Защита приложений Intune для мобильных приложений

Приложения AI-School для iPhone и Android поддерживают защиту приложений с Microsoft Intune (MAM). Ваша организация может определить с помощью App Protection Policy, что сотрудникам разрешено делать с данными в приложении, например блокировать копирование в неуправляемые приложения или запрашивать PIN-код. Сотрудники входят в приложение с помощью Входа через Microsoft; при этом приложение выполняет вход в Intune.

Для подключения AI-School использует приложение Microsoft Entra HandiHow AI-apps - Intune. Администратор Entra один раз предоставляет для этого согласие от имени всей организации.

Что вам нужно?

• Учетная запись Entra с ролью Глобальный администратор или Администратор привилегированных ролей. Эта роль позволяет предоставить согласие на разрешение Intune.
• Microsoft Intune с App Protection Policy для сотрудников, которые используют приложение.
• Среда AI-School, в которой сотрудники входят через Microsoft.

1. Предоставьте согласие через страницу подключения

1. Откройте подключение защиты приложений Intune в обычном браузере на вашем компьютере.
2. Введите домен или ID каталога (tenant) вашей организации, например school.nl.
3. Выберите Предоставить согласие в Microsoft и войдите под своей учетной записью администратора.
4. Проверьте приложение (HandiHow AI-apps - Intune, издатель HandiHow) и разрешения, затем выберите Принять.
5. Microsoft перенаправит вас обратно на страницу подключения. Там вы увидите Согласие предоставлено или сообщение с кодом ошибки.

Приложение запрашивает два делегированных разрешения. Они работают только от имени вошедшего сотрудника:

Разрешение	Для чего
User.Read (Microsoft Graph)	Вход и чтение профиля сотрудника.
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management)	Получение политики защиты приложений сотрудника и регистрация приложения в Intune.

Используйте страницу подключения

Не используйте отдельную ссылку только с adminconsent?client_id=…. После Принять Microsoft перенаправит вас на адрес, который могут открыть только мобильные приложения. Тогда экран будет бесконечно загружаться, и вы не получите подтверждение. Страница подключения передает Microsoft правильный адрес возврата.

2. Проверьте согласие в Entra

В центре администрирования Microsoft Entra откройте Корпоративные приложения → HandiHow AI-apps - Intune → Разрешения. В разделе Согласие администратора должны быть указаны оба разрешения. То, что приложение есть в списке корпоративных приложений, еще не доказывает, что согласие предоставлено.

3. Добавьте приложение в вашу App Protection Policy

В центре администрирования Intune добавьте приложение в App Protection Policy для соответствующих сотрудников. В разделе приложений выберите Пользовательские приложения и используйте:

Платформа	Имя пакета или bundle-ID
Android	info.aischool
iOS	info.aischool.mobiel

4. Включите защиту приложений Intune

Сообщите нам, что шаги 1–3 выполнены. После этого мы включим Intune-appbescherming для вашей среды AI-School. С этого момента сотрудники будут входить в приложение через брокер Microsoft (Company Portal или Authenticator), и приложение выполнит вход в Intune.

Затем протестируйте это с сотрудником, на которого распространяется политика: войдите в приложение, пройдите запросы Intune и проверьте правило политики, например что копирование в неуправляемое приложение заблокировано.

Устранение проблем

Что вы видите	Что делать
Экран Microsoft после Принять продолжает загружаться (login.microsoftonline.com/common/reprocess).	Вероятно, вы использовали отдельную ссылку без адреса возврата. Проверьте согласие, как в шаге 2. Если его нет, начните заново через страницу подключения.
AADSTS900561: The endpoint only accepts POST requests	Вы обновили страницу Microsoft, пока она загружалась. Эта ошибка ничего не говорит о самом согласии. Проверьте шаг 2 и при необходимости начните снова через страницу подключения.
access_denied или consent_required на странице подключения	Согласие было отменено или у вашей учетной записи нет необходимой роли администратора. Ничего не изменилось. Попробуйте еще раз с учетной записью с нужной ролью.
AADSTS50011 (redirect-URI не совпадает)	Свяжитесь с нами и укажите код ошибки.
Microsoft просит сотрудников при входе в приложение получить одобрение администратора (Need admin approval).	Согласие из шага 1 отсутствует в вашей организации. Предоставьте его через страницу подключения.

Если не получается, пришлите нам код ошибки, сообщение об ошибке, Correlation ID и время, которые показывает Microsoft или страница подключения.