Intune-Appschutz für die mobilen Apps

Die iPhone- und Android-App von AI-Corporate unterstützen App-Schutz mit Microsoft Intune (MAM). Ihre Organisation legt dann mit einer App Protection Policy fest, was Mitarbeitende mit Daten in der App tun dürfen, zum Beispiel das Kopieren in nicht verwaltete Apps blockieren oder einen PIN verlangen. Mitarbeitende melden sich in der App mit Mit Microsoft anmelden an; die App meldet sich dabei bei Intune an.

Für die Anbindung verwendet AI-Corporate die Microsoft-Entra-App HandiHow AI-apps - Intune. Ein Entra-Administrator erteilt dafür einmalig die Zustimmung für die gesamte Organisation.

Was benötigen Sie?

• Ein Entra-Konto mit der Rolle Globaler Administrator oder Administrator mit privilegierten Rollen. Mit dieser Rolle können Sie die Zustimmung für die Intune-Berechtigung erteilen.
• Microsoft Intune mit einer App Protection Policy für die Mitarbeitenden, die die App verwenden.
• Eine AI-Corporate-Umgebung, in der Mitarbeitende sich mit Microsoft anmelden.

1. Zustimmung über die Verknüpfungsseite erteilen

1. Öffnen Sie Intune-Appschutz verknüpfen in einem normalen Browser auf Ihrem Computer.
2. Geben Sie die Domain oder die Directory-(Tenant-)ID Ihrer Organisation ein, zum Beispiel bedrijf.nl.
3. Wählen Sie Zustimmung in Microsoft erteilen und melden Sie sich mit Ihrem Administratorkonto an.
4. Prüfen Sie die App (HandiHow AI-apps - Intune, Herausgeber HandiHow) und die Berechtigungen und wählen Sie Akzeptieren.
5. Microsoft leitet Sie zurück zur Verknüpfungsseite. Dort sehen Sie Zustimmung erteilt oder eine Meldung mit dem Fehlercode.

Die App fordert zwei delegierte Berechtigungen an. Sie funktionieren nur im Namen des angemeldeten Mitarbeitenden:

Berechtigung	Wofür
User.Read (Microsoft Graph)	Anmelden und das Profil des Mitarbeitenden lesen.
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management)	Die App-Schutzrichtlinie des Mitarbeitenden abrufen und die App bei Intune anmelden.

Verwenden Sie die Verknüpfungsseite

Verwenden Sie keinen separaten Link nur mit adminconsent?client_id=…. Microsoft leitet Sie nach Akzeptieren dann zu einer Adresse weiter, die nur die mobilen Apps öffnen können. Der Bildschirm bleibt dann beim Laden hängen und Sie erhalten keine Bestätigung. Die Verknüpfungsseite übergibt Microsoft die richtige Rücksprungadresse.

2. Zustimmung in Entra prüfen

Öffnen Sie im Microsoft Entra-Verwaltungszentrum Enterprise-Anwendungen → HandiHow AI-apps - Intune → Berechtigungen. Unter Administratorzustimmung müssen beide Berechtigungen aufgeführt sein. Dass die App in der Liste der Enterprise-Anwendungen erscheint, bedeutet noch nicht, dass die Zustimmung erteilt wurde.

3. Fügen Sie die App Ihrer App Protection Policy hinzu

Fügen Sie im Intune-Verwaltungszentrum die App der App Protection Policy für die betreffenden Mitarbeitenden hinzu. Wählen Sie bei den Apps Benutzerdefinierte Apps und verwenden Sie:

Plattform	Paketname oder Bundle-ID
Android	info.aicorporate.app
iOS	info.aicorporate.app

4. Lassen Sie Intune-Appschutz aktivieren

Teilen Sie uns mit, dass Schritt 1 bis 3 abgeschlossen sind. Wir aktivieren dann Intune-Appschutz für Ihre AI-Corporate-Umgebung. Ab diesem Zeitpunkt melden sich Mitarbeitende in der App über den Microsoft-Broker (Company Portal oder Authenticator) an und die App meldet sich bei Intune an.

Testen Sie danach mit einem Mitarbeitenden, für den die Richtlinie gilt: Melden Sie sich in der App an, schließen Sie die Intune-Abfragen ab und prüfen Sie eine Richtlinie, zum Beispiel dass das Kopieren in eine nicht verwaltete App blockiert ist.

Probleme beheben

Was Sie sehen	Was Sie tun
Der Microsoft-Bildschirm bleibt nach Akzeptieren beim Laden hängen (login.microsoftonline.com/common/reprocess).	Sie haben wahrscheinlich einen separaten Link ohne Rücksprungadresse verwendet. Prüfen Sie die Zustimmung wie in Schritt 2. Falls sie fehlt, beginnen Sie erneut über die Verknüpfungsseite.
AADSTS900561: The endpoint only accepts POST requests	Sie haben die Microsoft-Seite aktualisiert, während sie geladen wurde. Dieser Fehler sagt nichts über die Zustimmung selbst aus. Prüfen Sie Schritt 2 und beginnen Sie bei Bedarf erneut über die Verknüpfungsseite.
access_denied oder consent_required auf der Verknüpfungsseite	Die Zustimmung wurde abgebrochen oder Ihr Konto hat nicht die erforderliche Administratorrolle. Es wurde nichts geändert. Versuchen Sie es erneut mit einem Konto mit der richtigen Rolle.
AADSTS50011 (Redirect-URI stimmt nicht überein)	Kontaktieren Sie uns und nennen Sie den Fehlercode.
Microsoft bittet Mitarbeitende bei der Anmeldung in der App um die Zustimmung eines Administrators (Need admin approval).	Die Zustimmung aus Schritt 1 fehlt in Ihrer Organisation. Erteilen Sie sie noch einmal über die Verknüpfungsseite.

Wenn es nicht klappt, senden Sie uns den Fehlercode, die Fehlermeldung, die Correlation ID und den Zeitpunkt, den Microsoft oder die Verknüpfungsseite anzeigt.