Intune-app-beveiliging instellen in Sophos Mobile en Azure-certificaat vernieuwen

Intune-app-beveiliging (MAM) beperkt zakelijke gegevens in ondersteunde apps op basis van de gebruikersidentiteit. Het beleid geldt voor het zakelijke account van een toegewezen gebruiker, niet zonder meer voor diens privéaccounts of het hele apparaat. Inschrijving van het apparaat bij Sophos Mobile is niet vereist. MAM kan ook op een al beheerd apparaat worden gebruikt, maar is zelf geen inschrijving bij Intune-MDM en geen Sophos Mobile-apparaatbeleid. Ook de afzonderlijke Intune Mobile Threat Defense-connector voor de beveiligingsstatus van Sophos Intercept X for Mobile wordt hiermee niet ingesteld.

Voor elke wijziging: tenant, machtigingen en reikwijdte

• Leg de Sophos Mobile-tenant en de beoogde Microsoft Entra-/Intune-tenant schriftelijk vast. Wijs een bevoegde Sophos Mobile-beheerder, de verantwoordelijke Microsoft-app-/Intune-beheerder en degene die namens de tenant toestemming mag geven aan. Vraag de Microsoft-beheerder om vóór een registratie de daadwerkelijk getoonde applicatienaam, tenant, Application (client) ID, aangevraagde API-machtigingen inclusief machtigingstype en reikwijdte, toestemmingsstatus, vereiste rollen en eventuele bestaande app-registraties te controleren en specifiek voor deze tenant goed te keuren. Sophos vereist een Azure-app-registratie, applicatie-ID, certificaatupload en de benodigde machtigingen, maar noemt in de installatiehandleiding geen concrete API-scopes, type toestemming of vereiste RBAC-rollen. Ook bekende namen van Microsoft Graph-machtigingen zijn daarom geen bevestigde vereisten van de Sophos-wizard. Stop hier als de werkelijke machtigingsaanvraag niet is beoordeeld en goedgekeurd; ken geen rechten toe op basis van aannames.
• Sophos noemt Microsoft Entra ID P1 of P2 en een aan het betreffende Entra-account toegewezen Intune-licentie. Voor Outlook moet het account een Exchange Online-postvak en een passende licentie hebben; voor Word, Excel en PowerPoint is een Microsoft 365 Business- of Enterprise-licentie vereist. Controleer voor het specifieke abonnement ook het gebruiksrecht voor mobiele Office-apps. Een zichtbare menuoptie in Sophos vervangt geen controle van licenties of machtigingen.
• Kies Android of iOS/iPadOS, een ondersteunde Microsoft 365-app of een andere app met de Intune App SDK die al in de Intune-applijst van de juiste tenant staat, en een kleine Microsoft Entra ID-beveiligingsgroep. Documenteer het zakelijke account, groepslidmaatschap, bestaande app-beveiligingsbeleidsregels en beoogde routes voor zakelijke gegevens. Controleer vóór de pilot de feitelijke werking van bestaand overlappend beleid en Conditional Access; ga er niet van uit dat het nieuwe Sophos-beleid vanzelf voorrang krijgt.
• Controleer vóór een pilot op beheerde apparaten samen met de bevoegde Intune-beheerder het daadwerkelijke inschrijvingstype, het app-type en de doelgroep op basis van de beheerstatus van het apparaat (alle app-typen of specifiek beheerde/niet-beheerde apparaten). Bij Android Enterprise noemt Microsoft in de probleemoplossing voor beleidsimplementatie voor het gebruikelijke scenario met een persoonlijk werkprofiel persoonlijke apparaten met een werkprofiel; lees dit niet als een uitsluiting van gedocumenteerde uitzonderingen voor Shared Device Mode. Het Microsoft-overzicht van app-beveiliging documenteert app-beveiligingsbeleid ook voor door Intune beheerde Android Enterprise Dedicated-apparaten met Shared Device Mode en AOSP-apparaten zonder toegewezen gebruiker met Shared Device Mode; Dedicated-apparaten zonder deze modus worden niet ondersteund. Daarbij noemt Microsoft een uitzondering wanneer PIN voor toegang of aanmeldgegevens van een werk- of schoolaccount voor toegang worden afgedwongen; als iemand tijdens het opnieuw instellen van de PIN wordt geblokkeerd, moet die persoon via Remove account de blokkering opheffen. Leid hieruit geen algemene ondersteuning voor andere inschrijvingstypen of elke combinatie van app en instelling af: controleer het specifieke apparaattype, de app, de instelling en het daadwerkelijk toegepaste beleid op het pilotapparaat. Als uitsluitend door Intune beheerde iOS/iPadOS-apparaten worden beoogd, moeten naast het app-beveiligingsbeleid ook de vereiste MDM-appconfiguratiewaarden voor de betreffende apps daadwerkelijk van kracht zijn: IntuneMAMUPN en IntuneMAMOID voor door MDM beheerde apps (Intune of een externe EMM), IntuneMAMDeviceID als apparaat-ID-token voor door MDM beheerde apps van derden en LOB-apps. Met alleen DeviceID beschouwt Intune het apparaat voor deze beveiliging als niet beheerd. Controleer de aanwezige waarden en de effectieve toewijzing per pilot-app en -apparaat; stel geen sleutels of brede doelgroepen in op basis van aannames. Een zichtbaar Sophos-beleid of groepslidmaatschap alleen bewijst niet dat beheerde apparaten beschermd zijn.
• Stem de aanmeldvereisten per platform af met de Microsoft-beheerder. Op Android is de Intune-bedrijfsportal-app nodig om het app-beveiligingsbeleid te ontvangen. Voor Microsoft 365-apps vereist Microsoft bij Android-MAM daarnaast registratie van het apparaat bij Microsoft Entra; houd bij app-gebaseerde Conditional Access ook rekening met de broker-app. Op iOS/iPadOS kan Microsoft Authenticator als broker nodig zijn. De installatie van een broker of Entra-apparaatregistratie is geen inschrijving bij Intune-MDM of Sophos Mobile-MDM. Observeer aanmelding, MFA en Conditional Access tijdens de pilot in plaats van een algemene inschrijfplicht voor apparaten te veronderstellen.
• Zorg voor Word, Excel of PowerPoint voor een beheerde opslaglocatie via de gedetailleerde Save As-functie van de Microsoft-instelling Save copies of org data. Als OneDrive de opslaglocatie is, wijs dan ook de OneDrive-app via een app-beveiligingsbeleid toe aan de pilotgebruiker en configureer het werk- of schoolaccount in de Office-app. Een nieuw bestand dat niet op een zakelijke opslaglocatie is opgeslagen, kan als privé worden beschouwd; test daarom met een aantoonbaar zakelijk bestand.

Een strikt afgebakend MAM-beleid maken en controleren

De volgende Engelse menunamen komen uit de Sophos-handleidingen. Uw huidige console kan andere benamingen gebruiken; stem bij verschillen de werkelijke stappen af met de bevoegde beheerder en kies niet een vergelijkbaar genoemd menu voor MDM of Threat Defense.

1. Open in de door Sophos beschreven interface Setup > Sophos setup > Microsoft Azure en Microsoft Azure registration wizard. De bevoegde Microsoft-beheerder vergelijkt de aangevraagde machtigingen, tenant en applicatie-ID met de vooraf goedgekeurde lijst, registreert de applicatie, uploadt het Sophos Mobile-certificaat en verleent uitsluitend de goedgekeurde toestemming. Na voltooiing noemt Sophos Policies > Intune app protection. Dat dit menu verschijnt, bewijst noch dat de API-machtigingen daadwerkelijk werken, noch dat er een actief beleid is.
2. Maak daar voor de pilot een Android policy of iOS policy aan en sla deze op; Sophos vereist afzonderlijke beleidsregels voor Android en iOS/iPadOS. Bepaal op basis van de gegevensstromen welke overdracht van appgegevens, opslag via Opslaan als, klembordfuncties, contacten en app-toegang zijn toegestaan, en controleer dit per platform. De Sophos-instellingenpagina’s uit 2022 gebruiken oudere benamingen zoals Managed Browser; leid daaruit geen actuele browserondersteuning af. Voor gegevensoverdracht kunnen uitzonderingen gelden en sommige iOS-apps negeren beperkingen op binnenkomende gegevens. Beloof niet dat alle gegevensroutes zonder uitzondering worden geblokkeerd.
3. Onderscheid de offline-respijtperiode (minuten) voor een nieuwe toegangscontrole van het afzonderlijk instelbare offline-interval vóór het verwijderen van zakelijke appgegevens (dagen): na afloop van de betreffende termijn vereist de app een netwerkverbinding en hernieuwde authenticatie. Bij het interval vóór verwijdering worden zakelijke appgegevens alleen verwijderd als de authenticatie mislukt. Controleer de werkelijke drempelwaarden tijdens de pilot in plaats van uit te gaan van een vaste volgorde. Bij Outlook kunnen ook gegevens die in Contacten zijn opgeslagen worden verwijderd. Het enkele verstrijken van de tijd veroorzaakt geen automatische wisactie van het hele apparaat. Test destructieve drempels en synchronisatie van contacten alleen na goedkeuring en met een niet-productief testaccount, niet met productiecontacten.
4. Wijs in het door Sophos beschreven beleidsmenu via Assign apps alleen de beoogde apps voor het juiste platform toe en sla op. Volgens Sophos bevat de lijst apps die al aan het Microsoft Intune-account zijn toegevoegd. Wijs afzonderlijk via Assign user groups de Microsoft Entra ID-beveiligingsgroepen toe: Include neemt leden op, Exclude krijgt ook voor leden van een Include-groep voorrang; Not assigned sluit leden niet uit als zij via een andere groep zijn opgenomen. Alleen leden met een toegewezen Intune-licentie vallen onder het beleid. Zowel een app-toewijzing als een effectieve gebruikerstoewijzing is nodig; Sophos-apparaatgroepen en een apparaat-MDM-toewijzing zijn hier niet het doelmechanisme.
5. Controleer na een vernieuwing of nieuwe aanmelding aan Microsoft-zijde het beleid, het platform en beide toewijzingen. Open vervolgens met een gelicentieerd pilotaccount de ondersteunde app in de zakelijke context, voltooi de vereiste broker- en aanmeldstappen en controleer een niet-destructieve beperking en een zakelijke opslaglocatie; controleer het privéaccount afzonderlijk. Als beheerde apparaten tot de doelgroep behoren, controleer dan bovendien het eerder beoordeelde inschrijvingstype, de iOS-appconfiguratiestatus en het app-beveiligingsbeleid dat daadwerkelijk wordt toegepast op het specifieke pilotapparaat in de doel-app. Leg tenant, app, platform, account, groepen, beleid en waargenomen resultaat vast. Alleen de zichtbaarheid van een beleid bewijst niet dat het wordt afgedwongen. Stop de uitrol bij afwijkingen en controleer machtigingen/toestemming, certificaat, licentie, app-ondersteuning, broker/Conditional Access en effectief groepslidmaatschap.

Certificaat vernieuwen vóór het verloopt

Volgens Sophos is het Microsoft Azure-certificaat voor deze integratie één jaar geldig. Zonder tijdige vernieuwing werkt Intune-app-beveiliging in Sophos Mobile niet meer. Volgens Sophos onderbreekt het starten van de vernieuwing de integratie voor Intune-app-beveiliging tijdelijk, totdat het nieuwe certificaat is geüpload. Daarmee is niet aangetoond of eerder aan apps afgeleverd beleid ondertussen ongewijzigd wordt afgedwongen. Spreek een onderhoudsvenster en verantwoordelijken voor beide portals af; noteer vooraf de tenant, Application (client) ID, oude vingerafdruk en vervaldatum. Begin niet als upload en onmiddellijke controle niet mogelijk zijn.

Sophos beschrijft Fusion > My Products > Mobile > Setup > Sophos setup > Microsoft Azure: controleer de vervaldatum, bevestig Renew certificate en download het nieuwe certificaat. Selecteer in de Microsoft-app-registratie dezelfde Application (client) ID en upload het certificaat onder Certificates & secrets. Vergelijk de nieuwe vingerafdruk in beide portals, lees de integratie en een bestaand pilotbeleid opnieuw uit en controleer de werking met het zakelijke account. Verwijder de oude certificaatvermelding pas na vergelijking van de vingerafdrukken en een goedgekeurde functionele controle. Verwijder bij een verkeerde app-ID, mislukte upload of onverwachte uitval de oude vermelding niet preventief; stop de wijziging en escaleer. Automatische terugkeer naar het oude certificaat of herstel na de vervaldatum is niet aangetoond.

Veilig terugdraaien en goedkeuringsstatus

Leg bij een mislukte pilot de eerdere instellingen en andere beleidsregels vast en draai vervolgens samen met de bevoegde Intune-verantwoordelijken alleen de pilot-app, pilotgroep of problematische instelling gericht terug. Controleer opnieuw het effectieve beleid en het zakelijke account; beloof geen onmiddellijk herstel. Verwijder het apparaat niet uit MDM en schakel de Threat Defense-connector niet uit. Een opgeheven toewijzing of verwijderde Azure-app-registratie is geen aantoonbaar onmiddellijke selectieve wisactie voor gegevens. Het verwijderen van het certificaat of de app-registratie heeft gevolgen buiten de pilot en vereist afzonderlijke goedkeuring.

Status: Redactioneel concept. De exacte actuele machtigingen die de Sophos-wizard vraagt, het type toestemming en de rollen, evenals de werking in de tenant, het herstel van certificaten en de gevolgen voor gegevens, zijn niet in de praktijk geverifieerd; niet goedgekeurd voor wijzigingen in productie.