Mobile Anwendungsverwaltung und Personally-Owned Arbeitsprofilen auf Android Enterprise-Geräten in Intune

In vielen Unternehmen stehen Administratoren vor der Herausforderung, Ressourcen und Daten auf verschiedenen Geräten zu schützen. Eine Herausforderung besteht im Schutz der Ressourcen für Benutzer mit persönlichen Android Enterprise-Geräten, auch bekannt als Bring-Your-Own-Device (BYOD). Microsoft Intune unterstützt zwei Android-Bereitstellungsszenarien für Bring-Your-Own-Device (BYOD):

• Mobile Anwendungsverwaltung (Mobile Application Management, MAM)
• Persönliche Android Enterprise-Arbeitsprofile

Die Szenarien für die Bereitstellung von persönlichen Arbeitsprofilen für MAM und Android Enterprise umfassen die folgenden wichtigen Features, die für BYOD-Umgebungen wichtig sind:

• Schutz und Trennung von organization verwalteten Daten: Beide Lösungen schützen Daten der Organization, indem sie DLP-Kontrollen (Data Loss Prevention, Verhinderung von Datenverlust) für von der Organization verwaltete Daten erzwingen. Dieser Schutz verhindert versehentlichen Verlust geschützter Daten, z. B. dass ein Endbenutzer sie versehentlich mit einer persönlichen App oder einem Konto teilt. Sie dienen auch dazu, sicherzustellen, dass ein Gerät, das auf die Daten zugreift, fehlerfrei und nicht kompromittiert ist.

• Datenschutz für Endbenutzer: MAM trennt Endbenutzer- und Organization-Inhalte in verwalteten Anwendungen und persönliche Android Enterprise-Arbeitsprofile, trennen Endbenutzerinhalte auf dem Gerät und Daten, die vom MDM-Administrator (Mobile Device Management) verwaltet werden. In beiden Szenarien erzwingen IT-Administratoren Richtlinien, wie z. B. die reine PIN-Authentifizierung für von der organization verwaltete Apps oder Identitäten. IT-Administratoren können keine Daten lesen, darauf zugreifen oder löschen, die sich im Besitz oder unter der Kontrolle von Endbenutzern befinden.

Ob Sie sich für persönliche MAM- oder Android Enterprise-Arbeitsprofile für Ihre BYOD-Bereitstellung entscheiden, hängt von Ihren Anforderungen und geschäftlichen Anforderungen ab. Dieser Artikel soll Ihnen eine Entscheidungshilfe bieten. Weitere Informationen zu verwalteten Android-Geräten finden Sie unter Verwalten von persönlichen Android-Arbeitsprofilgeräten mit Intune.

Informationen zu Richtlinien zum Schutz von Intune-Apps

Intune-App-Schutzrichtlinien sind Datenschutzrichtlinien, die sich an Benutzer richten. Die Richtlinien wenden den Schutz vor Datenverlust auf Anwendungsebene an. Intune-App-Schutzrichtlinien erfordern, dass App-Entwickler App-Schutzrichtlinien-Features für die von ihnen erstellten Apps aktivieren.

Einzelne Android-Apps sind auf verschiedene Arten für APP aktiviert:

1. Nativ in Microsoft-Erstanbieter-Apps integriert: Microsoft 365 (Office)-Apps für Android und eine Auswahl anderer Microsoft-Apps verfügen über integrierte Intune-APP. Diese Microsoft 365-Apps wie Word, OneDrive, Outlook usw. benötigen keine weiteren Anpassungen, um Richtlinien anzuwenden. Diese Apps können von Endbenutzern direkt aus dem Google Play Store installiert werden.

2. Von Entwicklern mit dem Intune SDK in App-Builds integriert: App-Entwickler können das Intune SDK in ihren Quellcode integrieren und ihre Apps neu kompilieren, um die Features der Intune-App-Schutzrichtlinien zu unterstützen.

3. Wrapped using the Intune app wrapping tool: Some customers compile Android apps (. APK-Datei) ohne Zugriff auf Quellcode. Ohne den Quellcode kann der Entwickler keine Integration in das Intune SDK durchführen. Ohne das SDK können sie ihre App nicht für App-Schutzrichtlinien aktivieren. Der Entwickler muss die App ändern oder neu codieren, um App-Schutzrichtlinien zu unterstützen.

   Um dies zu unterstützen, enthält Intune das App Wrapping Tool Tool für vorhandene Android-Apps (APKs) und erstellt eine App, die App-Schutzrichtlinien erkennt.

   Weitere Informationen zu diesem Tool finden Sie unter Vorbereiten von Branchen-Apps für App-Schutzrichtlinien.

Eine Liste der Apps, die mit APP aktiviert sind, finden Sie unter Verwaltete Apps mit einer Vielzahl von Richtlinien zum Schutz mobiler Anwendungen.

Bereitstellungsszenarien

In diesem Abschnitt werden die wichtigen Merkmale der Szenarien für die Bereitstellung von persönlichen MAM- und Android Enterprise-Arbeitsprofilen beschrieben.

MAM

Eine MAM-Bereitstellung definiert Richtlinien für Apps, nicht für Geräte. Für BYOD wird MAM häufig auf nicht registrierten Geräten verwendet. Zum Schutz von Apps und des Zugriffs auf Organisationsdaten verwenden Administratoren APP-verwaltbare Apps und wenden Datenschutzrichtlinien auf diese Apps an.

Diese Funktion gilt für:

• Android 4.4 oder höher

Persönliche Android Enterprise-Arbeitsprofile

Persönliche Android Enterprise-Arbeitsprofile sind das Kernszenario für die Bereitstellung von Android Enterprise. Das persönliche Android Enterprise-Arbeitsprofil ist eine separate Partition, die auf Android-Betriebssystemebene erstellt und mit Intune verwaltet werden kann.

Ein persönliches Android Enterprise-Arbeitsprofil umfasst die folgenden Funktionen:

• Herkömmliche MDM-Funktionen: Wichtige MDM-Funktionen, z. B. die Verwaltung des App-Lebenszyklus mit verwaltetem Google Play, sind in jedem Android Enterprise-Szenario verfügbar. Managed Google Play bietet eine stabile Benutzeroberfläche zum Installieren und Aktualisieren von Apps, ohne dass der Benutzer eingreifen muss. Die IT kann auch App-Konfigurationseinstellungen an Organisations-Apps übertragen. Außerdem müssen Endbenutzer keine Installationen aus unbekannten Quellen zulassen. Andere gängige MDM-Aktivitäten wie die Bereitstellung von Zertifikaten, das Konfigurieren von WLAN/VPNs und das Festlegen von Gerätekennungen sind mit persönlichen Android Enterprise-Arbeitsprofilen verfügbar.

• DLP an der Grenze des persönlichen Android Enterprise-Arbeitsprofils: Bei einem persönlichen Android Enterprise-Arbeitsprofil werden DLP-Richtlinien auf Arbeitsprofilebene und nicht auf App-Ebene erzwungen. Beispielsweise wird der Kopier-/Einfügeschutz durch die Einstellungen für den App-Schutz erzwungen, die auf eine App angewendet werden, oder durch das Arbeitsprofil. Wenn die App in einem Arbeitsprofil bereitgestellt wird, können Administratoren den Schutz durch Kopieren/Einfügen des Arbeitsprofils anhalten, indem sie diese Richtlinie auf der Ebene der App-Schutzrichtlinien deaktivieren.

Tipps zur Optimierung der Benutzeroberfläche für Arbeitsprofile

Sie sollten überlegen, wie Sie App-Schutzrichtlinien und Mehrfachidentitäten verwenden, wenn Sie mit persönlichen Android Enterprise-Arbeitsprofilen arbeiten.

Wann sollten App-Schutzrichtlinien in persönlichen Android Enterprise-Arbeitsprofilen verwendet werden

Intune-App-Schutzrichtlinien und persönliche Android Enterprise-Arbeitsprofile sind komplementäre Technologien, die zusammen oder getrennt verwendet werden können. Architektonisch erzwingen beide Lösungen Richtlinien auf verschiedenen Ebenen – App-Schutzrichtlinien auf der einzelnen App-Ebene und Arbeitsprofil auf Profilebene. Die Bereitstellung von Apps, die mit App-Schutzrichtlinien verwaltet werden, für eine App in einem Arbeitsprofil ist ein gültiges und unterstütztes Szenario. Die Verwendung von App-Schutzrichtlinien, Arbeitsprofilen oder einer Kombination davon hängt von Ihren DLP-Anforderungen ab.

Persönliche Android Enterprise-Arbeitsprofile und App-Schutzrichtlinien ergänzen sich gegenseitig, indem sie zusätzliche Abdeckung bieten, wenn ein Profil die Datenschutzanforderungen Ihrer Organization nicht erfüllt. Beispielsweise bieten Arbeitsprofile nicht nativ Steuerelemente, um das Speichern einer App an einem nicht vertrauenswürdigen Cloudspeicherort zu verhindern. App-Schutz-Richtlinien beinhalten dieses Feature. Sie können entscheiden, dass die allein durch das Arbeitsprofil bereitgestellte DLP ausreichend ist, und sich dafür entscheiden, keine App-Schutzrichtlinien zu verwenden. Oder Sie können den Schutz einer Kombination aus beidem anfordern.

Unterdrücken von App-Schutzrichtlinien für persönliche Android Enterprise-Arbeitsprofile

Möglicherweise müssen Sie einzelne Benutzer unterstützen, die über mehrere Geräte verfügen – nicht registrierte Geräte mit von MAM verwalteten Anwendungen und verwaltete Geräte mit persönlichen Android Enterprise-Arbeitsprofilen.

Beispielsweise müssen Endbenutzer beim Öffnen einer Arbeits-App eine PIN eingeben. Je nach Gerät werden die PIN-Funktionen durch App-Schutzrichtlinien oder durch das Arbeitsprofil verwaltet. Bei von MAM verwalteten Anwendungen werden die Zugriffskontrollen, einschließlich des PIN-to-Launch-Verhaltens, durch App-Schutzrichtlinien erzwungen. Bei registrierten Geräten kann die PIN für App-Schutzrichtlinien deaktiviert werden, um zu vermeiden, dass sowohl eine Geräte-PIN als auch eine PIN für App-Schutzrichtlinien erforderlich sind. (PIN-Einstellung der App-Schutz-Richtlinien für Android. Für Geräte mit Arbeitsprofil können Sie eine vom Betriebssystem erzwungene PIN für Geräte oder Arbeitsprofile verwenden. Um dieses Szenario zu erreichen, konfigurieren Sie die Einstellungen für App-Schutzrichtlinien so, dass sie nicht gelten , wenn eine App in einem Arbeitsprofil bereitgestellt wird. Wenn Sie dies nicht auf diese Weise konfigurieren, wird der Endbenutzer vom Gerät zur Eingabe einer PIN aufgefordert, und erneut auf der Ebene der App-Schutzrichtlinien.

Steuern des Verhaltens mehrerer Identitäten in persönlichen Android Enterprise-Arbeitsprofilen

Office-Anwendungen wie Outlook und OneDrive weisen ein "Multi-Identity"-Verhalten auf. Innerhalb einer Instance der Anwendung kann der Endbenutzer Verbindungen zu mehreren verschiedenen Konten oder Cloudspeicherorten hinzufügen. Innerhalb der Anwendung können die von diesen Speicherorten abgerufenen Daten getrennt oder zusammengeführt werden. Außerdem kann der Benutzer im Kontext zwischen persönlichen Identitäten (user@outlook.com) und Identitäten der organization (user@contoso.com) wechseln.

Wenn Sie persönliche Android Enterprise-Arbeitsprofile verwenden, möchten Sie dieses Verhalten für mehrere Identitäten möglicherweise deaktivieren. Wenn Sie sie deaktivieren, können Instanzen der App im Arbeitsprofil mit einem Signal nur mit einer organization-Identität konfiguriert werden. Verwenden Sie die App-Konfigurationseinstellung "Zulässige Konten" für die Unterstützung von Office-Android-Apps.

Weitere Informationen finden Sie unter Bereitstellen von Outlook für iOS/iPadOS- und Android-App-Konfigurationseinstellungen.

Wann sollte die Intune-APP verwendet werden?

Es gibt mehrere Mobilitätsszenarien für Unternehmen, in denen die Verwendung der Intune-APP die beste Empfehlung ist.

Kein MDM, keine Registrierung, Google-Dienste sind nicht verfügbar

Einige Kunden wünschen aus verschiedenen Gründen keine Form der Geräteverwaltung, einschließlich der Verwaltung persönlicher Arbeitsprofile von Android Enterprise:

• Rechts- und Haftungsgründe
• Für eine konsistente Benutzererfahrung
• Die Umgebung von Android-Geräten ist sehr heterogen
• Es besteht keine Konnektivität zu Google-Diensten, die für die Verwaltung von Arbeitsprofilen erforderlich ist.

Beispielsweise können Kunden in China oder Nutzer in China die Android-Geräteverwaltung nicht verwenden, da Google-Dienste blockiert sind. Verwenden Sie in diesem Fall die Intune-APP für DLP.

Zusammenfassung

Mit Intune sind sowohl persönliche MAM- als auch Android Enterprise-Arbeitsprofile für Ihr Android BYOD-Programm verfügbar. Sie können je nach Ihren Geschäfts- und Nutzungsanforderungen MAM- und/oder Arbeitsprofile verwenden. Zusammenfassend lässt sich sagen, dass Sie persönliche Android Enterprise-Arbeitsprofile verwenden sollten, wenn Sie MDM-Aktivitäten auf verwalteten Geräten benötigen, z. B. Zertifikatsbereitstellung, App-Push usw. Verwenden Sie MAM, wenn Sie Organisationsdaten in Anwendungen schützen möchten.

Nächste Schritte

Beginnen Sie mit der Verwendung von App-Schutzrichtlinien, oder registrieren Sie Ihre Geräte.