用 Intune App Wrapping Tool 準備 iOS 應用程式的應用程式保護政策

使用 iOS Microsoft Intune App Wrapping Tool 啟用Intune內部 iOS 應用程式的保護政策，且不必更改應用程式本身的程式碼。

這個工具是一個 macOS 命令列應用程式，可以為應用程式建立一個包裝器。 應用程式處理完成後，你可以透過部署 應用程式保護政策 來更改其功能。

欲下載此工具，請參閱 GitHub 上的 iOS Microsoft Intune App Wrapping Tool。

App Wrapping Tool 的一般前提條件

在執行 App Wrapping Tool 之前，你需要先滿足一些基本的先決條件：

• 請從 GitHub 下載 iOS 版的Microsoft Intune App Wrapping Tool。

• 一台安裝 Xcode 工具組版本 16.0 或更新的 macOS 電腦。

• 您的公司或獨立軟體供應商 (ISV) 必須開發並簽署輸入 iOS 應用程式。

  • 檔案副檔名必須為 .ipa 或 .app。

  • 必須為 iOS 16.0 或更新版本編譯。

  • 它無法加密。

  • 沒有擴充檔案屬性。

  • 在用Intune App Wrapping Tool處理應用程式前，先設定權利。 權限賦予 應用程式更多權限和功能，超出通常授予的權限。 請參閱 「設定應用程式權限 」以獲得說明。

• 確保系統鑰匙圈中有有效的簽署憑證。 如果你遇到應用程式的程式碼簽章問題，請採取以下步驟來解決：
  • 重設所有相關憑證的信任設定
  • 在系統鑰匙圈與登入鑰匙圈中安裝中間憑證
  • 卸載並重新安裝所有相關憑證

用 Microsoft Entra ID 註冊你的應用程式

1. 請用 Microsoft Entra ID 註冊你的應用程式。 欲了解更多資訊，請參閱「向 Microsoft 身分識別平台註冊應用程式」。
2. 把自訂的轉址網址加到你的應用程式設定裡。 更多資訊請參閱「配置 MSAL」。
3. 讓你的應用程式存取 Intune MAM 服務。 欲了解更多資訊，請參閱「讓你的應用程式存取 Intune 行動應用程式管理服務」。
4. 完成上述變更後，執行最新版本的 Intune 應用程式包裝工具。 為 MSAL) (Microsoft 驗證函式庫設定你的應用程式：將 Microsoft Entra 應用程式的客戶端 ID 加入命令列參數，並附上 Intune App Wrapping Tool。 欲了解更多資訊，請參閱 命令列參數。

5. 部署應用程式。

App Wrapping Tool 的 Apple 開發者先決條件

要將包裝式應用程式獨家分發給組織用戶，你需要擁有 Apple 開發者企業計畫 的帳號，以及與你的 Apple 開發者帳號連結的多個應用程式簽署實體。

想了解更多關於如何在組織內部分發 iOS 應用程式給貴組織用戶的資訊，請閱讀官方指南《 分發蘋果開發者企業計畫應用程式》。

你需要以下條件來分發 Intune 包裝的應用程式：

• 蘋果開發者企業計畫的開發者帳號。

• 內部及臨時發行的簽署憑證，附有有效的團隊識別碼。

  • 你需要簽署憑證的 SHA1 雜湊值作為Intune App Wrapping Tool的參數。

• 內部分發配置設定檔。

建立 Apple 開發者企業帳號

1. 請前往 蘋果開發者企業計畫網站。

2. 在頁面右上角，選擇 「註冊」。

3. 請閱讀你需要報名的清單。 在頁面底部選擇 「開始您的註冊 」選項。

4. 請使用你組織的 Apple 帳號登入。 如果你沒有，請選擇 建立 Apple 帳號。

5. 選擇您的實體類型並選擇繼續。

6. 請填寫您組織的資訊。 選取 [繼續]。 此時，Apple 會聯絡你確認是否被授權註冊你的組織。

7. 驗證後，選擇 同意授權。

8. 同意授權後，請購買 並啟用該程式。

9. 如果你是團隊代理人 (加入你組織) 蘋果開發者企業計畫的人，邀請團隊成員並分配角色來建立你的團隊。 想了解如何管理你的團隊，請閱讀蘋果關於 管理你的開發者帳戶團隊的文件。

建立 Apple 簽署憑證

1. 前往 Apple 開發者入口網站。

2. 在頁面右上角，選擇 帳戶。

3. 請使用您的組織 Apple 帳號登入。

4. 選擇 證書、ID & 個人資料。

   

5. 選擇右上角的 。 此動作會新增 iOS 憑證。

6. 選擇在製作部門創建內部及臨時證書。

   

   注意事項

   如果你不打算發佈應用程式，只想在內部測試，可以用 iOS 應用程式開發憑證代替正式生產憑證。 如果你使用開發憑證，請確保行動配置檔包含你打算安裝該應用程式的裝置。

7. 在頁面底部選擇 「下一步 」。

8. 請閱讀使用您 macOS 電腦上的 Keychain Access 應用程式 (建立 CSR 憑證簽署請求) 的說明。

   

9. 請依照前述指示建立憑證簽署請求。 在您的 macOS 電腦上，啟動 鑰匙圈存取 應用程式。

10. 在螢幕頂端的 macOS 選單中，請前往「 鑰匙圈存取 > 憑證助理 > 」向憑證機構申請憑證。

    

11. 請依照 Apple 開發者網站的指示，建立憑證簽署請求 (CSR) 檔案。 把 CSR 檔案存到你的 macOS 電腦。

    

12. 返回蘋果開發者網站。 選取 [繼續]。 然後上傳 CSR 檔案。

13. Apple 會產生你的簽署憑證。 下載並儲存到你 macOS 電腦上一個難忘的位置。

    

14. 雙擊你下載的證書檔案，將證書加入鑰匙圈。

15. 再次開啟 鑰匙圈存取 。 在右上角搜尋證書名稱即可找到您的證書。 右鍵點擊該項目以跳出選單，並選擇 「取得資訊」。 在範例畫面中，我們使用的是開發證書，而非生產證書。

    

16. 資訊視窗出現。 往下滑到最底，看看指 紋 標籤下面。 複製 SHA1 字串 (模糊) ，作為 App Wrapping Tool 「-c」的參數。

    

建立 In-House 分發配置設定檔

1. 返回 Apple 開發者帳號入口網站，並用你的組織 Apple 帳號登入。

2. 選擇 證書、ID & 個人資料。

3. 選擇右上角的 。 此操作會新增一個 iOS 配置設定檔。

4. 選擇在「分發」下建立內部配置設定檔。

   

5. 選取 [繼續]。 務必將先前產生的簽署憑證連結到配置設定檔。

6. 請依照步驟將你的個人資料 (及擴充) .mobileprovision 下載到你的 macOS 電腦。

7. 將檔案保存在一個令人難忘的位置。 此檔案用於使用 App Wrapping Tool 時的 -p 參數。

下載 App Wrapping Tool

1. 從 GitHub 下載 App Wrapping Tool 的檔案到 macOS 電腦。

2. 雙擊Microsoft Intune應用程式限制套件以取得iOS.dmg。 會出現一個顯示終端使用者授權協議 (EULA) 的視窗。 仔細閱讀文件。

3. 選擇 「同意 接受 EULA」，這樣套件就會掛載到你的電腦上。

執行 App Wrapping Tool

使用終端機

打開 macOS 終端機並執行以下指令：

/Volumes/IntuneMAMAppPackager/IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> -p /<path to provisioning profile> -c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> [-aa <authority URI of input app>] [-b [<output app build string>]] [-v] [-e] [-x /<array of extension provisioning profile paths>] [-dt] [-dl] [-ds]

例：以下範例指令在名為 MyApp.ipa 的應用程式上執行 App Wrapping Tool。 會指定一個配置設定檔和簽署憑證的 SHA-1 雜湊值來簽署包裹後的應用程式。 輸出應用程式 (MyApp_Wrapped.ipa) 會建立並儲存在你的桌面資料夾中。

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -ac "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" -ar "msauth.myAppsBundleID://auth" -v

命令列參數

你可以用 App Wrapping Tool 使用以下命令列參數：

例：以下範例指令執行 App Wrapping Tool，並在封裝應用程式以單一租戶內使用時，納入所需的指令。

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager -i ~/Desktop/MyApp.ipa -o ~/Desktop/MyApp_Wrapped.ipa -p ~/Desktop/My_Provisioning_Profile_.mobileprovision -c "12 A3 BC 45 D6 7E F8 90 1A 2B 3C DE F4 AB C5 D6 E7 89 0F AB" -aa https://login.microsoftonline.com/<tenantID> -ac "Client ID of the input app if the app uses the Microsoft Authentication Library" -ar "Redirect/Reply URI of the input app if the app uses the Microsoft Authentication Library"  -v

使用 plist 來輸入參數

執行 App Wrapping Tool 的一個簡單方法是將所有指令參數放入 plist 檔案中。 Plist 是一種類似 XML 的檔案格式，你可以用表單介面輸入命令列參數。

在 IntuneMAMPackager/Contents/MacOS 資料夾中， (一個 Parameters.plist 空白的 plist 範本，) 文字編輯器或 Xcode 開啟。 請輸入你對以下鍵的論證：

用 IntuneMAMPackager 執行，只用 plist 作為參數：

./IntuneMAMPackager –f Parameters.plist

包裹後

包裝過程完成後，會顯示「應用程式已成功包裝」的訊息。 若發生錯誤，請參閱 錯誤訊息 以尋求協助。

包裝後的應用程式會儲存在你之前指定的輸出資料夾裡。 你可以將應用程式上傳到 Intune 管理中心，並與行動應用程式管理政策關聯。

你現在可以將應用程式部署到使用者群組，並針對應用程式設定保護政策。 應用程式會依照你指定的保護政策在裝置上執行。

我應該多久用 Intune App Wrapping Tool 重新包裝我的 iOS 應用程式？

你需要重新包裝應用程式的主要情境如下：

• 應用程式本身釋出了新版本。 先前版本的應用程式已被包裝並上傳至 Intune 管理中心。
• iOS Intune App Wrapping Tool釋出新版本，啟用關鍵錯誤修正或專屬Intune應用程式保護政策功能。 iOS Microsoft Intune App Wrapping Tool 版本每 6 至 8 週透過 GitHub 倉庫釋出一次。

對於 iOS/iPadOS，你可以用與原本簽約應用程式不同的憑證或配置設定檔包裝應用程式。 然而，如果新的配置設定檔沒有包含應用程式中指定的權限，包裝過程就會失敗。 如果你使用「-e」命令列選項，能移除應用程式中缺少的權限，強制包裝避免失敗，可能會導致應用程式功能失效。

重新包裹的一些最佳實務包括：

• 確保不同的配置設定檔擁有與先前任何配置配置檔相同的所有必要權限。

錯誤訊息與日誌檔案

請參考以下資訊來排解應用程式包裝工具的故障。

錯誤訊息

若應用程式包裝工具未能成功完成，主控台會顯示以下錯誤訊息之一：

從裝置收集你包裝應用程式的日誌

請在故障排除時，請使用以下步驟取得封裝應用程式的日誌。

1. 到你裝置上的 iOS 設定應用程式，選擇你的 LOB 應用程式。
2. 選擇 Microsoft Intune。
3. 把 顯示診斷主控台 的設定切換到 開啟。
4. 啟動你的 LOB 應用程式。
5. 請點選「開始」連結。
6. 你現在可以直接將日誌傳送給 Microsoft，或透過裝置上的另一個應用程式分享。

從系統收集當機日誌

你的應用程式可能正在將有用資訊記錄到 iOS 用戶端裝置主控台。 當你遇到應用程式問題，需要判斷問題是出在 App Wrapping Tool 還是應用程式本身時，這些資訊非常有用。 要取得此資訊，請使用以下步驟：

1. 透過執行應用程式重現這個問題。

2. 依照蘋果的 除錯 iOS 應用程式指示，收集主控台輸出。

封裝應用程式也會讓用戶在應用程式當機後，透過電子郵件直接從裝置傳送日誌。 使用者可以將日誌寄給你檢查，必要時轉發給 Microsoft。

憑證、配置設定檔與認證要求

iOS 版 App Wrapping Tool 有一些必須符合的條件，才能保證完整功能。

設定應用程式權限

在包裝應用程式之前，你可以授予 權限，賦予 應用程式超出一般應用程式能力的額外權限和功能。 權限 檔案 在程式碼簽署時用來指定應用程式內的特殊權限 (例如存取共享鑰匙圈) 。 在 Xcode 開發過程中，會啟用特定的應用程式服務，稱為 能力（capabilities ）。 啟用後，這些能力會反映在你的權限檔案中。 欲了解更多權限與能力資訊，請參閱 iOS 開發者函式庫 中的新增功能 。 完整支援功能清單請參見 支援功能。

iOS App Wrapping Tool 支援的功能

啟用權利的步驟

1. 啟用應用程式中的功能：

   a. 在 Xcode 中，前往你應用程式的目標，選擇 「能力」。

   b. 開啟相應的功能。 關於各項功能的詳細資訊及正確數值的判斷，請參閱 iOS 開發者資料庫中的 「新增能力 」。

   c. 請注意你在過程中建立的任何ID。 這些 ID 可能被稱為值 AppIdentifierPrefix 。

   d. 建立並簽署你的應用程式，讓它被包裝。

2. 在您的配置設定檔中啟用權限：

   a. 登入蘋果開發者會員中心。

   b. 為你的應用程式建立一個配置設定檔。 關於說明，請參閱《如何取得 iOS Intune App Wrapping Tool的前置條件》。

   c. 在你的配置設定檔中，啟用與應用程式相同的權限。 你需要提供與開發應用程式時相同的 ID (AppIdentifierPrefix 數值) 。

   d. 完成配置設定檔精靈並下載你的檔案。

3. 確保你符合所有先決條件，然後完成申請。

排除授權常見錯誤

如果 iOS 版 App Wrapping Tool 顯示權限錯誤，請嘗試以下故障排除步驟。

找出已簽署應用程式的現有權限

要檢視已簽署應用程式及配置設定檔的現有權限：

1. 找到 .ipa 檔案，並將副檔名改成 .zip。

2. 展開 .zip 檔案。 此動作會建立一個包含 .app 包的 Payload 資料夾。

3. 使用codesign工具檢查.app組合的權利，.app組合的實際名稱在哪裡 YourApp.app 。

   codesign -d --entitlements :- "Payload/YourApp.app"
   

4. 使用安全工具檢查應用程式內嵌的配置設定檔的權限，其中 YourApp.app 是你.app套件的實際名稱。

   security cms -D -i "Payload/YourApp.app/embedded.mobileprovision"
   

使用 –e 參數移除應用程式中的權限

這個指令會移除應用程式中所有未在權限檔案中啟用的功能。 如果你移除應用程式正在使用的功能，可能會讓應用程式失效。 一個可能移除缺失能力的例子是廠商開發的應用程式預設具備所有功能。

./IntuneMAMPackager/Contents/MacOS/IntuneMAMPackager –i /<path of input app>/<app filename> -o /<path to output folder>/<app filename> `–p` /<path to provisioning profile> –c <SHA1 hash of the certificate> -ac <client ID of input app> -ar <redirect URI of input app> -e

App Wrapping Tool 的安全與隱私

使用 App Wrapping Tool 時，請遵循以下安全與隱私最佳實務。

• 你指定的簽署憑證、配置設定檔和業務線應用程式必須與你用來執行應用程式包裝工具的同一台 macOS 電腦上。 如果檔案在 UNC 路徑上，請確保 macOS 機器能存取它們。 路徑必須透過 IPsec 或 SMB 簽章來保護。

  匯入管理中心的包裝應用程式應該是在你執行工具的同一台電腦上。 如果檔案在 UNC 路徑上，請確保它能在執行管理中心的電腦上存取。 路徑必須透過 IPsec 或 SMB 簽章來保護。

• 從 GitHub 倉庫下載 App Wrapping Tool 的環境需要透過 IPsec 或 SMB 簽章來保護。

• 你所處理的應用程式必須來自可信來源，以確保防範攻擊。

• 確保你在 App Wrapping Tool 中指定的輸出資料夾是安全的，尤其是遠端資料夾。

• 包含檔案上傳對話框的 iOS 應用程式，可以讓使用者繞過、剪切、複製並貼上應用程式上的限制。 例如，使用者可以使用檔案上傳對話框上傳應用程式資料的截圖。

• 當你在包裹式應用程式中監控裝置上的文件資料夾時，你可能會看到一個名為 .msftintuneapplauncher的資料夾。 如果你更改或刪除這個檔案，可能會影響受限制應用程式的正常運作。

• 註冊自訂 URL 方案後，特定 URL 可以重新導向到你的應用程式。 iOS 和 iPadOS 允許多個應用程式註冊相同的自訂 URL 方案，作業系統會決定呼叫哪個應用程式。 請參閱 Apple 文件《 為你的應用程式定義自訂 URL 方案 》，以獲得避免自訂 URL 方案碰撞及處理錯誤 URL 的安全指引。

其他資源

• 決定如何準備使用 Microsoft Intune 來管理行動應用程式
• 常見問題、問題與裝置政策與設定檔的解決方案
• 使用 SDK 啟用行動應用程式管理