Защита приложений Intune для мобильных приложений

Приложения AI-Corporate для iPhone и Android поддерживают защиту приложений с помощью Microsoft Intune (MAM). В этом случае ваша организация с помощью App Protection Policy определяет, что сотрудникам разрешено делать с данными в приложении, например блокировать копирование в неуправляемые приложения или требовать PIN-код. Сотрудники входят в приложение с помощью Войти с Microsoft; при этом приложение выполняет вход в Intune.

Для интеграции AI-Corporate использует приложение Microsoft Entra HandiHow AI-apps - Intune. Администратор Entra один раз предоставляет для него согласие от имени всей организации.

Что вам нужно?

• Учетная запись Entra с ролью Глобальный администратор или Администратор привилегированных ролей. С этой ролью вы можете предоставить согласие на разрешение Intune.
• Microsoft Intune с App Protection Policy для сотрудников, которые используют приложение.
• Среда AI-Corporate, в которой сотрудники входят с помощью Microsoft.

1. Предоставьте согласие через страницу подключения

1. Откройте подключение защиты приложений Intune в обычном браузере на компьютере.
2. Введите домен или ID каталога (tenant) вашей организации, например bedrijf.nl.
3. Выберите Предоставить согласие в Microsoft и войдите с помощью учетной записи администратора.
4. Проверьте приложение (HandiHow AI-apps - Intune, издатель HandiHow) и разрешения, затем выберите Принять.
5. Microsoft вернет вас на страницу подключения. Там вы увидите Согласие предоставлено или сообщение с кодом ошибки.

Приложение запрашивает два делегированных разрешения. Они работают только от имени вошедшего сотрудника:

Разрешение	Для чего
User.Read (Microsoft Graph)	Вход в систему и чтение профиля сотрудника.
DeviceManagementManagedApps.ReadWrite (Microsoft Mobile Application Management)	Получение политики защиты приложений сотрудника и регистрация приложения в Intune.

Используйте страницу подключения

Не используйте отдельную ссылку только с adminconsent?client_id=…. После Принять Microsoft перенаправит вас на адрес, который могут открыть только мобильные приложения. В таком случае экран будет бесконечно загружаться, и подтверждение не появится. Страница подключения передает Microsoft правильный адрес возврата.

2. Проверьте согласие в Entra

Откройте в центре администрирования Microsoft Entra Корпоративные приложения → HandiHow AI-apps - Intune → Разрешения. В разделе Согласие администратора должны быть указаны оба разрешения. То, что приложение есть в списке корпоративных приложений, еще не означает, что согласие было предоставлено.

3. Добавьте приложение в вашу App Protection Policy

В центре администрирования Intune добавьте приложение в App Protection Policy для соответствующих сотрудников. В разделе приложений выберите Пользовательские приложения и используйте:

Платформа	Имя пакета или bundle ID
Android	info.aicorporate.app
iOS	info.aicorporate.app

4. Включите защиту приложений Intune

Сообщите нам, что шаги 1–3 завершены. Мы затем включим защиту приложений Intune для вашей среды AI-Corporate. С этого момента сотрудники будут входить в приложение через Microsoft broker (Company Portal или Authenticator), а приложение будет регистрироваться в Intune.

После этого протестируйте с сотрудником, на которого распространяется политика: войдите в приложение, пройдите все запросы Intune и проверьте правило политики, например, что копирование в неуправляемое приложение заблокировано.

Устранение проблем

Что вы видите	Что делать
Экран Microsoft продолжает загружаться после Принять (login.microsoftonline.com/common/reprocess).	Вероятно, вы использовали отдельную ссылку без адреса возврата. Проверьте согласие, как описано в шаге 2. Если его нет, начните заново через страницу подключения.
AADSTS900561: The endpoint only accepts POST requests	Вы обновили страницу Microsoft во время загрузки. Эта ошибка не говорит ничего о самом согласии. Проверьте шаг 2 и при необходимости начните заново через страницу подключения.
access_denied или consent_required на странице подключения	Согласие было отменено или у вашей учетной записи нет нужной роли администратора. Ничего не изменилось. Попробуйте еще раз с учетной записью с правильной ролью.
AADSTS50011 (redirect URI не совпадает)	Свяжитесь с нами и укажите код ошибки.
Microsoft просит сотрудников при входе в приложение подтвердить согласие администратора (Need admin approval).	Согласие из шага 1 отсутствует в вашей организации. Предоставьте его через страницу подключения.

Если не получается, отправьте нам код ошибки, сообщение об ошибке, Correlation ID и время, которые показывает Microsoft или страница подключения.