀏覽器，以完成 Qlik Cloud 驗證。針對 Intune 流程，會強制使用 Microsoft Edge。 在第二個步驟中，Entra 在套用應用程式註冊的條件式存取原則時，會將瀏覽器—而非 Qlik 分析 行動應用程式—評估為用戶端應用程式。套用至應用程式註冊的任何授與控制項，都必須受此步驟所使用的瀏覽器支援。 #### 條件式存取範圍考量事項 因為 Qlik 分析 應用程式註冊在您的租用戶中會顯示為雲端應用程式，所以範圍設定為 所有雲端應用程式 的條件式存取原則也會套用至瀏覽器登入步驟。 如果原則使用 需要應用程式保護原則 做為授與控制項，則在 Qlik 登入步驟中使用的瀏覽器必須獨立符合此要求。這需要為您的使用者部署 Microsoft Edge 的 Intune 應用程式防護原則。如果 Edge 未受應用程式保護原則涵蓋，瀏覽器登入步驟可能會遭到封鎖。 #### 部署前 在搭配 Intune MAM 強制執行部署 Qlik Analytics 行動應用程式之前，請向您的 Microsoft Entra 或 Intune 管理員確認您現有的條件式存取原則如何套用至 Qlik 登入步驟中使用的瀏覽器。 Qlik 不提供設定 Entra 條件式存取原則或更廣泛的 Intune 部署設定的相關指引。如需指引，請參閱 Microsoft 文件中的 [瞭解條件式存取和 Intune](https://learn.microsoft.com/en-us/intune/intune-service/protect/conditional-access)。 ### Qlik Analytics 行動應用程式的 MAM 強制執行運作方式 當使用者獲指派 允許使用 Intune 存取權時，Qlik 分析 行動應用程式會啟動 Microsoft Intune 註冊，作為登入流程的一部分。應用程式會在授予租用戶內容存取權之前驗證註冊狀態。如果裝置未正確註冊或不符合 Intune 需求，則會在應用程式層級拒絕存取。 此強制執行是在行動應用程式中進行，且屬於分階段交付的一部分。未來版本將在 Qlik Cloud 驗證圖層新增對應的伺服器端強制執行，以提供額外的縱深防禦。 ## 在 Qlik Cloud 中使用 MAM 設定行動存取 Intune (MAM) 強制執行是由指派給 Qlik Cloud 管理活動中心中使用者和群組的行動存取權限所控制。這是 Qlik 端的主要設定步驟，且必須與您的 Intune 和 Entra 設定一併完成。 ### 行動存取權限 您可以在 管理 活動中心 > 管理使用者 > 權限 中設定行動存取權限。 按一下 管理預設權限 或開啟自訂角色，展開 功能與動作，並找到 行動裝置 > 原生行動應用程式。 如需有關權限設定的詳細資訊，請參閱[設定 Qlik 分析 行動應用程式的存取權限](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/mobile-set-access.htm)。 ### 適用於受 Intune 管制之租用戶的權限指派指南 針對使用 Intune 應用程式保護的租用戶，無論裝置管理狀態為何，請將 允許使用 Intune 指派給所有需要行動存取權的使用者和群組。 #### 為何「允許」對受 Intune 管控的使用者而言並不足夠 行動存取權限適用於使用者，而非裝置。如果使用者在已註冊 MDM 的公司裝置上被指派 Allowed，當他們登入個人、未受管理的裝置時，也會具有相同的存取權限。 該個人裝置未進行 MDM 註冊，也沒有 Intune 訊息代理程式。當使用者的存取權限設定為 允許 時，Qlik 分析行動應用程式不需要進行 Intune 註冊，且可在未套用應用程式保護原則的情況下獲准存取。使用者可以從沒有 Intune 保護的未受管理裝置存取租用戶，略過貴組織的 Intune 原則。 #### 適用於受 Intune 控管之租用戶的建議指派模式 指派模式 | 指派 | 權限 | 原因 | | --- | --- | --- | | 預設權限設定 | 不允許 | 預設無行動裝置存取權限 | | 已註冊 MDM 的使用者 | 允許搭配 Intune | 在已註冊的裝置上，註冊會以靜默或近乎靜默的方式完成。不會增加實質阻力。使用個人裝置的同一位使用者必須先完成註冊，才能獲准存取。 | | BYOD 使用者 | 允許搭配 Intune | 未受管理裝置上的完整註冊要求。 | 僅針對不需要 Intune 應用程式保護的租用戶或群組 (例如內部非 Intune 租用戶或特定服務帳戶) 使用 允許。 ### 身分識別提供者相容性 強制執行 Intune MAM 需要 Microsoft Entra ID 作為您 Qlik Cloud 租用戶的身分識別提供者 (IdP)。下表摘要說明各身分提供者設定的行動應用程式支援情形。 IdP 相容性 | 識別提供者 | 標準行動存取 (允許) | Intune 強制執行 (允許使用 Intune) | | --- | --- | --- | | Microsoft Entra ID | 受支援 | 受支援 | | Okta (無 Entra 同盟) | 受支援 | 不支援 — 請勿指派 允許使用 Intune | | Auth0 (無 Entra 同盟) | 受支援 | 不支援 — 請勿指派 允許使用 Intune | | SAML / ADFS (無 Entra 同盟) | 受支援 | 不支援 — 請勿指派 允許使用 Intune | | Qlik Account | 受支援 | 不支援 — 請勿指派 允許使用 Intune | | 通用 OIDC | 受支援 | 不支援 — 請勿指派 允許使用 Intune | | 同盟 IdP 情境 (任何同盟至 Entra ID 的非 Entra IdP) | 受支援 | 此版本不支援 | 資訊備註同盟 IdP 案例：將 Okta、Auth0、SAML 或 ADFS 與 Microsoft Entra ID 建立同盟的客戶，在此版本中不支援強制執行 Intune MAM。將 Allowed with Intune 指派給同盟 IdP 租用戶上的使用者會導致驗證失敗。預計在未來版本中支援同盟 IdP 情境。 ## 設定應用程式保護原則 Qlik 分析 行動應用程式支援下列 Intune 原則功能： * 要求使用者使用公司認證登入 (Microsoft Entra ID)。 * 強制使用 PIN 碼來存取應用程式。 * 限制應用程式內的複製、貼上和下載動作。 * 封鎖或控制螢幕擷取畫面。 * 使用應用程式組態原則預先載入 Qlik Cloud 租用戶設定。 ### 重要考慮事項 應用程式保護原則可控制哪些應用程式可以彼此共用資料。 * 如果使用者需要從 Qlik 分析 行動應用程式傳送診斷電子郵件，原則必須允許應用程式之間進行資料傳輸。 * Qlik Analytics 行動應用程式需要存取裝置瀏覽器以完成登入。您的應用程式保護原則必須允許此操作。 * 要審查的關鍵 Intune 應用程式政策設定： * 資料保護 > 將組織資料傳送至其他應用程式 * 資料保護 > 選取要豁免的應用程式 (com.qlik.qsm) * 功能 > 限制與其他應用程式傳輸 Web 內容—設定為在 Microsoft Edge 中開啟 URL 時，Qlik Cloud 登入頁面會在 Edge 中開啟。Edge 接著會在轉譯頁面之前執行其本身的 Microsoft 驗證。如果您的條件式存取原則將授與控制項套用至 所有雲端應用程式 或您的 IdP 應用程式註冊，該授與控制項會在此時針對 Edge 進行評估。請參閱 [條件式存取原則指引](https://help.qlik.com/zh-TW/cloud-services/Subsystems/Hub/Content/Sense_Hub/Admin/configure-mobile-app.htm#Conditio)，以了解在該評估點不同授與控制項的影響。 * 冷啟動與 MAM 應用程式防護原則 — 在初始安裝時，Qlik 分析 行動應用程式會處於未受管狀態 (未套用 Intune 應用程式防護原則)，直到啟動該應用程式且已指派並套用原則為止。如果 Microsoft Edge 設定了限制驗證瀏覽器工作階段僅能與受原則管理的應用程式互動的 MAM 原則，驗證流程可能會遭到封鎖，因為該應用程式尚未向 Intune 服務註冊為受控應用程式。系統管理員可能需要將 Qlik 分析 應用程式排除在此限制之外，或確保在使用者首次啟動之前完成應用程式保護原則指派。 ## 設定應用程式組態原則 使用 Intune 中的應用程式組態原則，為 Qlik 分析 行動應用程式提供所需的設定，以連線到您的 Qlik Cloud 租用戶。 下列範例說明如何在 Intune 中為行動應用程式設定鍵值組。將預留位置 (``、``、``) 取代為您自己的值。 ### 受管理的裝置 (iOS) 應用程式組態 > 原則名稱 > 屬性 > 設定： * 裝置註冊類型：受管理的裝置 * 平台：iOS 鍵值組： 索引鍵：`mdm` 值： ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` `Accounts` 定義應用程式可連線至的一或多個 Qlik Cloud 租用戶。 * `name`：向使用者顯示的所選租用戶名稱。 * `url`：Qlik Cloud 租用戶的 URL (例如，mobileintune.us.qlikcloud.com)。 索引鍵：`IntuneMAMOID` 值：`{{userid}}` 將 Intune 使用者 ID 傳遞至應用程式。 OR * 裝置註冊類型：受管理的裝置 * 平台: Android 鍵值組： 索引鍵：`mdm` 值： ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` `Accounts` 定義應用程式可連線至的一或多個 Qlik Cloud 租用戶。 * `name`：向使用者顯示的所選租用戶名稱。 * `url`：Qlik Cloud 租用戶的 URL (例如，mobileintune.us.qlikcloud.com)。 ### 受管理的應用程式 (多個平台) 應用程式組態 > 原則名稱 > 屬性 > 設定： * 裝置註冊類型：受管理的應用程式 * 平台：iOS 鍵值組： 索引鍵：`mdm` 值： ``` { "policyName": "", "Accounts": [ { "name": "", "url": "" }, { "name": "", "url": "" } ] } ``` 此 JSON 的功能與受管裝置情境中的功能相同，可定義可用的租用戶連線，以驗證您的 Qlik Cloud 環境。在此情境中，僅需要 `mdm` 金鑰。不需要使用者 ID 對應。 ## 應用程式中的原則資訊 Qlik Analytics 行動應用程式設定中的 關於 畫面會顯示是否已將原則套用至應用程式。 * 當部署任何原則 (應用程式保護或應用程式設定) 時，畫面上會顯示 已套用原則 — 是。 * 如果原則已設定原則名稱，它也會在單獨的列中顯示為 原則名稱。