Intune-Appschutz für die mobilen Apps
Die iPhone- und Android-App von AI-School unterstützen App-Schutz mit Microsoft Intune (MAM). Ihre Organisation legt dann mit einer App Protection Policy fest, was Mitarbeitende mit Daten in der App tun dürfen, zum Beispiel das Kopieren in nicht verwaltete Apps blockieren oder eine PIN anfordern. Mitarbeitende melden sich in der App mit Mit Microsoft anmelden an; die App meldet sich dabei bei Intune an.
Für die Kopplung verwendet AI-School die Microsoft-Entra-App HandiHow AI-apps - Intune. Ein Entra-Administrator erteilt dafür einmalig die Zustimmung für die gesamte Organisation.
Was benötigen Sie?
- Ein Entra-Konto mit der Rolle Globaler Administrator oder Administrator mit privilegierten Rollen. Mit dieser Rolle können Sie die Zustimmung für die Intune-Berechtigung erteilen.
- Microsoft Intune mit einer App Protection Policy für die Mitarbeitenden, die die App verwenden.
- Eine AI-School-Umgebung, in der Mitarbeitende sich mit Microsoft anmelden.
1. Erteilen Sie die Zustimmung über die Kopplungsseite
- Öffnen Sie Intune-Appschutz koppeln in einem normalen Browser auf Ihrem Computer.
- Geben Sie die Domäne oder die Directory-(Tenant-)ID Ihrer Organisation ein, zum Beispiel
school.nl. - Wählen Sie Zustimmung in Microsoft erteilen und melden Sie sich mit Ihrem Administratorkonto an.
- Prüfen Sie die App (HandiHow AI-apps - Intune, Herausgeber HandiHow) und die Berechtigungen und wählen Sie Akzeptieren.
- Microsoft leitet Sie zurück zur Kopplungsseite. Dort sehen Sie Zustimmung erteilt oder eine Meldung mit dem Fehlercode.
Die App fordert zwei delegierte Berechtigungen an. Sie funktionieren nur im Namen des angemeldeten Mitarbeitenden:
| Berechtigung | Wofür |
|---|---|
User.Read (Microsoft Graph) | Anmelden und das Profil des Mitarbeitenden lesen. |
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management) | Die App-Schutzrichtlinie des Mitarbeitenden abrufen und die App bei Intune anmelden. |
Verwenden Sie nicht einen einzelnen Link mit nur adminconsent?client_id=…. Microsoft leitet Sie nach Akzeptieren dann zu einer Adresse weiter, die nur die mobilen Apps öffnen können. Der Bildschirm bleibt dann laden und Sie erhalten keine Bestätigung. Die Kopplungsseite übergibt Microsoft die richtige Rücksprungadresse.
2. Prüfen Sie die Zustimmung in Entra
Öffnen Sie im Microsoft Entra-Verwaltungszentrum Unternehmensanwendungen → HandiHow AI-apps - Intune → Berechtigungen. Unter Administratorzustimmung müssen beide Berechtigungen aufgeführt sein. Dass die App in der Liste der Unternehmensanwendungen erscheint, beweist noch nicht, dass die Zustimmung erteilt wurde.
3. Fügen Sie die App zu Ihrer App Protection Policy hinzu
Fügen Sie im Intune-Verwaltungszentrum die App zur App Protection Policy für die betreffenden Mitarbeitenden hinzu. Wählen Sie bei den Apps Benutzerdefinierte Apps und verwenden Sie:
| Plattform | Paketname oder Bundle-ID |
|---|---|
| Android | info.aischool |
| iOS | info.aischool.mobiel |
4. Lassen Sie Intune-Appschutz aktivieren
Teilen Sie uns mit, dass Schritt 1 bis 3 erledigt sind. Wir aktivieren dann Intune-Appschutz für Ihre AI-School-Umgebung. Ab diesem Moment melden sich Mitarbeitende in der App über den Microsoft-Broker (Company Portal oder Authenticator) an und die App meldet sich bei Intune an.
Testen Sie danach mit einer Mitarbeiterin oder einem Mitarbeiter, für die bzw. den die Richtlinie gilt: Melden Sie sich in der App an, schließen Sie die Intune-Abfragen ab und prüfen Sie eine Richtlinie, zum Beispiel, dass das Kopieren in eine nicht verwaltete App blockiert ist.
Probleme lösen
| Was Sie sehen | Was Sie tun |
|---|---|
Der Microsoft-Bildschirm lädt nach Akzeptieren weiter (login.microsoftonline.com/common/reprocess). | Sie haben wahrscheinlich einen einzelnen Link ohne Rücksprungadresse verwendet. Prüfen Sie die Zustimmung wie in Schritt 2. Fehlt sie, beginnen Sie erneut über die Kopplungsseite. |
AADSTS900561: The endpoint only accepts POST requests | Sie haben die Microsoft-Seite aktualisiert, während sie geladen wurde. Dieser Fehler sagt nichts über die Zustimmung selbst aus. Prüfen Sie Schritt 2 und beginnen Sie bei Bedarf erneut über die Kopplungsseite. |
access_denied oder consent_required auf der Kopplungsseite | Die Zustimmung wurde abgebrochen oder Ihr Konto hat nicht die erforderliche Administratorrolle. Es wurde nichts geändert. Versuchen Sie es erneut mit einem Konto mit der richtigen Rolle. |
AADSTS50011 (Redirect-URI stimmt nicht überein) | Kontaktieren Sie uns und nennen Sie den Fehlercode. |
| Microsoft fordert Mitarbeitende beim Anmelden in der App zur Genehmigung durch einen Administrator auf (Need admin approval). | Die Zustimmung aus Schritt 1 fehlt in Ihrer Organisation. Erteilen Sie sie noch einmal über die Kopplungsseite. |
Falls es nicht klappt, senden Sie uns den Fehlercode, die Fehlermeldung, die Correlation ID und den Zeitpunkt, die Microsoft oder die Kopplungsseite anzeigt.