Intune Android 應用程式 SDK - 應用程式參與功能

Android 版 Microsoft Intune App SDK 允許你將Intune 應用程式保護政策 (也稱為 MAM 政策) 整合到原生的 Java/Kotlin Android 應用程式中。 由 Intune 管理的應用程式會與 Intune 應用程式 SDK 整合。 當 Intune 主動管理應用程式時，Intune 管理員可以輕鬆部署應用程式保護政策到您的 Intune 管理應用程式。

第七階段：應用程式參與功能

賽段目標

• 了解 Intune App SDK 所提供的應用程式參與功能。
• 整合與你的應用程式及使用者相關的應用程式參與功能。
• 測試這些特性的整合。

什麼是「應用程式參與功能」？

此 SDK 整合流程試圖減少開發者需撰寫的應用程式專屬程式碼量。 成功完成 SDK 整合的前幾個階段後，你的應用程式現在會強制執行大部分的應用程式保護政策設定，例如檔案加密、複製/貼上限制、截圖阻擋及資料傳輸限制。

然而，有些設定需要應用程式專屬程式碼才能正確執行;這些設定稱為應用程式參與功能。 通常，SDK 沒有足夠的上下文來自動執行這些設定，因此依賴開發者適當地呼叫 SDK API。

應用程式參與功能不一定是可有可無的。 根據你應用程式現有的功能，這些功能可能是必需的。 詳情請參閱 SDK 整合的關鍵決策 。

本指南之前階段已經描述了幾項應用程式參與功能：

• 多重身份，如 第五階段：多重身份所涵蓋。
• 應用程式組態，詳見第六階段：應用程式組態。

本指南其餘部分將介紹剩餘的應用程式參與功能：

• 執行政策限制儲存檔案或開啟本地或雲端儲存。
• 執行限制通知內容的政策。
• 執行保護備份資料的政策。
• 如果你的應用程式有自訂的螢幕擷取程式碼) ，請強制執行限制螢幕擷取的政策 (。
• 支援應用程式保護CA。
• 請註冊以接收來自 SDK 的通知。
• 套用自訂應用程式主題。
• 使用Intune的可信憑證，確保與本地端點的信任鏈條。

應用程式參與功能基礎

AppPolicy 介面包含許多方法，可以告知你的應用程式是否允許某些動作。

大多數應用程式參與功能包含：

• 找出應用程式程式碼中正確的位置，以檢查某個動作是否被允許。
• 呼叫一個 AppPolicy 方法來檢查某個動作是否被允許，根據目前設定的政策。
• 根據結果，可能是讓動作完成，或是在動作被阻擋時修改應用程式的行為。

要取得實例， AppPolicy 請使用 MAMPolicyManager 的方法之一，例如 getPolicy(final Context context) 或 getPolicyForIdentityOID(final String oid)。

AppPolicy 中的資訊方法

並非所有方法 AppPolicy 都綁定到應用程式參與功能。 有些方法是資訊性，會讓你的應用程式知道哪些政策目前已設定，即使這些政策是 SDK 自動執行的。 這些方法的存在，是為了讓你的應用程式有機會在設定特定政策時呈現客製化使用者體驗。

範例：判斷截圖是否被封鎖

如果應用程式有控制功能允許使用者截圖，考慮關閉或隱藏該控制功能，若應用程式保護政策會阻擋截圖。

應用程式可以透過打電話 MAMPolicyManager.getPolicy(currentActivity).getIsScreenCaptureAllowed()查詢。

限制應用程式與裝置或雲端儲存地點間資料傳輸的政策

許多應用程式允許終端使用者將資料儲存至本地檔案儲存或雲端儲存服務中開啟資料。 Intune App SDK 讓 IT 管理員透過限制應用程式可儲存資料及開啟資料的地點，來防止資料流入與資料外洩。

儲存到裝置或雲端儲存

API getIsSaveToLocationAllowedForOID 會根據設定的政策，讓應用程式知道是否允許儲存到特定地點：

MAMPolicyManager.getPolicy(currentActivity).getIsSaveToLocationAllowedForOID(
SaveLocation service, String oid);

要判斷應用程式是否應實作檢查， getIsSaveToLocationAllowedForOID 請參考以下表格判斷應用程式是否支援資料出口：

存放於私人應用程式儲存空間的檔案，無論是為應用程式運作所必需，或是暫時下載用於顯示，都是被允許的;不需要再查了 getIsSaveToLocationAllowedForOID。 請務必檢查SaveLocation.LOCAL

1. 檔案儲存在私人應用程式儲存空間之外。
2. 下載到私人應用程式儲存空間但對應用程式運作不必要的檔案 (，例如當使用者明確選擇下載到裝置時，) 。

從本地或雲端儲存位置開啟資料

API getIsOpenFromLocationAllowedForOID 會根據設定的政策，讓應用程式知道特定身份是否允許從特定地點開啟：

MAMPolicyManager.getPolicy(currentActivity).getIsOpenFromLocationAllowedForOID(
OpenLocation location, String oid);

要判斷應用程式是否應實作檢查， getIsOpenFromLocationAllowedForOID 請參考以下表格判斷應用程式是否支援資料輸入：

分享被封鎖的對話

SDK 提供一個對話框，當 MAM 政策阻擋資料傳輸動作時通知使用者。

每當 getIsSaveToLocationAllowedForOID API getIsOpenFromLocationAllowedForOID 呼叫導致儲存/開啟動作被阻擋時，對話框應該會顯示給使用者。 對話框會顯示通用訊息，當被駁回時會返回呼叫 Activity 。

要顯示對話框，請加入以下程式碼：

MAMUIHelper.showSharingBlockedDialog(currentActivity)

允許檔案分享

如果不允許儲存到公開儲存位置，你的應用程式仍應該允許使用者透過下載檔案到 應用程式私有儲存 ，然後用系統選擇器開啟。

限制通知內容的政策

對於單一身份應用程式，Intune App SDK 的預設行為會嘗試在應用程式保護政策限制通知時阻擋所有通知。

SDK 的預設行為是有限的。 SDK 無法自動尊重「封鎖組織資料」這個值，該值本意是只移除受管理內容。 對於多身份應用程式，SDK 無法判斷哪些通知包含受管理內容。

如果你的應用程式顯示通知，且是多重身份，或需要執行「封鎖組織資料」的值，必須先檢查與通知相關的帳號的通知限制政策，才能顯示通知。

要判斷該政策是否被執行，請撥打以下電話：

NotificationRestriction notificationRestriction =
    MAMPolicyManager.getPolicyForIdentityOID(notificationIdentityOid).getNotificationRestriction();

回傳 NotificationRestriction 的列舉具有以下數值：

如果您的應用程式無法正確調用 getNotificationRestriction，MAM SDK 會盡力自動限制僅 針對單一身份應用程式的通知。

在這種情況下， BLOCK_ORG_DATA 會被當成 BLOCKED 一樣，通知根本不會顯示。

為了更細緻的控制，請檢查 的 getNotificationRestriction 值並適當修改應用程式通知。

保護備份資料的政策

Intune App SDK 可以阻擋 Android 內建備份與還原功能的資料上傳。 欲了解更多關於 Android 備份與還原的資訊，請參閱 Android API 指南 及 Android S / 12 中新增的變更，內容為 「變更備份與還原」。

應用程式自動備份

從 Android M 開始，Android 提供 自動完整備份 到 Google 雲端硬碟，無論應用程式的目標 API 為何。

Intune 讓你能使用 Android 提供的所有自動備份功能，包括以 XML 定義自訂規則的能力，並附有專門的 Intune 整合指引以確保資料保護適用。

在應用程式清單中設定備份行為

預設情況下， android:allowBackup 設定為 true ，如 啟用與停用備份所示。

如果應用程式不需要完整的備份和還原功能，請設android:allowBackup為 false。 在這種情況下，無需進一步行動，企業資料會保留在應用程式中。

如果您的應用程式需要完整的備份與還原功能，請設android:allowBackup為 true，並執行以下步驟：

1. 如果你的應用程式沒有使用自訂BackupAgent備份，請使用預設的 MAMBackupAgent 來啟用符合 Intune 政策的自動完整備份。 請在應用程式清單中填寫以下內容：

   <application
   ...
     android:fullBackupOnly="true"
     android:backupAgent="com.microsoft.intune.mam.client.app.backup.MAMDefaultBackupAgent"
     ...>
     </application>
   

2. 選用。 如果你實作自訂 BackupAgent，必須使用 MAMBackupAgent 或 MAMBackupAgentHelper。 請參見以下章節。 考慮切換到 Intune 的 MAMDefaultBackupAgent，步驟一說明，它在 Android M 及更新版本提供簡便備份。

3. 當你決定應用程式應該接收哪種完整備份 (未過濾、過濾或無) 時，請將屬性 android:fullBackupContent 設定為 true、 ， false或應用程式中的 XML 資源。

4. 接著，你必須將 的 android:fullBackupContent 值複製到 metadata 標籤， com.microsoft.intune.mam.FullBackupContent 對於支援 API 31 新增的 XML 配置格式的應用程式，則複製到 com.microsoft.intune.mam.DataExtractionRules metadata 標籤中。

   • 範例 1：如果你想讓你的應用程式有完整備份且沒有排除，你必須將屬性和元資料標籤設 為 true：

     <application
       ...
       android:fullBackupContent="true"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="true" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="true" />
     

   • 範例 2：如果你想讓你的應用程式使用自訂BackupAgent且選擇退出完全符合 Intune 政策的自動備份，必須將屬性和元資料標籤設為 false：

     <application
       ...
       android:fullBackupContent="false"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:value="false" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:value="false" />
     

   • 範例 3：如果你想讓你的應用程式依照自訂規則的完整備份，請將屬性和元資料標籤設為相同的 XML 資源：

     <application
       ...
       android:fullBackupContent="@xml/my_full_backup_content_scheme"
       android:dataExtractionRules="@xml/my_data_extraction_rules_scheme"
       ...>
     </application>
     ...
     <meta-data android:name="com.microsoft.intune.mam.FullBackupContent" android:resource="@xml/my_full_backup_content_scheme" />
     <meta-data android:name="com.microsoft.intune.mam.DataExtractionRules" android:resource="@xml/my_data_extraction_rules_scheme" />
     

鍵值備份

鍵值備份選項對所有 API 8+ 皆開放，並會將應用程式資料上傳至 Android 備份服務。 每個應用程式的資料容量限制在 5 MB。 如果你使用金鑰/值備份，必須使用 BackupAgentHelper 或 BackupAgent。

BackupAgentHelper

BackupAgentHelper 在原生 Android 功能和 Intune MAM 整合方面，比 BackupAgent 更容易實作。 BackupAgentHelper 允許開發者將整個檔案及共享偏好設定分別註冊到 a FileBackupHelper 和 SharedPreferencesBackupHelper () 然後在建立時加入 BackupAgentHelper。 請依照以下步驟使用搭配 Intune MAM 的 BackupAgentHelper：

1. 要使用多 BackupAgentHelper重身份備份，請參考 Android 指南中的 Expandending BackupAgentHelper。

2. 讓你的班級擴展 MAM 版的 BackupAgentHelper、FileBackupHelper 和 SharedPreferencesBackupHelper。

遵循這些指引，你就能成功執行多重身份備份與還原。

備份代理

BackupAgent 讓你能更明確地說明備份了哪些資料。 由於開發者負責實作，因此需要更多步驟以確保 Intune 提供適當的資料保護。 因為大部分工作都落在你這個開發者身上，Intune 的整合會稍微複雜一些。

整合MAM：

1. 請仔細閱讀 Android 的 Key/Value Backup 指南，特別是 Expandending BackupAgent ，以確保你的 BackupAgent 實作符合 Android 指引。

2. 請你的班級擴充 MAMBackupAgent。

多重身份備份：

1. 在開始備份前，請確認你打算備份的檔案或資料緩衝區是否被 IT 管理員允許在多重身份情境下備份。 請使用 isBackupAllowedMAMFileProtectionManager 和 MAMDataProtectionManager 來判斷此行為。 如果檔案或資料緩衝區不允許備份，那你就不應該把它包含在備份裡。

2. 在備份過程中，如果你想備份第一步檢查的檔案身份，必須用你打算提取資料的檔案來呼叫 backupMAMFileIdentity(BackupDataOutput data, File … files) 。 這個方法會自動建立新的備份實體，並幫你寫入。BackupDataOutput 這些實體在恢復時會自動被消耗。

多重身份還原： 資料備份指南規範了一種通用的還原應用程式資料演算法，並在 擴充備份代理 程式章節提供程式碼範例。 要成功執行多重身份還原，您必須遵循本程式碼範例中提供的一般結構，特別注意以下幾點：

1. 你必須使用 while(data.readNextHeader())* 迴圈來通過備份實體。

2. 如果data.getKey()與你寫onBackup入的金鑰不符，你必須打電話data.skipEntityData()。 沒有這個步驟，你的還原可能無法成功。

3. 避免在 * 結構中使用備份實體 while(data.readNextHeader())時返回，因為我們自動寫入的任何實體在此情況下都會遺失。

• 其中 data 是應用程式還原時接收的 MAMBackupDataInput 的本地變數名稱。

自訂螢幕擷取限制

如果您的應用程式包含繞過 Android Window層級 FLAG_SECURE 限制的自訂螢幕擷取功能，您必須先檢查螢幕擷取政策，才能完全存取該功能。 舉例來說，如果你的應用程式使用自訂渲染引擎將目前視圖渲染成 PNG 檔，你必須先檢查 AppPolicy.getIsScreenCaptureAllowed()。

支援應用程式保護CA

應用程式保護 CA (條件存取) ，也稱為基於應用程式的CA，限制對資源的存取。 Intune 應用程式保護政策必須先管理您的應用程式，才能存取這些資源。 Microsoft Entra ID 透過要求應用程式在授權憑證存取條件存取保護資源前，必須先註冊並由 Intune 應用程式保護政策管理，來執行此政策。

處理 MSAL 違規

當應用程式取得帳號的令牌時，MSAL 函式庫可能會回傳或拋出 ， MsalIntuneAppProtectionPolicyRequiredException 以表示未遵守應用程式保護政策管理。 你可以從例外中提取更多參數用於合規修復， (參見 MAMComplianceManager) 。 修復成功後，應用程式可透過 MSAL 再次嘗試取得代幣。

MAMComplianceManager

當 MSAL 收到政策所需錯誤時，會使用 MAMComplianceManager 介面。 它包含了 [remediateCompliance] 方法，你可以呼叫它來嘗試讓應用程式進入合規狀態。 您可以透過以下方式取得參考資料 MAMComplianceManager ：

MAMComplianceManager mgr = MAMComponents.get(MAMComplianceManager.class);

// make use of mgr

MAMComplianceManager回傳的實例保證不會是 null。

package com.microsoft.intune.mam.policy;

public interface MAMComplianceManager {
    void remediateCompliance(String upn, String aadId, String tenantId, String authority, boolean showUX);
}

此remediateCompliance()方法嘗試將應用程式置於管理之下，以滿足 Microsoft Entra ID 授予所請求代幣的條件。 前四個參數可從 MSAL AuthenticationCallback.onError() 方法接收的例外中擷取。 最後一個參數是一個布林值，用來控制使用者體驗在合規嘗試過程中是否會出現。

remediateCompliance 顯示一個簡單的阻擋進度對話框，讓應用程式在此操作中不必顯示自訂體驗。 此對話僅在合規修復進行中時顯示。 它不會顯示最終結果。 您的應用程式可以註冊一個接收者來接收 COMPLIANCE_STATUS 通知，以處理合規修復嘗試的成功或失敗。 詳情請參閱 合規狀態通知 。

remediateCompliance() 可能會啟動MAM登記，作為建立合規性的一部分。 如果應用程式已註冊註冊通知接收者，可能會收到註冊通知。 該應用程式的註冊 MAMServiceAuthenticationCallback 系統被 acquireToken() 呼叫來取得註冊的代幣。 acquireToken() 在應用程式取得自身代幣之前被呼叫。 應用程式在成功取得代幣後所做的簿記或帳戶建立工作，可能還沒完成。 此時回撥必須能取得代幣。

如果你無法從 退回代幣 acquireToken()，合規修復嘗試失敗。

如果你之後再呼叫，並以有效的令牌來呼叫 updateToken 所請求資源，合規修復會立即恢復。

這裡有一個範例，該範例在方法中接收到政策所需的錯誤 AuthenticationCallback.onError() ，並呼叫 MAMComplianceManager 來處理該錯誤。

public void onError(@Nullable MsalException exc) {
    if (exc instanceof MsalIntuneAppProtectionPolicyRequiredException) {

        final MsalIntuneAppProtectionPolicyRequiredException policyRequiredException =
            (MsalIntuneAppProtectionPolicyRequiredException) ex;

        final String upn = policyRequiredException.getAccountUpn();
        final String aadId = policyRequiredException.getAccountUserId();
        final String tenantId = policyRequiredException.getTenantId();
        final String authority = policyRequiredException.getAuthorityURL();

        MAMComplianceManager complianceManager = MAMComponents.get(MAMComplianceManager.class);
        complianceManager.remediateCompliance(upn, aadId, tenantId, authority, showUX);
    }
}

合規狀態通知

如果應用程式註冊了類型 COMPLIANCE_STATUS為 的通知，系統會發送 a MAMComplianceNotification 以通知應用程式合規修復嘗試的最終狀態。 詳見 SDK 通知的註冊頁面。

public interface MAMComplianceNotification extends MAMUserNotification {
    MAMCAComplianceStatus getComplianceStatus();
    String getComplianceErrorTitle();
    String getComplianceErrorMessage();
}

該 getComplianceStatus() 方法會從[MAMCAComplianceStatus]列舉中回傳合規修復嘗試的結果。

若合規狀態為 MAMCAComplianceStatus.COMPLIANT，應用程式應重新啟動其原始的代幣取得 (以) 自身資源。

若合規修復嘗試失敗， getComplianceErrorTitle() 與 getComplianceErrorMessage() 方法會回傳本地化字串，應用程式可選擇顯示給最終使用者。 這個應用程式無法解決大多數錯誤案例。 一般來說，帳號建立或登入失敗，讓使用者稍後再試。

如果故障持續存在，公司入口網站的日誌可能有助於判斷原因。 最終使用者可以提交日誌。 更多資訊請參閱 上傳與電子郵件紀錄。

以下是一個使用匿名類別註冊接收器以實作 MAMNotificationReceiver 介面的範例：

final MAMNotificationReceiverRegistry notificationRegistry = MAMComponents.get(MAMNotificationReceiverRegistry.class);
// create a receiver
final MAMNotificationReceiver receiver = new MAMNotificationReceiver() {
    public boolean onReceive(MAMNotification notification) {
        if (notification.getType() == MAMNotificationType.COMPLIANCE_STATUS) {
            MAMComplianceNotification complianceNotification = (MAMComplianceNotification) notification;

            // take appropriate action based on complianceNotification.getComplianceStatus()

            // unregister this receiver if no longer needed
            notificationRegistry.unregisterReceiver(this, MAMNotificationType.COMPLIANCE_STATUS);
        }
        return true;
    }
};
// register the receiver
notificationRegistry.registerReceiver(receiver, MAMNotificationType.COMPLIANCE_STATUS);

宣告支援應用程式保護CA

一旦你的應用程式準備好處理 App CA 修復，你可以告訴 Microsoft Identity 你的應用程式已經準備好 App CA。 要在 MSAL 應用程式中做到這點，請建立具有「protapp」客戶端功能的公開客戶端

{
      "client_id" : "[YOUR_CLIENT_ID]",
      "authorization_user_agent" : "DEFAULT",
      "redirect_uri" : "[YOUR_REDIRECT_URI]",
      "multiple_clouds_supported":true,
      "broker_redirect_uri_registered": true,
      "account_mode": "MULTIPLE",
      "client_capabilities": "protapp",
      "authorities" : [
        {
          "type": "AAD",
          "audience": {
            "type": "AzureADandPersonalMicrosoftAccount"
          }
        }
      ]
    }

步驟完成後，請前往驗證應用程式保護CA。

實作說明

AcquireTokenSilentParameters acquireTokenSilentParameters =
        builder.withScopes(Arrays.asList(scopes))
               .forceRefresh(false)
               .build();

acquireTokenSilentAsync(acquireTokenSilentParameters);

註冊以接收 SDK 的通知

Intune App SDK 指南討論了幾種可能需要你的應用程式註冊 SDK 通知的情況，例如：

• 多身份應用程式處理 WRONG_USER (請參見 受管理身份與非受管理身份)
• 多身份應用程式處理 MANAGEMENT_REMOVED (請參見 資料緩衝保護) 。
• 多重身份應用程式處理 WIPE_USER_DATA 或 WIPE_USER_AUXILIARY_DATA (請參見 選擇性清除) 。
• 實作應用程式配置處理 REFRESH_APP_CONFIG 的應用程式 (看到 從 SDK) 取用應用程式設定 。

本節說明 SDK 能發送的每一種通知類型、應用程式何時及為何需要接收該通知，以及如何實作通知接收器。

通知類型

所有 SDK 通知都實作 MAMNotification 介面，該介面僅有一個函式，回 getType()傳 MAMNotificationType 枚舉。

大多數通知是 MAMUserNotification 實例，提供特定於單一身份的資訊。 該恆等元的 OID 可透過 getUserOid() 函數取得，且可透過 getUserIdentity()取得恆等元的 UPN 。

MAMEnrollmentNotification 與 MAMComplianceNotification 進一步擴展 MAMUserNotification，分別包含嘗試將使用者或裝置註冊至 MAM 服務的結果，以及嘗試修復應用程式保護 CA 合規性的結果。

(*) 抹除可能因多種原因發生，例如：

• 你的應用程式叫 做 unregisterAccountForMAM。
• 一位 IT 管理員發起了遠端清除。
• 管理員要求的條件存取政策並未被滿足。

MANAGEMENT_REMOVED

通知 MANAGEMENT_REMOVED 通知應用程式，原本由保單管理的帳戶即將變成無法管理的帳戶。 帳號解除管理後，應用程式將無法讀取該帳號的加密檔案、讀取已加密 MAMDataProtectionManager的資料、與加密剪貼簿互動，或以其他方式參與管理式應用程式生態系。

這不需要清除使用者資料或登出使用者 (如果需要清除， WIPE_USER_DATA 會) 發送通知。 許多應用程式可能不需要處理這類通知，但使用這 MAMDataProtectionManager 類通知的應用程式必須處理。 詳情請參見 資料緩衝保護 。

當 SDK 呼叫應用程式的接收器 MANAGEMENT_REMOVED 時，以下情況成立：

• SDK 已經解密了先前加密的檔案 (但未解密屬於該應用程式的受保護資料緩衝區) 。 SD 卡中公開位置的檔案，如果不是直接屬於應用程式， (像是文件或下載資料夾) 都不會解密。

• 接收器方法建立的新檔案或受保護資料緩衝區 (，或接收器啟動後執行的其他程式碼) 都沒有加密。

• 應用程式仍能存取加密金鑰，因此像解密資料緩衝區這類操作都能成功。

當你的應用程式接收器回來後，它就無法再存取加密金鑰。

實作 MAMNotificationReceiver

要註冊 SDK 通知，您的應用程式必須建立一個 MAMNotificationReceiver ，並向 MAMNotificationReceiverRegistry 註冊。

要註冊接收器，請與你的接收者及你所用方式中想要的通知類型Application.onCreate通話registerReceiver：

@Override
public void onCreate() {
  super.onCreate();
  MAMComponents.get(MAMNotificationReceiverRegistry.class)
    .registerReceiver(
      new ToastNotificationReceiver(),
      MAMNotificationType.WIPE_USER_DATA);
}

您的應用程式 MAMNotificationReceiver 實作必須包含該 onReceive(MAMNotification notification) 方法。 此方法對每次收到的通知個別調用，且必須回傳 boolean。 一般來說，這個方法應該都會回傳 true，除非你的應用程式在回應通知時遇到失敗。

與其他類型的 Android 接收器一樣，您的應用程式在處理通知方面具有彈性：

• 它可以為不同通知類型建立不同的 MAMNotificationReceiver 實作。 在這種情況下，務必分別註冊每個實作和每個通知類型。
• 它可以使用單一的 MAMNotificationReceiver 實作，該實作包含回應多種不同通知類型的邏輯。 在這種情況下，它必須為每種可回應的通知類型進行註冊。
• 它可以建立多個 MAMNotificationReceiver 實作，每個實作都回應相同的通知類型。 在這種情況下，兩者必須註冊到相同的通知類型。

自訂主題

自訂主題可提供給 Intune 應用程式 SDK;此自訂主題適用於所有 SDK 螢幕與對話框。 如果沒有提供主題，則會使用預設的 SDK 主題。

提供自訂主題

要提供主題，請在方法 Application.onMAMCreate 中加入以下程式碼行：

MAMThemeManager.setAppTheme(R.style.AppTheme);

在範例中，替換 R.style.AppTheme 為 SDK 應該套用的樣式主題。

受信任根憑證管理

若應用程式需要由本地或私人憑證授權機構核發的 SSL/TLS 憑證，以提供對內部網站與應用程式的安全存取，Intune 應用程式開發套件已透過 API 類別 MAMTrustedRootCertsManager 與 MAMCertTrustWebViewClient 新增憑證信任管理支援。

受信任根憑證管理提供以下支援：

• SSLContext
• SSLSocketFactory
• TrustManager
• WebView

需求

• 受信任根憑證管理需要 Microsoft Tunnel for Mobile Application Management 授權。 欲了解更多，請造訪： Microsoft Tunnel with Mobile Application Management。
• 設定 Intune 應用程式組態 政策，將受信任的根憑證傳送給 Android 上的業務應用和 Edge Microsoft。 參見：在未註冊 Microsoft Intune 的 Android 裝置上使用 Microsoft Tunnel VPN。

使用 Intune 的受信任根憑證建立信任錨點

受信任根憑證管理（Trusted Root Certificates Management）允許你的應用程式結合 Intune 的受信任根憑證與裝置上的憑證。

API 類別 MAMTrustedRootCertsManager 與 MAMCertTrustWebViewClient 會使用透過應用程式組態政策提供的 Intune 受信任根憑證作為備用選項，若裝置的受信任根憑證儲存區未包含建立安全連線的可信根憑證。 如此一來，應用程式就能同時使用裝置與 Intune 憑證，來驗證與可信來源的安全連線與通訊。

為了強化網路安全設定，應用程式可以使用網路安全設定的 XML 檔案。 受信任根憑證管理（Trusted Root Certificates Management）會透過驗證應用程式的網路安全配置 XML 是否具備以下任何功能來維護這項額外的安全性：

• 自訂信任錨點，包含額外的憑證憑證（如自簽憑證）。
• 限制受信任 CA 的領域專用規則。
• 針對特定網域的憑證設置 PIN 組。

如果這些條件適用於正在檢查信任的網域，Trusted Root Certificates Management 會跳過該網域的自訂信任檢查，只讓平台的預設信任管理員來執行檢查。

類別 MAMTrustedRootCertsManager

此類別提供以下 API：

• createSSLContextForOID(String oid, String protocol)：建立 SSLContext 一個物件，使用受信任的根憑證來指定身份及指定的 SSL/TLS 協定。 此類別回傳 SSLContext 的物件已正確初始化，物件 X509TrustManager 使用裝置與 MAM 服務的受信任根憑證合併。
• createSSLSocketFactoryForOID(String oid, String protocol)：建立 SSLSocketFactory 一個物件，使用受信任的根憑證來指定身份及指定的 SSL/TLS 協定。 回傳 SSLSocketFactory 的物件是從同一 SSLContext 物件中參考的。
• createX509TrustManagersForOID(String oid)： 建立一個物件陣列 X509TrustManager ，使用裝置與 MAM 服務的受信任根憑證，以達成指定身份。

以下是使用此類別的一些範例。

使用 HttpsUrlConnection 的範例

// Create an SSL socket factory using supplying the optional parameters identity and protocol
SSLSocketFactory sslSocketFactory = MAMTrustedRootCertsManager.createSSLSocketFactoryForOID(oid, "TLSv1.3");

// Create a URL object for the desired endpoint
URL url = new URL("https://example.com");

// Open a connection using the URL object
HttpsURLConnection httpsURLConnection = (HttpsURLConnection) url.openConnection();

// Set the SSL socket factory for the connection
httpsURLConnection.setSSLSocketFactory(sslSocketFactory);

// Perform any other configuration or operations on the connection as needed
...

使用 OkHttpClient 的範例

// Get the TrustManager instances for an identity from the SDK
TrustManager[] trustManagers = MAMTrustedRootCertsManager.createX509TrustManagersForOID(oid);

// Get SSLContext from the platform
SSLContext sslContext = SSLContext.getInstance("TLSv1.3");

// Initialize the SSLContext with the trust managers from the Intune App SDK
sslContext.init(null, trustManagers, null);

// Create an OkHttpClient.Builder object
OkHttpClient.Builder builder = new OkHttpClient.Builder();

// Set the SSLSocketFactory and the trust managers from the SDK
builder.sslSocketFactory(sslContext.socketFactory, trustManagers[0] as X509TrustManager).build();

// Build an OkHttpClient object from the builder
OkHttpClient okHttpClient = builder.build();

// Create a Request object for the desired endpoint
Request request = new Request.Builder().url("https://example.com").build();

// Execute the request using the OkHttpClient object and get a Response object
Response response = okHttpClient.newCall(request).execute();

// Perform any other operations on the response as needed
...

類別 MAMCertTrustWebViewClient

此類別提供 Android 類別 android.webkit.WebViewClient的自訂實作。 該類別提供了處理 SSL 錯誤 android.net.http.SslError.SSL_UNTRUSTED 的方法 WebView。

處理錯誤時，類別使用由 Intune 配置且 MAM 服務提供的受信任根憑證。 此方法會從產生 SSL 錯誤 WebView的目標 URL 來檢查主機的可信度。 如果自訂實作無法處理 SSL 錯誤，系統會呼叫繼承自超類別的預設行為。

使用這個類別時，先建立一個實例，然後呼叫 WebView.setWebViewClient(WebViewClient) 它註冊到實 WebView 例。

這裡有一個使用這個類別的例子。

使用 WebView 的範例

// Get the MAM implementation of WebViewClient from the Intune App SDK
MAMCertTrustWebViewClient mamCertTrustWebViewClient = new MAMCertTrustWebViewClient();

// Set the MAM WebViewClient from the SDK as the current handler on the instance of WebView
webView.setWebViewClient(mamCertTrustWebViewClient);

// Perform any other operations on WebView
...

退出標準

欲了解更多資訊，請參閱 「快速測試並政策變更 」以方便測試。

驗證儲存至及開啟限制

如果你沒有實作 限制應用程式與裝置或雲端儲存地點間資料傳輸的政策，請跳過這部分。

重新熟悉所有應用程式可以將資料儲存到雲端服務或本地資料，並從雲端服務或本地資料開啟資料的情境。

為了簡化起見，這些測試假設你的應用程式只支援從應用程式內單一地點儲存資料到和開啟 OneDrive。 不過，你必須驗證每一個組合：每個支援的儲存位置都與應用程式允許儲存資料的地點相符，以及每個支援的開放位置與應用程式允許開啟資料的每個位置相符。

測試時，請安裝您的應用程式及 Intune 公司入口網站;開始測試前請以受管理帳號登入。 亦：

• 管理帳戶的政策設定為：
  • 「將組織資料傳送到其他應用程式」設定為「政策管理應用程式」。
  • 「從其他應用程式接收資料」設定為「政策管理應用程式」。

驗證通知限制

如果你沒有實作 通知內內容限制政策，請跳過這部分。

就應用程式保護政策而言，您的應用程式可能會發送三種不同的通知：

1. 通知中沒有任何帳號資料。
2. 包含屬於受管理帳戶資料的通知。
3. 包含屬於未管理帳戶資料的通知。

如果你的應用程式是單一身份，只有前兩個帳戶相關，因為如果唯一帳戶未受管理，則不會適用任何保護措施。

你可以透過設定不同政策值觸發三種通知來驗證通知限制。

測試時，請安裝您的應用程式及 Intune 公司入口網站;開始測試前請以受管理帳號登入。 如果你的應用程式是多重身份，也請用非管理帳號登入應用程式。

驗證資料備份與還原

如果你沒有實作 保護備份資料的政策，請跳過這部分。

重新熟悉應用程式為備份設定 (檔案和鍵值對) 的內容。 你應該確認還原只有預期內容。 還原中多餘的內容可能導致資料外洩。

進行這些測試時，請安裝您的應用程式及 Intune 公司入口網站;開始測試前請以受管理帳號登入。 如果你的應用程式是多重身份，也請用非管理帳號登入應用程式。

請依照 Android 官方的備份測試說明操作。 這些說明在自動備份和鍵值備份上有所不同，請務必嚴格遵守。

驗證自訂螢幕截圖是否符合政策

如果你沒有實作 自訂螢幕捕捉限制，請跳過這部分。

如果你的應用程式有繞過 Android 層級FLAG_SECURE的功能Window，請驗證該功能是否被應用程式保護政策的截圖限制所阻擋。

測試時，請安裝您的應用程式及 Intune 公司入口網站;開始測試前請以受管理帳號登入。

驗證應用程式保護CA

如果你沒有實作 支援應用程式保護CA，請跳過這部分。

除了建立並指派應用程式保護政策給你的應用程式和測試帳戶的典型驗證步驟外，你還必須為測試帳戶建立並指派應用程式保護條件存取政策。 詳情請參閱「使用 Intune 設定基於應用程式的條件存取政策」。

測試步驟：

1. 在開始這個測試前，請先卸載 Microsoft Authenticator 和 Intune 公司入口網站。
2. 安裝你的應用程式。
3. 登入你的應用程式時，測試帳號同時針對應用程式保護政策和基於應用程式的 CA 政策。
4. 確認你的應用程式是否會提示你安裝公司入口網站。
5. 再次登入。
6. 確認你的應用程式會提示你註冊裝置。 按照提示操作。 如果你的應用程式沒有在這裡要求註冊，請先確認你的測試裝置已移除其他支援 SDK 的應用程式、公司入口網站和 Authenticator。 如果還是沒有提示，就再回頭看實作說明。
7. 註冊後確認你能存取所有應用程式資料。

驗證通知接收器

如果你還沒實作 SDK 註冊通知，請跳過這一段。

驗證步驟取決於你的應用程式註冊的通知類型。 對於所有類型的通知，請加入日誌，以確保接收器被正確調用。

MAM_ENROLLMENT_RESULT 可透過以應用程式保護政策針對的帳號登入應用程式來觸發。

你可以REFRESH_APP_CONFIG透過更新針對你的測試帳號的相應應用程式組態政策和應用程式保護政策，並等待 SDK 收到更新的政策來觸發 和 REFRESH_POLICY 。

你可以透過 Microsoft Intune 的選擇性清除來觸發 MANAGEMENT_REMOVED、 WIPE_USER_DATA、 WIPE_USER_AUXILIARY_DATAWIPE_COMPLETED 和通知。

驗證自訂主題

如果你還沒實作 自訂主題，請跳過這部分。

你可以透過檢查 SDK 對話框中的顏色來驗證自訂主題支援。 最簡單的對話框是 MAM PIN 畫面。

前提條件：

• 管理帳戶的政策設定為：
  • 「存取 PIN 碼」設為「必要」。
• 安裝您的應用程式和 Intune 公司入口網站。

測試步驟：

1. 啟動你的應用程式並用測試帳號登入。
2. 確認 MAM PIN 畫面是否顯示，且主題依照你提供的自訂主題給 SDK。

後續步驟

如果你依照本指南操作並完成本文前述的所有退出標準，你的應用程式現在已完全整合 Intune App SDK，並能執行應用程式保護政策。 如果你跳過了之前的應用程式參與部分，第五階段：多身份與第六階段：應用程式組態，且不確定應用程式是否應支援這些功能，請重新檢視 SDK 整合的關鍵決策。

應用程式防護現在已成為你應用程式的核心情境。 在你持續開發應用程式時，請持續參考本指南及 附錄 。