Delen via

Een app-beveiligingsbeleid vereisen op Windows-apparaten

  • Artikel

App-beveiligingsbeleid is van toepassing op Mobile Application Management (MAM) voor specifieke toepassingen op een apparaat. Met deze beleidsregels kunt u gegevens binnen een toepassing beveiligen voor bepaalde scenario's zoals Bring Your Own Device (BYOD).

Schermopname van een browser waarvoor de gebruiker zich moet aanmelden bij het Microsoft Edge-profiel om toegang te krijgen tot een toepassing.

Vereisten

Uitsluitingen van gebruikers

Beleid voor voorwaardelijke toegang zijn krachtige hulpprogramma's. Het is raadzaam om de volgende accounts uit uw beleid uit te sluiten:

  • Accounts voor noodtoegang of break-glass om vergrendeling te voorkomen vanwege onjuiste configuratie van beleid. In het onwaarschijnlijke scenario zijn alle beheerders vergrendeld, kan uw beheerdersaccount voor noodtoegang worden gebruikt om u aan te melden en stappen uit te voeren om de toegang te herstellen.
  • Serviceaccounts en serviceprincipals, zoals het Microsoft Entra Connect Sync-account. Serviceaccounts zijn niet-interactieve accounts die niet zijn gebonden aan een bepaalde gebruiker. Ze worden normaal gebruikt door back-end services die programmatische toegang tot toepassingen mogelijk maken, maar worden ook gebruikt om in te loggen op systemen voor administratieve doeleinden. Oproepen van service-principals worden niet geblokkeerd door beleid voor voorwaardelijke toegang dat is gericht op gebruikers. Gebruik Voorwaardelijke toegang voor workload-identiteiten om beleidsregels te definiëren die gericht zijn op service-principals.
    • Als uw organisatie deze accounts in scripts of code gebruikt, kunt u overwegen om deze te vervangen door beheerde identiteiten.

Beleid voor voorwaardelijke toegang maken

Het volgende beleid wordt aanvankelijk in de Alleen rapporteren modus geplaatst, zodat beheerders de impact op bestaande gebruikers kunnen bepalen. Wanneer beheerders vertrouwd zijn dat het beleid van toepassing is zoals ze bedoelen, kunnen ze overschakelen naar Aan of de implementatie in fasen uitrollen door specifieke groepen toe te voegen en anderen uit te sluiten.

App-beveiligingsbeleid vereisen voor Windows-apparaten

De volgende stappen helpen bij het maken van een beleid voor voorwaardelijke toegang waarvoor een app-beveiligingsbeleid is vereist bij het gebruik van een Windows-apparaat dat toegang heeft tot de Office 365-appsgroepering in voorwaardelijke toegang. Het beveiligingsbeleid voor apps moet ook worden geconfigureerd en toegewezen aan uw gebruikers in Microsoft Intune. Zie het artikel App-beveiliging beleidsinstellingen voor Windows voor meer informatie over het maken van het beveiligingsbeleid voor apps. Het volgende beleid omvat meerdere controles waarmee apparaten beleid voor app-bescherming voor Mobile Application Management (MAM) kunnen gebruiken en eveneens kunnen worden beheerd en voldoen aan het Mobile Device Management (MDM) beleid.

Tip

App-beveiliging-beleid (MAM) ondersteunt niet-beheerde apparaten:

  • Als een apparaat al wordt beheerd via Mobile Device Management (MDM), wordt Intune MAM-inschrijving geblokkeerd en worden instellingen voor app-beveiligingsbeleid niet toegepast.
  • Als een apparaat na MAM-inschrijving wordt beheerd, worden de beleidsinstellingen voor app-beveiliging niet meer toegepast.
  1. Meld u aan bij het Microsoft Entra-beheercentrum als minstens een Beheerder voor voorwaardelijke toegang.
  2. Blader naar BeveiligingVoorwaardelijke ToegangBeleid.
  3. Selecteer Nieuw beleid.
  4. Geef uw beleid een naam. We raden organisaties aan een zinvolle standaard te maken voor de namen van hun beleidsregels.
  5. Onder Toewijzingen selecteert u Gebruikers- of workload-identiteiten.
    1. Selecteer onder Opnemen de optie Alle gebruikers.
    2. Onder Uitsluiten selecteert u Gebruikers en groepen en kiest u ten minste de toegang tot noodgevallen of break-glass-accounts van uw organisatie.
  6. Selecteer onder DoelresourcesResources (voorheen cloud-apps)opnemen, Office 365.
  7. Onder voorwaarden:
    1. Apparaatplatformen ingesteld op Configureren op Ja.
      1. Selecteer apparaatplatformen onder Opnemen.
      2. Kies alleen Windows.
      3. Selecteer Gereed.
    2. Client-apps ingesteld om Configureren op Ja te zetten.
      1. Selecteer Browser alleen.
  8. Selecteer onderToegangsbeheer>Verlenen de optie Toegang verlenen.
    1. Selecteer App-beveiligingsbeleid vereisen en Vereisen dat het apparaat als compatibel moet worden gemarkeerd.
    2. Onder Voor meerdere besturingselementen selecteert u Een van de geselecteerde besturingselementen vereisen
  9. Controleer uw instellingen en stel Beleid inschakelen in op Alleen rapporteren.
  10. Selecteer Maken om uw beleid in te schakelen.

Notitie

Als u instelt op Vereisen van alle geselecteerde besturingselementen of alleen het Beleid voor app-beveiliging vereisen, moet u ervoor zorgen dat u alleen onbeheerde apparaten richt of dat de apparaten niet door MDM worden beheerd. Anders blokkeert het beleid de toegang tot alle toepassingen, omdat het niet kan beoordelen of de toepassing voldoet aan het beleid.

Nadat beheerders de instellingen hebben bevestigd met de Alleen-rapportmodus, kunnen ze de wisselknop voor beleid inschakelen van Alleen-rapport naar Aan schakelen.

Tip

Organisaties moeten ook een beleid implementeren dat de toegang blokkeert vanaf niet-ondersteunde of onbekende apparaatplatforms , samen met dit beleid.

Aanmelden bij Windows-apparaten

Wanneer gebruikers voor de eerste keer proberen zich aan te melden bij een site die is beschermd door een app-beveiligingsbeleid, krijgen ze de melding: Om toegang te krijgen tot uw service, app of website, moet u zich mogelijk aanmelden bij Microsoft Edge met username@domain.com of uw apparaat registreren met organization als u al bent aangemeld.

Als u op Een Switch Edge-profiel klikt, wordt een venster geopend met het werk- of schoolaccount, samen met een optie om u aan te melden om gegevens te synchroniseren.

Schermopname van de pop-up in Microsoft Edge waarin de gebruiker wordt gevraagd zich aan te melden.

Met dit proces opent u een venster waarin Windows uw account kan onthouden en u automatisch kunt aanmelden bij uw apps en websites.

Let op

Je moet het selectievakje uitschakelen waarmee ik mijn organisatie toestemming geef mijn apparaat te beheren. Als u dit selectievakje inschakelt, wordt uw apparaat aangemeld voor Mobile Device Management (MDM) en niet bij Mobile Application Management (MAM).

Selecteer niet Nee, alleen aanmelden bij deze app.

Schermopname van het aangemeld blijven bij al uw apps-venster. Schakel het selectievakje Toestaan dat mijn organisatie mijn apparaat beheert uit.

Nadat u OK hebt geselecteerd, ziet u mogelijk een voortgangsvenster terwijl het beleid wordt toegepast. Na enkele ogenblikpen ziet u een venster waarin staat dat u klaar bent, app-beveiligingsbeleid wordt toegepast.

Probleemoplossing

Algemene problemen

In sommige gevallen wordt u na het ophalen van de pagina 'U bent klaar' mogelijk nog steeds gevraagd u aan te melden met uw werkaccount. Deze prompt kan optreden wanneer:

  • Uw profiel wordt toegevoegd aan Microsoft Edge, maar MAM-inschrijving wordt nog steeds verwerkt.
  • Uw profiel wordt toegevoegd aan Microsoft Edge, maar u hebt deze app alleen geselecteerd op de koppagina.
  • U bent ingeschreven bij MAM, maar uw inschrijving is verlopen of u voldoet niet aan de vereisten van uw organisatie.

Ga als volgt te werk om deze mogelijke scenario's op te lossen:

  • Wacht enkele minuten en probeer het opnieuw op een nieuw tabblad.
  • Neem contact op met uw beheerder om te controleren of het MAM-beleid van Microsoft Intune correct op uw account wordt toegepast.

Bestaand account

Er is een bekend probleem waarbij er een bestaand, niet-geregistreerd account is, zoals user@contoso.com in Microsoft Edge, of als een gebruiker zich aanmeldt zonder zich te registreren met behulp van de heads-uppagina, dan is het account niet juist ingeschreven bij MAM. Deze configuratie blokkeert dat de gebruiker correct wordt ingeschreven bij MAM.

Volgende stappen