Configurar la protección de aplicaciones de Intune en Sophos Mobile y renovar el certificado de Azure

La protección de aplicaciones de Intune (MAM) restringe los datos de trabajo en aplicaciones compatibles según la identidad del usuario. La directiva se aplica a la cuenta de trabajo de un usuario asignado, no de forma indiscriminada a sus cuentas personales ni a todo el dispositivo. No es necesario inscribir el dispositivo en Sophos Mobile. MAM también puede utilizarse en un dispositivo ya administrado, pero no equivale a la inscripción MDM en Intune ni a una directiva de dispositivo de Sophos Mobile. Tampoco configura el conector independiente de Intune Mobile Threat Defense para el estado de seguridad de Sophos Intercept X for Mobile.

Antes de realizar cambios: tenant, permisos y alcance

Deje constancia por escrito del tenant de Sophos Mobile y del tenant de Microsoft Entra/Intune previsto. Identifique a un administrador autorizado de Sophos Mobile, al responsable de aplicaciones de Microsoft/Intune y a la persona facultada para otorgar consentimiento en el tenant. Pida al equipo de Microsoft que, antes del registro, compruebe el nombre de la aplicación, el tenant, el Application (client) ID, los permisos de API solicitados con su tipo y alcance, el estado del consentimiento, los roles necesarios y los posibles registros de aplicaciones existentes tal como se muestran realmente, y que los autorice para ese tenant concreto. Sophos exige registrar una aplicación de Azure, indicar su ID, cargar un certificado y conceder los permisos necesarios, pero su guía de configuración no especifica los ámbitos de API, el tipo de consentimiento ni los roles RBAC requeridos. Por tanto, ni siquiera los nombres conocidos de permisos de Microsoft Graph son requisitos confirmados del asistente de Sophos. Deténgase aquí si no se han examinado y aprobado los permisos realmente solicitados; no conceda permisos por suposición.
Sophos indica que se necesita Microsoft Entra ID P1 o P2 y una licencia de Intune asignada a la cuenta de Entra correspondiente. Outlook requiere un buzón de Exchange Online y una licencia adecuada; Word, Excel y PowerPoint requieren que la cuenta tenga una licencia de Microsoft 365 Business o Enterprise. Compruebe también los derechos de uso de las aplicaciones móviles de Office con la suscripción concreta. Que aparezca una opción en el menú de Sophos no sustituye la comprobación de licencias ni de permisos.
Defina Android o iOS/iPadOS, una aplicación compatible de Microsoft 365 u otra que integre Intune App SDK y que ya figure en el inventario de aplicaciones de Intune del tenant correcto, así como un pequeño grupo de seguridad de Microsoft Entra ID. Documente la cuenta de trabajo, la pertenencia al grupo, las directivas de protección de aplicaciones existentes y los flujos previstos de datos de trabajo. Antes del piloto, compruebe el efecto efectivo de las directivas existentes que se solapen y de Conditional Access; no suponga que la nueva directiva de Sophos prevalecerá por sí sola.
Antes de un piloto en dispositivos administrados, compruebe con el equipo autorizado de administración de Intune el tipo real de inscripción, el tipo de aplicación y el destino según el estado de administración del dispositivo (todos los tipos de aplicaciones o, de forma selectiva, dispositivos administrados/no administrados). En Android Enterprise, Microsoft cita en su guía de resolución de problemas de implementación de directivas a los dispositivos personales con perfil de trabajo como caso habitual; no interprete esa afirmación como una exclusión de las excepciones documentadas para Shared Device Mode. La información general de Microsoft sobre la protección de aplicaciones también documenta directivas de protección de aplicaciones para dispositivos dedicados Android Enterprise administrados por Intune con Shared Device Mode y dispositivos AOSP sin usuario con Shared Device Mode; los dispositivos dedicados sin ese modo no son compatibles. En Shared Device Mode, Microsoft advierte de una excepción si se exige PIN para el acceso o credenciales de la cuenta profesional o educativa para el acceso; si se produce un bloqueo durante el restablecimiento del PIN, la persona afectada debe desbloquear el acceso mediante Remove account. No deduzca de ello compatibilidad general con otros tipos de inscripción ni con todas las combinaciones de aplicaciones y ajustes: compruebe el tipo concreto de dispositivo, la aplicación, el ajuste y la directiva aplicada efectivamente en el dispositivo piloto. Si el destino son únicamente dispositivos iOS/iPadOS administrados por Intune, además de la directiva de protección de aplicaciones deben estar aplicados los valores necesarios de configuración de aplicaciones MDM para las aplicaciones afectadas: IntuneMAMUPN e IntuneMAMOID para aplicaciones administradas mediante MDM (Intune o una solución EMM de terceros), e IntuneMAMDeviceID como token de ID de dispositivo para aplicaciones de terceros y LOB administradas mediante MDM. Con solo DeviceID, Intune clasifica el dispositivo como no administrado a efectos de esta protección. Compruebe los valores existentes y la asignación efectiva en cada aplicación y dispositivo piloto; no configure claves ni asignaciones de destino amplias por suposición. Que una directiva aparezca en Sophos o que el usuario pertenezca a un grupo no demuestra por sí solo que exista protección en dispositivos administrados.
Aclare con el equipo administrador de Microsoft los requisitos de inicio de sesión de cada plataforma. En Android, la aplicación Intune Company Portal es necesaria para recibir la directiva de protección de aplicaciones. Para las aplicaciones de Microsoft 365, Microsoft exige además el registro del dispositivo en Microsoft Entra cuando se usa MAM en Android; también hay que tener en cuenta la aplicación de intermediación cuando se utiliza Conditional Access basado en aplicaciones. En iOS/iPadOS, Microsoft Authenticator puede ser necesario como intermediario. Instalar la aplicación de intermediación o registrar el dispositivo en Entra no supone una inscripción MDM en Intune ni en Sophos Mobile. Observe el inicio de sesión, MFA y Conditional Access durante el piloto en lugar de afirmar que existe un requisito universal de inscripción del dispositivo.
Para Word, Excel o PowerPoint, prevea una ubicación de almacenamiento administrada mediante la función granular Save As de la configuración de Microsoft Save copies of org data. Si se utiliza OneDrive como ubicación, asigne también su aplicación al usuario piloto mediante la directiva de protección de aplicaciones y configure la cuenta profesional o educativa en la aplicación de Office. Un archivo nuevo que no se haya guardado en una ubicación de trabajo puede considerarse personal; pruebe con un archivo cuya naturaleza de trabajo pueda acreditarse.

Crear y comprobar una directiva MAM de alcance limitado

Los siguientes nombres de menú en inglés proceden de las guías de Sophos. La consola actual puede mostrar otros nombres; si difieren, confirme los pasos reales con el administrador autorizado y no elija una opción de MDM o Threat Defense de nombre parecido.

En la interfaz descrita por Sophos, abra Setup > Sophos setup > Microsoft Azure y Microsoft Azure registration wizard. El equipo administrador de Microsoft autorizado coteja los permisos solicitados, el tenant y el ID de la aplicación con la lista aprobada de antemano, registra la aplicación, carga el certificado de Sophos Mobile y otorga únicamente el consentimiento aprobado. Tras completar el proceso, Sophos indica Policies > Intune app protection. La aparición de ese menú no demuestra que los permisos de API sean efectivos ni que haya una directiva activa.
Allí, cree y guarde una Android policy o iOS policy para el piloto; Sophos requiere directivas separadas para Android e iOS/iPadOS. Configure la transferencia de datos entre aplicaciones, Guardar como, el portapapeles, los contactos y el acceso a las aplicaciones según el flujo de datos, y compruébelos por plataforma. Las páginas de configuración de Sophos de 2022 emplean nombres antiguos como Managed Browser; no deduzca de ello que el navegador siga siendo compatible. Puede haber excepciones a las restricciones de transferencia de datos y algunas aplicaciones iOS ignoran las restricciones para los datos entrantes. No prometa de forma general que todos los flujos de datos están bloqueados.
Distinga el período de gracia sin conexión (minutos) para volver a comprobar el acceso del intervalo sin conexión previo a la eliminación de los datos de trabajo de la aplicación (días), que se configuran por separado: al vencer cada plazo, la aplicación exige una conexión de red y una nueva autenticación. En el intervalo previo a la eliminación, los datos de trabajo de la aplicación se eliminan solo si falla la autenticación. Compruebe los umbrales reales durante el piloto, sin presuponer un orden fijo. En Outlook también pueden eliminarse datos guardados en los contactos. No se trata de un borrado automático del dispositivo por el mero transcurso del tiempo. Pruebe los umbrales destructivos y la sincronización de contactos solo con autorización y una cuenta de prueba no productiva; no haga pruebas con contactos de producción.
En el menú de directivas descrito por Sophos, use Assign apps para asignar únicamente las aplicaciones previstas para la plataforma correspondiente y guarde los cambios. Según Sophos, la lista contiene aplicaciones ya añadidas a la cuenta de Microsoft Intune. Por separado, use Assign user groups para asignar los grupos de seguridad de Microsoft Entra ID: Include incluye a sus miembros; Exclude tiene prioridad incluso si también pertenecen a un grupo incluido; Not assigned no excluye a los miembros incluidos mediante otro grupo. Solo se ven afectados los miembros con una licencia de Intune asignada. Son necesarias tanto la asignación de aplicaciones como una asignación efectiva de usuarios; aquí el mecanismo de destino no son los grupos de dispositivos de Sophos ni una asignación MDM de dispositivos.
Tras la actualización o un nuevo inicio de sesión, contraste en Microsoft la directiva, la plataforma y ambas asignaciones. Después, con una cuenta piloto con licencia, abra la aplicación compatible en el contexto de trabajo, complete los requisitos de intermediación e inicio de sesión y observe una restricción no destructiva y una ubicación de almacenamiento de trabajo; compruebe por separado la cuenta personal. Si el alcance incluye dispositivos administrados, compruebe además el tipo de inscripción previamente verificado, el estado de configuración de la aplicación iOS y la directiva de protección de aplicaciones aplicada efectivamente al dispositivo piloto concreto en la aplicación de destino. Registre el tenant, la aplicación, la plataforma, la cuenta, los grupos, la directiva y el resultado observado. La mera visibilidad de una directiva no demuestra que se aplique. Si el resultado no coincide con lo previsto, detenga el despliegue y compruebe los permisos y el consentimiento, el certificado, la licencia, la compatibilidad de la aplicación, la aplicación de intermediación/Conditional Access y la pertenencia efectiva a los grupos.

Renovar el certificado antes de su vencimiento

Sophos indica un año de validez para el certificado de Microsoft Azure de la integración. Si no se renueva a tiempo, deja de funcionar la protección de aplicaciones de Intune en Sophos Mobile. Según Sophos, el mero inicio de la renovación interrumpe temporalmente la integración de protección de aplicaciones de Intune hasta que se cargue el nuevo certificado. Esto no demuestra si las directivas ya entregadas a las aplicaciones seguirán aplicándose sin cambios mientras tanto. Defina una ventana de mantenimiento y responsables para ambos portales; registre de antemano el tenant, el Application (client) ID, la huella digital anterior y la fecha de vencimiento. No inicie el proceso si no puede realizar la carga y la comprobación inmediata.

Sophos describe la ruta Fusion > My Products > Mobile > Setup > Sophos setup > Microsoft Azure: compruebe la fecha de vencimiento, confirme Renew certificate y descargue el certificado nuevo. En el registro de aplicaciones de Microsoft, seleccione el mismo Application (client) ID y cargue el certificado en Certificates & secrets. Compare la nueva huella digital en ambos portales y vuelva a consultar la integración y una directiva piloto existente, además de comprobar su funcionamiento con la cuenta de trabajo. Elimine la entrada del certificado anterior únicamente después de comparar las huellas digitales y completar una comprobación funcional autorizada. Si el ID de aplicación es incorrecto, falla la carga o se produce una interrupción inesperada, no elimine por precaución la entrada anterior: detenga el cambio y escale el incidente. No hay constancia de un retorno automático al certificado anterior ni de una recuperación tras el vencimiento.

Reversión segura y estado de aprobación

Si el piloto falla, registre la configuración anterior y las demás directivas; después, con los responsables autorizados de Intune, revierta de forma selectiva solo la aplicación o el grupo piloto, o bien la configuración problemática. Compruebe de nuevo la directiva efectiva y la cuenta de trabajo; no prometa una recuperación inmediata. No quite el dispositivo de MDM ni desactive el conector de Threat Defense. Revocar una asignación o eliminar el registro de la aplicación de Azure no constituye un borrado selectivo inmediato de datos cuya ejecución se haya verificado. Eliminar el certificado o el registro de la aplicación afecta más allá del piloto y requiere una autorización específica.

Estado: Borrador editorial. Los ámbitos actuales exactos del asistente de Sophos, el consentimiento y los roles, así como el efecto en el tenant, la recuperación del certificado y las consecuencias para los datos, no se han verificado en la práctica; no se autoriza su uso para cambios en producción.