Захист застосунків Intune для мобільних застосунків

Застосунки AI-School для iPhone та Android підтримують захист застосунків за допомогою Microsoft Intune (MAM). Тоді ваша організація визначає через App Protection Policy, що працівники можуть робити з даними в застосунку, наприклад блокувати копіювання в некеровані застосунки або вимагати PIN-код. Працівники входять у застосунок за допомогою Увійти за допомогою Microsoft; під час цього застосунок автентифікується в Intune.

Для підключення AI-School використовує Microsoft Entra-застосунок HandiHow AI-apps - Intune. Адміністратор Entra надає для нього одноразову згоду для всієї організації.

Що вам потрібно?

• Обліковий запис Entra з роллю Глобальний адміністратор або Адміністратор із привілейованою роллю. З цією роллю ви можете надати згоду на дозвіл Intune.
• Microsoft Intune з App Protection Policy для працівників, які користуються застосунком.
• Середовище AI-School, у якому працівники входять через Microsoft.

1. Надайте згоду через сторінку підключення

1. Відкрийте Підключити захист застосунків Intune у звичайному браузері на вашому комп’ютері.
2. Введіть домен або Directory (tenant) ID вашої організації, наприклад school.nl.
3. Виберіть Надати згоду в Microsoft і увійдіть за допомогою свого облікового запису адміністратора.
4. Перевірте застосунок (HandiHow AI-apps - Intune, видавець HandiHow) і дозволи, а потім виберіть Прийняти.
5. Microsoft поверне вас на сторінку підключення. Там ви побачите Згоду надано або повідомлення з кодом помилки.

Застосунок запитує два делеговані дозволи. Вони працюють лише від імені користувача, який увійшов у систему:

Дозвіл	Для чого
User.Read (Microsoft Graph)	Вхід і читання профілю працівника.
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management)	Отримання політики захисту застосунків працівника та реєстрація застосунку в Intune.

Використовуйте сторінку підключення

Не використовуйте окреме посилання лише з adminconsent?client_id=…. Після Прийняти Microsoft тоді перенаправить вас на адресу, яку можуть відкрити лише мобільні застосунки. У такому разі екран буде безкінечно завантажуватися, і ви не отримаєте підтвердження. Сторінка підключення передає Microsoft правильну адресу повернення.

2. Перевірте згоду в Entra

У центрі адміністрування Microsoft Entra відкрийте Enterprise-toepassingen → HandiHow AI-apps - Intune → Machtigingen. У розділі Beheerderstoestemming мають бути обидва дозволи. Те, що застосунок є в списку enterprise-додатків, ще не доводить, що згоду було надано.

3. Додайте застосунок до вашої App Protection Policy

У центрі адміністрування Intune додайте застосунок до App Protection Policy для відповідних працівників. У розділі застосунків виберіть Aangepaste apps і використовуйте:

Платформа	Назва пакета або bundle-ID
Android	info.aischool
iOS	info.aischool.mobiel

4. Увімкніть захист застосунків Intune

Повідомте нас, що кроки 1–3 завершено. Тоді ми увімкнемо Intune-appbescherming для вашого середовища AI-School. Відтоді працівники входять у застосунок через Microsoft-broker (Company Portal або Authenticator), а застосунок автентифікується в Intune.

Після цього протестуйте з працівником, на якого поширюється політика: увійдіть у застосунок, завершіть підказки Intune і перевірте правило політики, наприклад, що копіювання в некерований застосунок заблоковано.

Усунення проблем

Що ви бачите	Що ви робите
Екран Microsoft після Прийняти продовжує завантажуватися (login.microsoftonline.com/common/reprocess).	Ймовірно, ви використали окреме посилання без адреси повернення. Перевірте згоду, як у кроці 2. Якщо її немає, почніть спочатку через сторінку підключення.
AADSTS900561: The endpoint only accepts POST requests	Ви оновили сторінку Microsoft, поки вона завантажувалась. Ця помилка нічого не говорить про саму згоду. Перевірте крок 2 і за потреби почніть знову через сторінку підключення.
access_denied або consent_required на сторінці підключення	Згоду було скасовано або ваш обліковий запис не має потрібної ролі адміністратора. Нічого не змінилося. Спробуйте ще раз з обліковим записом із правильною роллю.
AADSTS50011 (redirect-URI не збігається)	Зв’яжіться з нами та вкажіть код помилки.
Microsoft просить працівників під час входу в застосунок про схвалення адміністратора (Need admin approval).	Згода з кроку 1 відсутня у вашій організації. Надайте її через сторінку підключення.

Якщо не вдається, надішліть нам код помилки, текст помилки, Correlation ID і час, які показує Microsoft або сторінка підключення.