Intune App SDK for iOS - App Protection CA のサポート (省略可能)

アプリ保護の条件付きアクセスは、Intune がアプリ保護ポリシーが適用されていることを確認するまで、サーバー トークンへのアクセスをブロックします。 この機能では、追加ユーザー フローを変更する必要があります。 お客様が App Protection CA を有効にすると、保護されたリソースにアクセスする顧客のテナント内のアプリケーションは、この機能をサポートしていない限り、アクセス トークンを取得できません。

ステージ 6: App Protection CA のサポート

ステージの目標

• iOS アプリ内の App Protection 条件付きアクセスをサポートするために使用できるさまざまな API について説明します
• アプリとユーザーに App Protection 条件付きアクセスを統合します。
• アプリとユーザーとの上記の統合をテストします。

依存関係

Intune SDK に加えて、アプリで App Protection CA を有効にするには、これら 2 つのコンポーネントが必要です。

1. iOS Authenticator アプリ
2. MSAL 認証ライブラリ 1.0 以降

MAM-CA 修復フロー

新しい API

新しい API のほとんどは、IntuneMAMComplianceManager.h にあります。 アプリは、以下で説明する 3 つの動作の違いを認識する必要があります。

IntuneMAMComplianceDelegate の hasComplianceStatus メソッドの例

(void) accountId:(NSString*_Nonnull) accountId hasComplianceStatus:(IntuneMAMComplianceStatus) status withErrorMessage:(NSString*_Nonnull) errMsg andErrorTitle:(NSString*_Nonnull) errTitle
{
    switch(status)
    {
        case IntuneMAMComplianceCompliant:
        {
            /*
            Handle successful compliance
            */
            break;
        }
        case IntuneMAMComplianceNotCompliant:
        case IntuneMAMComplianceNetworkFailure:
        case IntuneMAMComplianceUserCancelled:
        case IntuneMAMComplianceServiceFailure:
        {
            UIAlertController* alert = [UIAlertController alertControllerWithTitle:errTitle
            message:errMsg
            preferredStyle:UIAlertControllerStyleAlert];
            UIAlertAction* defaultAction = [UIAlertAction actionWithTitle:@"OK" style:UIAlertActionStyleDefault
            handler:^(UIAlertAction * action) {exit(0);}];
            [alert addAction:defaultAction];
            dispatch_async(dispatch_get_main_queue(), ^{
            [self presentViewController:alert animated:YES completion:nil];
            });
            break;
        }
        case IntuneMAMComplianceInteractionRequired:
        {
            [[IntuneMAMComplianceManager instance] remediateComplianceForAccountId:accountId silent:NO];
            break;
        }
    }
}

func accountId(_ accountId: String, hasComplianceStatus status: IntuneMAMComplianceStatus, withErrorMessage errMsg: String, andErrorTitle errTitle: String) {
        switch status {
        case .compliant:
           //Handle successful compliance
        case .notCompliant, .networkFailure,.serviceFailure,.userCancelled:
            DispatchQueue.main.async {
              let alert = UIAlertController(title: errTitle, message: errMsg, preferredStyle: .alert)
                alert.addAction(UIAlertAction(title: "OK", style: .default, handler: { action in
                    exit(0)
                })) 
                self.present(alert, animated: true, completion: nil) 
            }
        case .interactionRequired:
            IntuneMAMComplianceManager.instance().remediateCompliance(forAccountId: accountId, silent: false)
   }

MSAL/ADAL

アプリは、クライアント機能変数を MSAL/ADAL 構成に追加することで、App Protection CA のサポートを示す必要があります。 次の値が必要です: claims = {"access_token":{"xms_cc":{"values":["protapp"]}}}

MSALPublicClientApplicationConfig クラス リファレンス (azuread.github.io)

    MSALAADAuthority *authority = [[MSALAADAuthority alloc] initWithURL:[[NSURL alloc] initWithString:IntuneMAMSettings.aadAuthorityUriOverride] error:&msalError];
    MSALPublicClientApplicationConfig *config = [[MSALPublicClientApplicationConfig alloc]
                                                 initWithClientId:IntuneMAMSettings.aadClientIdOverride
                                                 redirectUri:IntuneMAMSettings.aadRedirectUriOverride
                                                 authority:authority];

    /*
     IF YOU'RE IMPLEMENTING CA IN YOUR APP, PLEASE PAY ATTENTION TO THE FOLLOWING...
    */
    // This is needed for CA!
    // This line adds an option to the MSAL token request so that MSAL knows that CA may be active
    // Without this, MSAL won't know that CA could be activated
    // In the event that CA is activated and this line isn't in place, the auth flow will fail

    config.clientApplicationCapabilities = @[@"protapp"];

guard let authorityURL = URL(string: kAuthority) else {
            print("Unable to create authority URL")
            return
        }
         let authority = try MSALAADAuthority(url: authorityURL)
         let msalConfiguration = MSALPublicClientApplicationConfig(clientId: kClientID,redirectUri: kRedirectUri,
                                                                  authority: authority)
        msalConfiguration.clientApplicationCapabilities = ["ProtApp"]
        self.applicationContext = try MSALPublicClientApplication(configuration: msalConfiguration)

MAM SDK コンプライアンス修復 API の accountId パラメーターの Entra オブジェクト ID を取得するには、次の操作を行う必要があります。

• まず、アプリにERROR_SERVER_PROTECTION_POLICY_REQUIREDを報告するときに MSAL によって送信される MSALError オブジェクト内の userInfo[MSALHomeAccountIdKey] から homeAccountId を取得します。
• この homeAccountId は ObjectId.TenantId という形式になります。 '.' の文字列を分割して ObjectId 値を抽出し、修復 API remediateComplianceForAccountId の accountId パラメーターにその値を使用します。

終了条件

App Protection CA のテスト ユーザーの構成

1. 管理者の資格情報を使用してログインし、 https://portal.azure.comします。
2. [ Microsoft Entra ID>Security>Conditional Access>New policy] を選択します。 新しい条件付きアクセス ポリシーを作成します。
3. 次の項目を設定して、条件付きアクセス ポリシーを構成します。
   • [名前] フィールドに入力します。
   • ポリシーの有効化。
   • ユーザーまたはグループにポリシーを割り当てる。
4. クラウド アプリを割り当てます。 [ インクルード>すべてのクラウド アプリ] を選択します。 警告の注意事項として、この設定を誤って構成しないように注意してください。 たとえば、すべてのクラウド アプリを除外した場合は、本体からロックアウトします。
5. アクセス制御>Grant Access>Require アプリ保護ポリシーを選択して、アクセス制御を付与します。
6. ポリシーの構成が完了したら、[ 作成 ] を選択してポリシーを保存して適用します。
7. ポリシーを有効にします。
8. また、ユーザーが MAM ポリシーの対象になっていることを確認する必要もあります。

テスト_ケース

次の手順

上記のすべての 終了条件 を完了すると、アプリは App Protection CA サポートと正常に統合されます。 以降のセクション 「ステージ 7: Web ビュー機能」は、アプリの目的のアプリ保護ポリシーのサポートに応じて、必要な場合と必要ない場合があります。