Definições da Política de Proteção de Aplicações Android no Microsoft Intune

• Aplicativos gerenciados por política: permita a transferência apenas para outros aplicativos gerenciados por política.
• Todas as Aplicações: permitir a transferência para qualquer aplicação.
• Nenhuma: não permitir a transferência de dados para nenhuma aplicação, incluindo outras aplicações geridas por políticas.

Existem algumas aplicações e serviços isentos para os quais Intune podem permitir a transferência de dados por predefinição. Além disso, você poderá criar suas próprias isenções se precisar permitir a transferência de dados para um aplicativo que não seja compatível com a APP do Intune. Para obter mais informações, veja Isenções de transferência de dados.

Esta política também pode ser aplicada a Ligações de Aplicações Android.

Selecionar aplicativos para isentar

Salvar cópias de dados da organização

• Esta definição é suportada para o Microsoft Excel, OneNote, PowerPoint, Word e Microsoft Edge. Também pode ser suportado por aplicações não Microsoft e LOB.
• Esta definição só é configurável quando a definição Enviar dados da organização para outras aplicações está definida como Aplicações geridas por políticas.
• Esta definição é "Permitir" quando a definição Enviar dados da organização para outras aplicações está definida como Todas as Aplicações.
• Esta definição é "Bloquear" sem localizações de serviço permitidas quando a definição Enviar dados da organização para outras aplicações está definida como **Nenhum".
• Esta definição guarda os ficheiros como encriptados se a opção Encriptar dados da organização estiver definida como **Exigir".

Permitir que o usuário salve uma cópia para serviços selecionados

Transferir dados de telecomunicações para

• Nenhum, não transfira estes dados entre aplicações: não transfira dados de comunicação quando for detetado um número de telefone.
• Um aplicativo discador específico: Permita que um aplicativo discador específico inicie o contato quando um número de telefone for detectado.
• Qualquer aplicação de marcador gerida por políticas: permita que qualquer aplicação de marcador gerida por política inicie o contacto quando for detetado um número de telefone.
• Qualquer aplicativo discador: Permita que qualquer aplicativo discador seja usado para iniciar o contato quando um número de telefone for detectado.

ID do Pacote de Aplicação do Dialer

Nome da Aplicação Do Marcador

Transferir dados de mensagens para

• Nenhum, não transfira estes dados entre aplicações: não transfira dados de comunicação quando for detetado um número de telefone.
• Uma aplicação de mensagens específica: permita que uma aplicação de mensagens específica seja utilizada para iniciar o contacto quando é detetado um número de telefone.
• Qualquer aplicação de mensagens gerida por políticas: permita que qualquer aplicação de mensagens gerida por políticas seja utilizada para iniciar o contacto quando é detetado um número de telefone.
• Qualquer aplicação de mensagens: permita que qualquer aplicação de mensagens seja utilizada para iniciar o contacto quando for detetado um número de telefone.

ID do Pacote da Aplicação de Mensagens

Nome da Aplicação de Mensagens

• Aplicativos gerenciados por política: permita a transferência apenas de outros aplicativos gerenciados por política.
• Todas as Aplicações: permitir a transferência de dados a partir de qualquer aplicação.
• Nenhuma: não permita a transferência de dados a partir de nenhuma aplicação, incluindo outras aplicações geridas por políticas.

Existem algumas aplicações e serviços isentos a partir dos quais Intune podem permitir a transferência de dados. Veja Isenções de transferência de dados para obter uma lista completa de aplicações e serviços.

Abrir dados em documentos da organização

• Esta configuração pode ser definida somente quando a opção Receber dados de outros aplicativos estiver definida como Aplicativos gerenciados por política.
• Esta definição é "Permitir" quando a definição Receber dados de outras aplicações está definida como Todas as Aplicações.
• Esta definição é "Bloquear" sem localizações de serviço permitidas quando a definição Receber dados de outras aplicações está definida como Nenhuma.
• Os seguintes aplicativos dão suporte a essa configuração:
  • OneDrive 6.14.1 ou posterior.
  • Outlook para Android 4.2039.2 ou posterior.
  • Teams para Android 1416/1.0.0.2021173701 ou posterior.

Permitir que os usuários abram dados dos serviços selecionados

• OneDrive for Business
• SharePoint Online
• Câmera
• Biblioteca de Fotos

• Bloqueado: não permita ações cortar, copiar e colar entre esta aplicação e qualquer outra aplicação.
• Aplicativos gerenciados por política: permita ações recortar, copiar e colar entre esse aplicativo e outros aplicativos gerenciados por política.
• Aplicativos gerenciados por política com Colar Em: permita o recorte ou a cópia entre esse aplicativo e outros aplicativos gerenciados por política. Permita que dados de qualquer aplicativo sejam colados nesse aplicativo.
• Qualquer aplicativo: sem restrições para recortar, copiar e colar para e desse aplicativo.

• Ao utilizar teclados de terceiros, os utilizadores poderão ver a mensagem "Os dados da sua organização não podem ser colados aqui" na pré-visualização da área de transferência do teclado durante as ações de cópia. Isto ocorre se a aplicação de teclado não estiver integrada com Intune e, por conseguinte, não conseguir desencriptar o texto da área de transferência codificada. Os utilizadores ainda podem copiar e colar dados conforme esperado através da ação colar texto nas aplicações geridas, se permitido pela organização.
• Alguns teclados de terceiros fornecem a sua própria área de transferência ou funcionalidades de sugestão de texto que podem inserir texto diretamente numa aplicação. Quando isto ocorre, a aplicação recebe o texto como entrada de utilizador padrão e as restrições de colagem não se aplicam a estas inserções iniciadas por teclado.

Limite de caracteres de recorte e cópia para qualquer aplicativo

Valor padrão = 0

Nota: requer Portal da Empresa do Intune versão 5.0.4364.0 ou posterior.

Nota: o Assistente do Google pode estar acessível aos utilizadores para cenários que não acedem aos dados da organização.

Os utilizadores que não estão a utilizar um teclado aprovado recebem um pedido para transferir e instalar um teclado aprovado antes de poderem utilizar a aplicação protegida. Esta definição requer que a aplicação tenha o SDK Intune para Android versão 6.2.0 ou posterior.

Selecionar teclados a aprovar

Para adicionar um teclado, especifique:

• Nome: um nome amigável que identifica o teclado e é visível para o utilizador.
• ID do Pacote: o ID do Pacote da aplicação na Google Play Store. Por exemplo, se o URL da aplicação na Play Store for https://play.google.com/store/details?id=com.contoskeyboard.android.prod, o ID do Pacote é com.contosokeyboard.android.prod. Este ID de pacote é apresentado ao utilizador como uma ligação simples para transferir o teclado a partir do Google Play.

Nota: Um utilizador com múltiplas Políticas de Proteção de Aplicações tem permissão para utilizar apenas os teclados aprovados comuns a todas as políticas.

Encriptar dados da organização em dispositivos inscritos

• Outlook para Android veja Implementar as definições de configuração da aplicação Outlook para iOS e Android

• Qualquer aplicativo: permitir links da Web em qualquer aplicativo.
• Microsoft Edge: Permita que o conteúdo da Web seja aberto somente no Microsoft Edge. Esse navegador é um navegador gerenciado por política.
• Browser não-gerenciado:Permita que o conteúdo da Web abra somente no navegador não gerenciado definido pela configuração Protocolo do navegador não gerenciado. O conteúdo Web não é gerido no browser de destino.
  Nota: requer Portal da Empresa do Intune versão 5.0.4415.0 ou posterior.



As Ligações da Aplicação Android são geridas pela definição de política Permitir que a aplicação transfira dados para outras aplicações .

Registro do dispositivo do Intune
Se estiver usando o Intune para gerenciar seus dispositivos, confira Gerenciar o acesso à Internet usando políticas do navegador gerenciado com o Microsoft Intune.

Microsoft Edge gerenciado por política
O navegador Microsoft Edge para dispositivos móveis (iOS/iPadOS e Android) agora é compatível com políticas de proteção de aplicativo do Intune. Os utilizadores que iniciam sessão com as respetivas contas de Microsoft Entra empresariais na aplicação de browser Microsoft Edge estão protegidos por Intune. O browser Microsoft Edge integra o SDK da APLICAÇÃO e suporta todas as políticas de proteção de dados, exceto para impedir:


• Guardar como: o browser Microsoft Edge não permite que um utilizador adicione ligações diretas na aplicação a fornecedores de armazenamento na cloud (como o OneDrive).
• Sincronização de contactos: o browser Microsoft Edge não guarda em listas de contactos nativas.
Nota:o SDK da APLICAÇÃO não consegue determinar se uma aplicação de destino é um browser. Em dispositivos Android, são permitidas outras aplicações de browser gerido que suportem a intenção http/https.

ID do Browser Não Gerido

Nome do Browser Não Gerido

• Bloquear: não partilhe notificações.
• Se não for suportado pela aplicação, são permitidas notificações.
• Bloquear dados da organização: não partilhe dados da organização em notificações. Por exemplo, "Tem correio novo"; "Tem uma reunião."
• Se não for suportado pela aplicação, as notificações são bloqueadas.
• Permitir: partilha dados da organização nas notificações

Nota: esta definição requer suporte de aplicações:

• Outlook para Android 4.0.95 ou posterior
• Teams para Android 1416/1.0.0.2020092202 ou posterior.

Tipo de PIN

PIN Simples

Selecionar comprimento mínimo do PIN

Biometria em vez de PIN para acesso

Substituir biometria com PIN após o tempo limite

Tempo limite (minutos de inatividade)

Biometria de classe 3 (Android 9.0+)

Substituir biometria com PIN após atualizações biométricas

OBSERVAÇÃO:
Esta definição só entra em vigor depois de uma biométrica ter sido utilizada para aceder à aplicação. Consoante o fabricante do dispositivo Android, nem todas as formas de biometria podem ser suportadas para operações criptográficas. Atualmente, as operações criptográficas são suportadas para qualquer biometria (por exemplo, impressão digital, íris ou rosto) no dispositivo que cumpra ou exceda os requisitos de biometria de Classe 3, conforme definido na documentação do Android. Veja a BIOMETRIC_STRONG constante da interface BiometricManager.Authenticators e o authenticate método da classe BiometricPrompt . Poderá ter de contactar o fabricante do dispositivo para compreender as limitações específicas do dispositivo.

Redefinir PIN após número de dias

Número de dias

Selecionar o número de valores de PIN anteriores a manter

PIN do aplicativo quando o PIN do dispositivo for gerenciado

• Tempo limite: esta definição é o número de minutos antes de os requisitos de acesso (definidos anteriormente na política) serem novamente verificados. Por exemplo, um administrador ativa o PIN e Bloqueia dispositivos rooting na política, um utilizador abre uma aplicação gerida Intune, tem de introduzir um PIN e tem de estar a utilizar a aplicação num dispositivo nãorotado. Ao utilizar esta definição, o utilizador não terá de introduzir um PIN ou submeter-se a outro marcar de deteção de raiz em qualquer aplicação gerida Intune durante um período de tempo igual ao valor configurado.
  
  Esse formato de configuração de política dá suporte a um número inteiro positivo.
  
  Valor predefinido = 30 minutos
  
  Nota: No Android, o PIN é partilhado com todas as aplicações geridas Intune. O temporizador do PIN é reposto assim que a aplicação sair do primeiro plano do dispositivo. O utilizador não terá de introduzir um PIN em nenhuma aplicação gerida Intune que partilhe o PIN durante o tempo limite definido nesta definição.
  
  

Ações incluem:

• Redefinir o PIN – o usuário precisa redefinir o PIN.
• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

Ações incluem:

• Bloquear o acesso (minutos) – o número de minutos em que as aplicações geridas podem ser executadas offline. Especifique o tempo (em minutos) antes que os requisitos de acesso ao aplicativo sejam verificados novamente. Após este período expirar, a aplicação requer a autenticação do utilizador para Microsoft Entra ID para que a aplicação possa continuar a ser executada.
  
  Esse formato de configuração de política dá suporte a um número inteiro positivo.
  
  Valor predefinido = 1440 minutos (24 horas)
  
  Nota: Configurar o temporizador do período de tolerância Offline para bloquear o acesso para ser inferior ao valor predefinido pode resultar em interrupções mais frequentes do utilizador à medida que a política é atualizada. Escolher um valor inferior a 30 minutos não é recomendado, uma vez que pode resultar em interrupções do utilizador em cada início ou currículo da aplicação.
• Apagar dados (dias) – após estes dias (definidos pelo administrador) de execução offline, a aplicação requer que o utilizador se ligue à rede e reautentica. Se o utilizador se autenticar com êxito, pode continuar a aceder aos respetivos dados e o intervalo offline é reposto. Se o utilizador não conseguir autenticar-se, a aplicação efetua uma eliminação seletiva da conta e dos dados do utilizador. Para obter mais informações, veja How to wipe only corporate data from Intune-managed apps (Como eliminar apenas dados empresariais de aplicações geridas por Intune). Esse formato de configuração de política dá suporte a um número inteiro positivo.
  
  Valor padrão = 90 dias

Ações incluem:

• Aviso – o usuário vê uma notificação se a versão do aplicativo no dispositivo não atende ao requisito. Essa notificação pode ser descartada.
• Bloquear acesso – o usuário tem o acesso bloqueado se a versão do aplicativo no dispositivo não atende ao requisito.
• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

Ações incluem:

• Bloquear o acesso – o acesso do utilizador está bloqueado porque a conta foi desativada.
• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

Ações incluem:

• Bloquear o acesso – o acesso do utilizador é bloqueado porque a conta de utilizador associada à aplicação está em tempo de descanso.
• Avisar – o utilizador vê uma notificação se a conta de utilizador associada à aplicação estiver em tempo de descanso. A notificação pode ser dispensada.

As seguintes aplicações suportam esta funcionalidade com Portal da Empresa v5.0.5849.0 ou posterior:

• Teams para Android v1416/1.0.0.2023226005 (2023226050) ou posterior
• Microsoft Edge para Android v125.0.2535.96 ou posterior

• Bloquear acesso – impeça que esse aplicativo seja executado em dispositivos com jailbreak ou desbloqueados por rooting. O utilizador continua a poder utilizar esta aplicação para tarefas pessoais, mas tem de utilizar um dispositivo diferente para aceder aos dados escolares ou profissionais nesta aplicação.

• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

• Avisar – o utilizador vê uma notificação se a versão do Android no dispositivo não cumprir os requisitos. Essa notificação pode ser descartada.

• Bloquear o acesso – o acesso do utilizador é bloqueado se a versão do Android no dispositivo não cumprir este requisito.

• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

• Avisar – o utilizador vê uma notificação se a versão do Android no dispositivo não cumprir os requisitos. Essa notificação pode ser descartada.

• Bloquear o acesso – o acesso do utilizador é bloqueado se a versão do Android no dispositivo não cumprir este requisito.

• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

• Avisar – o utilizador vê uma notificação se a versão do Android no dispositivo não cumprir os requisitos. Essa notificação pode ser descartada.

• Bloquear o acesso – o acesso do utilizador é bloqueado se a versão do Android no dispositivo não cumprir este requisito.

• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

• Permitir especificado (Bloquear não especificado) – apenas os dispositivos que correspondam ao fabricante especificado podem utilizar a aplicação. Todos os outros dispositivos estão bloqueados.

• Permitir especificado (apagamento não especificado) – a conta de usuário associada ao aplicativo é apagada do dispositivo.

A integridade básica informa-o sobre a integridade geral do dispositivo. Dispositivos desbloqueados por rooting, emuladores, dispositivos virtuais e dispositivos com sinais de falsificação apresentam falha na integridade básica. Integridade básica & dispositivos certificados informa-o sobre a compatibilidade do dispositivo com os serviços da Google. Apenas os dispositivos não modificados certificados pela Google podem passar este marcar.

Se selecionar Reproduzir veredicto de integridade conforme necessário para o lançamento condicional, pode especificar que um marcar de integridade forte é utilizado como o tipo de avaliação. A presença de uma integridade forte marcar, uma vez que o tipo de avaliação indica uma maior integridade de um dispositivo. A política de MAM bloqueia dispositivos que não suportam verificações de integridade fortes se forem visados por esta definição. A forte integridade marcar fornece uma deteção de raiz mais robusta em resposta a tipos mais recentes de ferramentas e métodos de raiz que nem sempre podem ser detetados de forma fiável por uma solução apenas de software. Na APLICAÇÃO, o atestado de hardware é ativado ao definir o tipo de avaliação de veredicto de integridade de reprodução como Verificar a integridade forte assim que o veredicto da integridade da reprodução estiver configurado e o tipo de avaliação Required SafetyNet para uma integridade forte marcar assim que a integridade do dispositivo marcar estiver configurada. O atestado com suporte para hardware utiliza um componente baseado em hardware que foi enviado com dispositivos instalados com o Android 8.1 e posterior. Os dispositivos que foram atualizados de uma versão mais antiga do Android para a Android 8.1 provavelmente não têm os componentes baseados em hardware necessários para o atestado com suporte de hardware. Embora essa configuração deva ser amplamente compatível a partir de dispositivos fornecidos com o Android 8.1, a Microsoft recomenda testar os dispositivos individualmente antes de habilitar essa configuração de política em larga escala.

Importante: Os dispositivos que não suportam este tipo de avaliação são bloqueados ou apagados com base na ação marcar integridade do dispositivo. As organizações que gostariam de utilizar esta funcionalidade precisam de garantir que os utilizadores têm dispositivos suportados. Para obter mais informações sobre os dispositivos recomendados da Google, consulte Requisitos recomendados do Android Enterprise.

Ações incluem:

• Avisar – o utilizador vê uma notificação se o dispositivo não cumprir a integridade do dispositivo da Google marcar com base no valor configurado. Essa notificação pode ser descartada.

• Bloquear o acesso – o acesso do utilizador é bloqueado se o dispositivo não cumprir a integridade do dispositivo da Google marcar com base no valor configurado.

• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

• Avisar – o utilizador vê uma notificação se a análise verificar aplicações da Google no dispositivo não estiver ativada. Essa notificação pode ser descartada.

• Bloquear o acesso – o acesso do utilizador é bloqueado se a análise verificar aplicações da Google no dispositivo não estiver ativada.

Os valores incluem:

• Baixa Complexidade
• Complexidade Média
• Elevada Complexidade

Este valor de complexidade destina-se ao Android 12+. Para dispositivos que operam no Android 11 e anterior, definir um valor de complexidade de predefinições baixas, médias ou altas para o comportamento esperado para Baixa Complexidade. Para obter mais informações, veja a documentação do programador da Google getPasswordComplexity, PASSWORD_COMPLEXITY_LOW, PASSWORD_COMPLEXITY_MEDIUM e PASSWORD_COMPLEXITY_HIGH.

Ações incluem:

• Avisar – o utilizador vê uma notificação se o bloqueio do dispositivo não cumprir o requisito mínimo de palavra-passe. A notificação pode ser dispensada.
• Bloquear o acesso – o acesso do utilizador é bloqueado se o bloqueio do dispositivo não cumprir o requisito mínimo de palavra-passe.

• Apagar dados – a conta de utilizador associada à aplicação é eliminada do dispositivo se o bloqueio do dispositivo não cumprir o requisito mínimo de palavra-passe.

Nota: O suporte para android Portal da Empresa versões anteriores à 5.0.5421.0 terminou a 1 de outubro de 2025.

Dado que alguns utilizadores finais podem não preferir uma atualização forçada de aplicações no local, a opção "avisar" pode ser ideal para configurar esta definição. A Google Play Store faz um bom trabalho ao enviar apenas bytes delta para atualizações de aplicações, mas ainda pode ser uma grande quantidade de dados que o utilizador poderá não querer utilizar se estiver a utilizar dados no momento da atualização. Forçar uma atualização e, assim, transferir uma aplicação atualizada pode resultar em custos de dados inesperados no momento da atualização. Para obter mais informações, consulte Definições de política do Android.

• Avisar – o utilizador vê uma notificação, se o dispositivo não cumprir o atestado de dispositivos Samsung Knox marcar. Esta notificação pode ser dispensada em dispositivos Samsung suportados.
• Bloquear o acesso – a conta de utilizador está bloqueada de acesso, se o dispositivo não cumprir o atestado de dispositivo Knox da Samsung marcar.
• Apagar dados – a conta de utilizador associada à aplicação é eliminada do dispositivo, se o dispositivo não cumprir o atestado do dispositivo Samsung Knox marcar.
• Bloquear o acesso em dispositivos suportados – a conta de utilizador está bloqueada de acesso se um dispositivo Samsung com o Android 15 com a One UI 7.0 ou superior não cumprir o atestado de dispositivos Knox da Samsung marcar. Os dispositivos Samsung em execução em DISPOSITIVOS mais antigos ou dispositivos de outro fabricante não são afetados por esta opção.

Nota: Tenha em atenção ao selecionar as ações "Avisar", "Bloquear acesso" e "Apagar Dados":

• Estas definições aplicam-se a todos os dispositivos visados Samsung e outros fabricantes.
• Em dispositivos não Samsung, os utilizadores não podem aceitar os termos de serviço do Knox e estão bloqueados. Utilize filtros de atribuição de "Aplicações geridas" para direcionar apenas dispositivos Samsung suportados. Para obter mais informações sobre filtros de atribuição, consulte Utilizar filtros ao atribuir as suas aplicações, políticas e perfis no Microsoft Intune.
• Os dispositivos Samsung com as versões One UI 7.0 ou anterior exigem que os utilizadores aceitem os termos do Samsung Knox antes de o atestado do dispositivo marcar poder ser executado. Se não for aceite, ocorrerá a ação especificada.

Ações incluem:

• Bloquear o acesso – o acesso do utilizador será bloqueado se o nível de ameaça determinado pela aplicação de fornecedor da Defesa Contra Ameaças para Dispositivos Móveis (MTD) escolhida no dispositivo de utilizador final não cumprir este requisito.
• Apagar dados – a conta de usuário associada ao aplicativo é apagada do dispositivo.

Os valores incluem:

• Microsoft Defender para Ponto de Extremidade - se o conector MTD estiver configurado, especifique Microsoft Defender para Ponto de Extremidade forneça as informações do nível de ameaça do dispositivo.
• Defesa Contra Ameaças para Dispositivos Móveis (Não Microsoft) – se o conector MTD estiver configurado, especifique o MTD não Microsoft que fornece as informações de nível de ameaça do dispositivo.

Tem de configurar a definição "Nível máximo de ameaça de dispositivo permitido" para utilizar esta definição.

Não existem Ações para esta definição.