Preparar aplicaciones de iOS para directivas de Protección de aplicaciones con el Intune App Wrapping Tool

Use el Microsoft Intune App Wrapping Tool para iOS para habilitar Intune directivas de protección de aplicaciones para aplicaciones iOS internas sin cambiar el código de la propia aplicación.

La herramienta es una aplicación de línea de comandos de macOS que crea un contenedor alrededor de una aplicación. Una vez que se procesa una aplicación, puede cambiar la funcionalidad de la aplicación mediante la implementación de directivas de protección de aplicaciones en ella.

Para descargar la herramienta, consulte Microsoft Intune App Wrapping Tool para iOS en GitHub.

Requisitos previos generales para el App Wrapping Tool

Antes de ejecutar el App Wrapping Tool, debe cumplir algunos requisitos previos generales:

• Descargue el Microsoft Intune App Wrapping Tool para iOS desde GitHub.

• Un equipo macOS que tenga instalado el conjunto de herramientas Xcode versión 16.0 o posterior.

• Su empresa o un proveedor de software independiente (ISV) debe desarrollar y firmar la aplicación de iOS de entrada.

  • El archivo debe tener la extensión .ipa o .app.

  • Debe compilarse para iOS 16.0 o posterior.

  • no se puede cifrar.

  • No hay atributos de archivo extendidos.

  • Establezca los derechos antes de procesar la aplicación con el Intune App Wrapping Tool. Los derechos proporcionan a la aplicación más permisos y funcionalidades que los permisos que se suelen conceder. Consulte Configuración de derechos de aplicación para obtener instrucciones.

• Asegúrese de que existen certificados de firma válidos en la cadena de claves del sistema. Si tiene problemas de firma de código de aplicación, siga estos pasos para resolverlo:
  • Restablecer la configuración de confianza para todos los certificados relacionados
  • Instalación de certificados intermedios en la cadena de claves del sistema y la cadena de claves de inicio de sesión
  • Desinstalación y reinstalación de todos los certificados relacionados

Registrar la aplicación con Microsoft Entra ID

1. Registre las aplicaciones con Microsoft Entra ID. Para obtener más información, consulte Registro de una aplicación con el Plataforma de identidad de Microsoft.
2. Agregue la dirección URL de redireccionamiento personalizada a la configuración de la aplicación. Para obtener más información, consulte Configuración de MSAL.
3. Proporcione a la aplicación acceso al servicio MAM de Intune. Para obtener más información, consulte Dar acceso a la aplicación al servicio Intune Mobile App Management.
4. Una vez completados los cambios anteriores, ejecute la versión más reciente de la herramienta de ajuste de aplicaciones de Intune. Configurar las aplicaciones para la biblioteca de autenticación de Microsoft (MSAL): agregue el identificador de cliente de la aplicación Microsoft Entra a los parámetros de la línea de comandos con el Intune App Wrapping Tool. Para obtener más información, vea Parámetros de la línea de comandos.

5. Implemente la aplicación.

Requisitos previos para desarrolladores de Apple para el App Wrapping Tool

Para distribuir aplicaciones ajustadas exclusivamente a los usuarios de la organización, necesita una cuenta con el Programa Apple Developer Enterprise y varias entidades para la firma de aplicaciones vinculadas a su cuenta de desarrollador de Apple.

Para obtener más información sobre la distribución interna de aplicaciones de iOS a los usuarios de la organización, lea la guía oficial de Distribución de aplicaciones del programa Apple Developer Enterprise.

Necesita lo siguiente para distribuir aplicaciones encapsuladas por Intune:

• Una cuenta de desarrollador con el Programa Apple Developer Enterprise.

• Certificado de firma de distribución interno y ad hoc con identificador de equipo válido.

  • Necesita el hash SHA1 del certificado de firma como parámetro para el Intune App Wrapping Tool.

• Perfil de aprovisionamiento de distribución interno.

Creación de una cuenta de Apple Developer Enterprise

1. Vaya al sitio del programa Apple Developer Enterprise.

2. En la parte superior derecha de la página, seleccione Inscribir.

3. Lea la lista de comprobación de lo que necesita inscribir. Seleccione Iniciar la inscripción en la parte inferior de la página.

4. Inicie sesión con la cuenta de Apple de su organización. Si no tiene ninguna, seleccione Crear cuenta de Apple.

5. Seleccione el tipo de entidad y seleccione Continuar.

6. Rellene el formulario con la información de su organización. Seleccione Continuar. En este momento, Apple se pone en contacto con usted para comprobar que está autorizado para inscribir su organización.

7. Después de la comprobación, seleccione Aceptar licencia.

8. Después de aceptar la licencia, termine comprando y activando el programa.

9. Si eres el agente del equipo (la persona que se une al Programa Apple Developer Enterprise para tu organización), invita a los miembros del equipo y asigna roles para crear tu equipo. Para obtener información sobre cómo administrar el equipo, lea la documentación de Apple sobre administración del equipo de la cuenta de desarrollador.

Creación de un certificado de firma de Apple

1. Vaya al portal para desarrolladores de Apple.

2. En la parte superior derecha de la página, seleccione Cuenta.

3. Inicie sesión con su cuenta de Apple de la organización.

4. Seleccione Certificados, identificadores & perfiles.

   

5. Seleccione el en la esquina superior derecha. Esta acción agrega un certificado iOS.

6. Elija crear un certificado interno y ad hoc en Producción.

   

   Nota:

   Si no tiene previsto distribuir la aplicación y solo quiere probarla internamente, puede usar un certificado de desarrollo de aplicaciones de iOS en lugar de un certificado para producción. Si usa un certificado de desarrollo, asegúrese de que el perfil de aprovisionamiento móvil incluye los dispositivos en los que planea instalar la aplicación.

7. Seleccione Siguiente en la parte inferior de la página.

8. Lea las instrucciones sobre cómo crear una solicitud de firma de certificado (CSR) mediante la aplicación Acceso a llaves en el equipo macOS.

   

9. Siga las instrucciones anteriores para crear una solicitud de firma de certificado. En el equipo macOS, inicie la aplicación Acceso a llaveros .

10. En el menú macOS de la parte superior de la pantalla, vaya a Keychain Access > Certificate Assistant > Request a Certificate From a Certificate Authority (Solicitar un certificado desde una entidad de certificación).

    

11. Siga las instrucciones del sitio para desarrolladores de Apple para crear un archivo de solicitud de firma de certificado (CSR). Guarde el archivo CSR en el equipo macOS.

    

12. Vuelva al sitio para desarrolladores de Apple. Seleccione Continuar. A continuación, cargue el archivo CSR.

13. Apple genera el certificado de firma. Descárguelo y guárdelo en una ubicación memorable en el equipo macOS.

    

14. Haga doble clic en el archivo de certificado que descargó para agregar el certificado a una cadena de claves.

15. Vuelva a abrir Acceso de cadena de claves. Busque el certificado buscando su nombre en la barra de búsqueda superior derecha. Haga clic con el botón derecho en el elemento para abrir el menú y seleccione Obtener información. En las pantallas de ejemplo, se usa un certificado de desarrollo en lugar de un certificado de producción.

    

16. Aparece una ventana informativa. Desplácese hasta la parte inferior y busque bajo la etiqueta Huellas digitales . Copie la cadena SHA1 (borrosa) para usarla como argumento de "-c" para el App Wrapping Tool.

    

Creación de un perfil de aprovisionamiento de distribución de In-House

1. Volver al portal de la cuenta de desarrollador de Apple e inicie sesión con la cuenta de Apple de la organización.

2. Seleccione Certificados, identificadores & perfiles.

3. Seleccione el en la esquina superior derecha. Esta acción agrega un perfil de aprovisionamiento de iOS.

4. Elija crear un perfil de aprovisionamiento interno en Distribución.

   

5. Seleccione Continuar. Asegúrese de vincular el certificado de firma generado anteriormente al perfil de aprovisionamiento.

6. Siga los pasos para descargar el perfil (con la extensión .mobileprovision) en el equipo macOS.

7. Guarde el archivo en una ubicación memorable. Este archivo se usa para el parámetro -p mientras se usa el App Wrapping Tool.

Descargue el App Wrapping Tool

1. Descargue los archivos de la App Wrapping Tool de GitHub en un equipo macOS.

2. Haga doble clic en Microsoft Intune Paqueter de restricciones de aplicación para iOS.dmg. Aparece una ventana con el Contrato de licencia de usuario final (CLUF). Lea detenidamente el documento.

3. Elija Aceptar aceptar el CLUF, que monta el paquete en el equipo.

Ejecute el App Wrapping Tool

Uso del terminal

Abra el terminal de macOS y ejecute el siguiente comando:

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> [-aa <authority URI of input app>] [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>] [-dt] [-dl] [-ds]

Ejemplo: El siguiente comando de ejemplo ejecuta el App Wrapping Tool en la aplicación denominada MyApp.ipa. Se especifican un perfil de aprovisionamiento y un hash SHA-1 del certificado de firma y se usan para firmar la aplicación encapsulada. La aplicación de salida (MyApp_Wrapped.ipa) se crea y almacena en la carpeta Escritorio.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -ac "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -ar "msauth.myAppsBundleID://auth" -v

Parámetros de línea de comandos

Puede usar los siguientes parámetros de línea de comandos con el App Wrapping Tool:

Ejemplo: El siguiente comando de ejemplo ejecuta el App Wrapping Tool, incorporando los comandos necesarios al encapsular una aplicación para su uso dentro de un único inquilino.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v

Uso de una lista plist para introducir argumentos

Una manera fácil de ejecutar el App Wrapping Tool es colocar todos los argumentos de comando en un archivo plist. Plist es un formato de archivo similar a XML que puede usar para escribir los argumentos de la línea de comandos mediante una interfaz de formulario.

En la carpeta IntuneMAMPackager/Contents/MacOS, abra Parameters.plist (una plantilla plist en blanco) con un editor de texto o Xcode. Escriba los argumentos para las claves siguientes:

Ejecute IntuneMAMPackager con plist como argumento único:

./IntuneMAMPackager –f Parameters.plist

Ajuste posterior

Una vez completado el proceso de ajuste, se mostrará el mensaje "La aplicación se ha ajustado correctamente". Si se produce un error, consulte Mensajes de error para obtener ayuda.

La aplicación encapsulada se guarda en la carpeta de salida especificada anteriormente. Puede cargar la aplicación en el centro de administración de Intune y asociarla a una directiva de administración de aplicaciones móviles.

Ahora puede implementar la aplicación en los grupos de usuarios y las directivas de protección de aplicaciones de destino en la aplicación. La aplicación se ejecuta en el dispositivo mediante las directivas de protección de aplicaciones especificadas.

¿Con qué frecuencia debo volver a encapsular mi aplicación iOS con el Intune App Wrapping Tool?

Los escenarios principales en los que tendría que volver a encapsular las aplicaciones son los siguientes:

• La propia aplicación lanzó una nueva versión. La versión anterior de la aplicación se envolvió y cargó en el centro de administración de Intune.
• La Intune App Wrapping Tool para iOS publicó una nueva versión que permite correcciones de errores clave o nuevas características específicas Intune directivas de protección de aplicaciones. La versión de una nueva versión se produce cada 6 a 8 semanas a través del repositorio de GitHub para la Microsoft Intune App Wrapping Tool para iOS.

Para iOS/iPadOS, puede encapsular la aplicación con un certificado o perfil de aprovisionamiento diferente al que se usó originalmente para firmar la aplicación. Sin embargo, si el nuevo perfil de aprovisionamiento no incluye los derechos especificados en la aplicación, se produce un error en el proceso de ajuste. Si usa la opción de línea de comandos "-e", que quita los derechos que faltan de la aplicación, forzar el ajuste para que no se produzca un error en este escenario puede provocar que se interrumpa la funcionalidad de la aplicación.

Entre los procedimientos recomendados para volver a realizar la reasignación se incluyen los siguientes:

• Asegurarse de que un perfil de aprovisionamiento diferente tiene todos los derechos necesarios como cualquier perfil de aprovisionamiento anterior.

Mensajes de error y archivos de registro

Use la siguiente información para solucionar problemas que tiene con la herramienta de ajuste de aplicaciones.

Mensajes de error

Si la herramienta de ajuste de aplicaciones no se completa correctamente, se muestra uno de los siguientes mensajes de error en la consola:

Recopilación de registros para las aplicaciones encapsuladas desde el dispositivo

Siga estos pasos para obtener los registros de las aplicaciones encapsuladas durante la solución de problemas.

1. Vaya a la aplicación Configuración de iOS en el dispositivo y seleccione la aplicación LOB.
2. Seleccione Microsoft Intune.
3. Cambie la opción Mostrar consola de diagnóstico a Activado.
4. Inicie la aplicación LOB.
5. Seleccione el vínculo "Introducción".
6. Ahora puede enviar registros directamente a Microsoft o compartirlos a través de otra aplicación en el dispositivo.

Recopilación de registros de bloqueo del sistema

Es posible que la aplicación esté registrando información útil en la consola del dispositivo cliente iOS. Esta información es útil cuando tiene problemas con la aplicación y necesita determinar si el problema está relacionado con el App Wrapping Tool o la propia aplicación. Para recuperar esta información, siga estos pasos:

1. Reproduzca el problema mediante la ejecución de la aplicación.

2. Recopile la salida de la consola siguiendo las instrucciones de Apple para depurar aplicaciones de iOS implementadas.

Las aplicaciones encapsuladas también presentarán a los usuarios la opción de enviar registros directamente desde el dispositivo por correo electrónico después de que la aplicación se bloquee. Los usuarios pueden enviarle los registros para examinarlos y reenviarlos a Microsoft si es necesario.

Requisitos de certificado, perfil de aprovisionamiento y autenticación

El App Wrapping Tool para iOS tiene algunos requisitos que deben cumplirse para garantizar una funcionalidad completa.

Configuración de derechos de aplicación

Antes de ajustar la aplicación, puede conceder derechos para conceder a la aplicación permisos y funcionalidades adicionales que superen lo que una aplicación puede hacer normalmente. Durante la firma de código se usa un archivo de derechos para especificar permisos especiales dentro de la aplicación (por ejemplo, acceso a una cadena de claves compartida). Los servicios de aplicaciones específicos denominados funcionalidades se habilitan en Xcode durante el desarrollo de aplicaciones. Una vez habilitadas, las funcionalidades se reflejan en el archivo de derechos. Para obtener más información sobre los derechos y las funcionalidades, vea Agregar funcionalidades en la biblioteca para desarrolladores de iOS. Para obtener una lista completa de las funcionalidades admitidas, consulte Funcionalidades admitidas.

Funcionalidades admitidas para la App Wrapping Tool para iOS

Pasos para habilitar derechos

1. Habilitación de funcionalidades en la aplicación:

   a. En Xcode, vaya al destino de la aplicación y seleccione Funcionalidades.

   b. Active las funcionalidades adecuadas. Para obtener información detallada sobre cada funcionalidad y cómo determinar los valores correctos, vea Agregar funcionalidades en la biblioteca para desarrolladores de iOS.

   c. Tenga en cuenta los identificadores que creó durante el proceso. Estos identificadores se pueden denominar valores AppIdentifierPrefix .

   d. Compile y firme la aplicación para que se ajuste.

2. Habilite los derechos en el perfil de aprovisionamiento:

   a. Inicie sesión en el Centro de miembros para desarrolladores de Apple.

   b. Cree un perfil de aprovisionamiento para la aplicación. Para obtener instrucciones, consulte Cómo obtener los requisitos previos de la Intune App Wrapping Tool para iOS.

   c. En el perfil de aprovisionamiento, habilite los mismos derechos que tiene en la aplicación. Debe proporcionar los mismos identificadores (los AppIdentifierPrefix valores) que especificó durante el desarrollo de la aplicación.

   d. Finalice el asistente para el perfil de aprovisionamiento y descargue el archivo.

3. Asegúrese de que cumple todos los requisitos previos y, a continuación, ajuste la aplicación.

Solución de errores comunes con derechos

Si el App Wrapping Tool para iOS muestra un error de derecho, pruebe los pasos de solución de problemas siguientes.

Búsqueda de los derechos existentes de una aplicación firmada

Para revisar los derechos existentes de una aplicación firmada y el perfil de aprovisionamiento:

1. Busque el archivo .ipa y cambie su extensión a .zip.

2. Expanda el archivo .zip. Esta acción crea una carpeta Payload que contiene la agrupación de .app.

3. Use la herramienta codesign para comprobar los derechos de la agrupación de .app, donde YourApp.app es el nombre real de la agrupación de .app.

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. Use la herramienta de seguridad para comprobar los derechos del perfil de aprovisionamiento incrustado de la aplicación, donde YourApp.app es el nombre real de la agrupación de .app.

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

Eliminación de derechos de una aplicación mediante el parámetro –e

Este comando quita las funcionalidades habilitadas en la aplicación que no están en el archivo de derechos. Si quitas las funcionalidades que usa la aplicación, puede interrumpir la aplicación. Un ejemplo de dónde puede quitar las funcionalidades que faltan es en una aplicación producida por el proveedor que tiene todas las funcionalidades de forma predeterminada.

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> `–p` /<path to provisioning profile> –c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> -e

Seguridad y privacidad para el App Wrapping Tool

Use los siguientes procedimientos recomendados de seguridad y privacidad al usar el App Wrapping Tool.

• El certificado de firma, el perfil de aprovisionamiento y la aplicación de línea de negocio que especifique deben estar en la misma máquina macOS que se usa para ejecutar la herramienta de ajuste de aplicaciones. Si los archivos están en una ruta de acceso UNC, asegúrese de que el equipo macOS puede acceder a ellos. La ruta de acceso debe protegerse a través de la firma IPsec o SMB.

  La aplicación encapsulada importada en el centro de administración debe estar en el mismo equipo en el que se ejecuta la herramienta. Si el archivo está en una ruta de acceso UNC, asegúrese de que es accesible en el equipo que ejecuta el centro de administración. La ruta de acceso debe protegerse a través de la firma IPsec o SMB.

• El entorno donde se descarga el App Wrapping Tool del repositorio de GitHub debe protegerse mediante la firma IPsec o SMB.

• La aplicación que procesa debe provenir de un origen de confianza para garantizar la protección contra ataques.

• Asegúrese de que la carpeta de salida especificada en el App Wrapping Tool está protegida, especialmente si se trata de una carpeta remota.

• Las aplicaciones iOS que incluyen un cuadro de diálogo de carga de archivos pueden permitir a los usuarios eludir, cortar, copiar y pegar las restricciones aplicadas a la aplicación. Por ejemplo, un usuario podría usar el cuadro de diálogo carga de archivos para cargar una captura de pantalla de los datos de la aplicación.

• Al supervisar la carpeta de documentos en el dispositivo desde dentro de una aplicación encapsulada, es posible que vea una carpeta denominada .msftintuneapplauncher. Si cambia o elimina este archivo, podría afectar al funcionamiento correcto de las aplicaciones restringidas.

• El registro de esquemas de direcciones URL personalizados permite que direcciones URL específicas se redirijan a la aplicación. iOS e iPadOS permiten que varias aplicaciones registren el mismo esquema de dirección URL personalizada y el sistema operativo determina qué aplicación se invoca. Consulte la documentación de Apple Definición de un esquema de direcciones URL personalizado para la aplicación para obtener recomendaciones que ayuden a evitar colisiones de esquemas de direcciones URL personalizadas y directrices de seguridad para controlar direcciones URL con formato incorrecto.

Recursos adicionales

• Decidir cómo preparar aplicaciones para la administración de aplicaciones móviles con Microsoft Intune
• Preguntas, problemas y soluciones comunes con directivas y perfiles de dispositivo
• Uso del SDK para habilitar aplicaciones para la administración de aplicaciones móviles