适用于移动应用的 Intune 应用保护

AI-Corporate 的 iPhone 和 Android 应用支持使用 Microsoft Intune（MAM）进行应用保护。这样，您的组织就可以通过应用保护策略规定员工可以对应用中的数据执行哪些操作，例如阻止复制到未受管应用，或要求输入 PIN 码。员工使用 使用 Microsoft 登录 登录应用；应用会同时向 Intune 进行注册。

为实现此集成，AI-Corporate 使用 Microsoft Entra 应用 HandiHow AI-apps - Intune。Entra 管理员只需为整个组织一次性授予权限即可。

您需要什么？

• 具有 全局管理员 或 特权角色管理员 角色的 Entra 帐户。使用该角色，您可以授予 Intune 权限。
• 已为使用该应用的员工配置应用保护策略的 Microsoft Intune。
• 一个 AI-Corporate 环境，员工使用 Microsoft 登录。

1. 通过连接页面授予权限

1. 在电脑上的普通浏览器中打开 连接 Intune 应用保护。
2. 输入您组织的域名或 Directory（tenant）ID，例如 bedrijf.nl。
3. 选择 在 Microsoft 中授予权限，并使用您的管理员帐户登录。
4. 检查应用（HandiHow AI-apps - Intune，发布者 HandiHow）及其权限，然后选择 接受。
5. Microsoft 会将您返回到连接页面。您会看到 已授予权限 或带有错误代码的提示。

该应用请求两个委派权限。它们仅在已登录员工的上下文中生效：

权限	用途
User.Read（Microsoft Graph）	登录并读取员工的个人资料。
DeviceManagementManagedApps.ReadWrite（Microsoft Mobile Application Management）	获取员工的应用保护策略，并让应用向 Intune 注册。

使用连接页面

不要使用仅包含 adminconsent?client_id=… 的单独链接。Microsoft 在您点击 接受 后会把您重定向到一个只有移动应用才能打开的地址。这样屏幕会一直加载，您也不会收到确认。连接页面会向 Microsoft 提供正确的返回地址。

2. 在 Entra 中检查权限

在 Microsoft Entra 管理中心打开 企业应用程序 → HandiHow AI-apps - Intune → 权限。在 管理员同意 下应列出两个权限。应用出现在企业应用程序列表中，并不代表权限已授予。

3. 将应用添加到您的应用保护策略

在 Intune 管理中心中，将该应用添加到相关员工的应用保护策略。选择应用时使用 自定义应用，并填写：

平台	包名或 bundle ID
Android	info.aicorporate.app
iOS	info.aicorporate.app

4. 让我们启用 Intune 应用保护

请告知我们第 1 至第 3 步已完成。然后我们会为您的 AI-Corporate 环境启用 Intune 应用保护。从那时起，员工将通过 Microsoft broker（Company Portal 或 Authenticator）登录应用，应用也会向 Intune 注册。

随后请使用已应用该策略的员工进行测试：登录应用，完成 Intune 的提示，并检查一条策略规则，例如确认复制到未受管应用已被阻止。

故障排除

您看到的内容	您应该做什么
点击 接受 后 Microsoft 页面一直加载（login.microsoftonline.com/common/reprocess）。	您很可能使用了没有返回地址的单独链接。请按第 2 步检查权限。如果未授予，请通过 连接页面 重新开始。
AADSTS900561: The endpoint only accepts POST requests	在页面加载时您刷新了 Microsoft 页面。此错误并不表示权限本身有问题。请检查第 2 步，如有必要，通过连接页面重新开始。
在连接页面出现 access_denied 或 consent_required	权限已被取消，或您的帐户不具备所需的管理员角色。没有任何内容被更改。请使用具有正确角色的帐户重试。
AADSTS50011（redirect URI 不匹配）	请联系我们并提供错误代码。
Microsoft 在员工登录应用时要求管理员批准（Need admin approval）。	您组织中缺少第 1 步授予的权限。请通过连接页面补授。

如果仍然失败，请将 Microsoft 或连接页面显示的错误代码、错误信息、Correlation ID 和时间发送给我们。