Gestire l'accesso alla collaborazione sulla messaggistica usando Outlook per iOS e Android con Microsoft Intune

L'app Outlook per iOS e Android è progettata per consentire agli utenti dell'organizzazione di eseguire ulteriori operazioni dai dispositivi mobili, unendo posta elettronica, calendario, contatti e altri file.

Le funzionalità di protezione più complete e più estese per i dati di Microsoft 365 sono disponibili quando si sottoscrive un abbonamento alla famiglia di prodotti Enterprise Mobility + Security, che include funzionalità di Microsoft Intune e Microsoft Entra ID P1 o P2, ad esempio l'accesso condizionale. È consigliabile distribuire almeno criteri di accesso condizionale che consentano la connettività a Outlook per iOS e Android dai dispositivi mobili e criteri di protezione dell'app Intune che garantiscano la protezione dell'esperienza di collaborazione.

Applicare l'accesso condizionale

Le organizzazioni possono usare i criteri di accesso condizionale di Microsoft Entra per garantire che gli utenti possano accedere solo ai contenuti aziendali o dell'istituto di istruzione usando Outlook per iOS e Android. A tale scopo, è necessario un criterio di accesso condizionale destinato a tutti i potenziali utenti. Questi criteri sono descritti in Accesso condizionale: Richiedere app client approvate o criteri di protezione delle app.

1. Seguire la procedura descritta in Richiedere app client approvate o criteri di protezione delle app con dispositivi mobili. Questo criterio consente Outlook per iOS e Android, ma impedisce ai client mobili di Exchange ActiveSync compatibili con l'autenticazione OAuth e l'autenticazione di base di connettersi a Exchange Online.

   Nota

   Questo criterio garantisce che gli utenti di dispositivi mobili possano accedere a tutti gli endpoint Microsoft 365 usando le app applicabili.

2. Seguire la procedura descritta in Bloccare Exchange ActiveSync su tutti i dispositivi, in modo da impedire ai client Exchange ActiveSync che usano l'autenticazione di base su dispositivi non mobili di connettersi a Exchange Online.

   I criteri precedenti sfruttano il criterio di concessione del controllo di accesso Richiedi protezione delle app, che garantisce l'applicazione di un criterio di protezione dell'app Intune all'account associato all'interno di Outlook per iOS e Android prima di concedere l'accesso. Se l'utente non è assegnato a un criterio di protezione dell'app di Intune, non ha una licenza per Intune o l'app non è inclusa nel criterio di protezione dell'app di Intune, il criterio impedisce all'utente di ottenere un token di accesso e accedere ai dati di messaggistica.

3. Seguire i passaggi descritti in Procedura: Bloccare l'autenticazione legacy per Microsoft Entra ID con accesso condizionale Per bloccare l'autenticazione legacy per altri protocolli di Exchange nei dispositivi iOS e Android. Questo criterio deve essere destinato solo all'app cloud Microsoft Exchange Online e alle piattaforme di dispositivi iOS e Android. In questo modo le app per dispositivi mobili che usano i protocolli Servizi Web Exchange, IMAP4 o POP3 con autenticazione di base non possono connettersi a Exchange Online.

Creare i criteri di protezione delle app Intune

I criteri di protezione delle app definiscono quali app sono consentite e le azioni che possono intraprendere con i dati dell'organizzazione. Le scelte disponibili nei criteri di protezione delle app consentono alle organizzazioni di personalizzare la protezione in base alle proprie esigenze specifiche. Per alcune, potrebbe non essere ovvio quali impostazioni di criterio siano necessarie per implementare uno scenario completo. Per aiutare le organizzazioni a assegnare priorità alla protezione avanzata degli endpoint dei client mobili, Microsoft ha introdotto la tassonomia per i criteri di protezione delle app, framework di protezione dei dati per la gestione delle app mobili iOS e Android.

Il framework di protezione dei dati dei criteri di protezione delle app è organizzato in tre livelli di configurazione distinti, ognuno dei quali si basa sul livello precedente:

• La protezione di base dei dati aziendali (livello 1) garantisce che le app siano protette con un PIN e crittografate ed esegue operazioni di cancellazione selettiva. Per i dispositivi Android, questo livello convalida l'attestazione del dispositivo Android. Si tratta di una configurazione di base che fornisce un controllo simile della protezione dei dati nei criteri delle caselle postali di Exchange Online e introduce l'IT e gli utenti all'APP.
• La protezione dei dati avanzata ( livello 2) aziendale introduce criteri di protezione delle app, meccanismi di prevenzione della perdita di dati e requisiti minimi del sistema operativo. Questa è la configurazione applicabile alla maggior parte degli utenti mobili che accedono ai dati aziendali o dell'istituto di istruzione.
• L'Enterprise High Data Protection (Livello 3) introduce meccanismi avanzati di protezione dei dati, una configurazione avanzata del PIN e criteri di protezione delle app Mobile Threat Defense. Questa configurazione è auspicabile per gli utenti che accedono a dati ad alto rischio.

Per visualizzare le raccomandazioni specifiche per ogni livello di configurazione e le applicazioni minime che devono essere protette, consultare il documento Framework di protezione dei dati utilizzando i criteri di protezione delle app.

Indipendentemente dal fatto che il dispositivo sia iscritto a una soluzione di gestione unificata degli endpoint (UEM), è necessario creare un criterio di protezione delle app Intune sia per le app iOS che per quelle Android, seguendo la procedura descritta in Come creare e assegnare i criteri di protezione delle app. È necessario che questi criteri soddisfino le seguenti condizioni:

• Includono tutte le applicazioni mobili di Microsoft 365, come Edge, Outlook, OneDrive, Office o Teams, in modo da garantire che gli utenti possano accedere e manipolare i dati di lavoro o scolastici all'interno di qualsiasi applicazione Microsoft in modo sicuro.

• Devono essere assegnati a tutti gli utenti. In questo modo si garantisce la protezione di tutti gli utenti, indipendentemente dal fatto che usino Outlook per iOS o Android.

• Determinare quale livello di framework soddisfa i requisiti. La maggior parte delle organizzazioni dovrebbe implementare le impostazioni definite in Protezione avanzata dei dati aziendali (livello 2), in quanto consentono di controllare la protezione dei dati e i requisiti di accesso.

Per ulteriori informazioni sulle impostazioni disponibili, vedere Impostazioni dei criteri di protezione delle app Android e Impostazioni dei criteri di protezione delle app iOS.

Usare la configurazione dell'app

Outlook per iOS e Android supporta le impostazioni delle app che consentono agli amministratori della gestione unificata degli endpoint di personalizzare il comportamento dell'app. Microsoft Intune, una soluzione di gestione unificata degli endpoint, viene comunemente usato per configurare e assegnare app agli utenti finali dell'organizzazione.

La configurazione delle app può essere fornita attraverso il canale del sistema operativo di gestione dei dispositivi mobili (MDM) sui dispositivi iscritti (canale Managed App Configuration per iOS o canale Android in the Enterprise per Android) o attraverso il canale Intune App Protection Policy (APP). Outlook per iOS e Android supporta gli scenari di configurazione seguenti:

• Consentire solo account aziendali o dell'istituto di istruzione
• Impostazioni generali di configurazione dell'app
• Impostazioni S/MIME
• Impostazioni di protezione dei dati

Per i passaggi procedurali specifici e la documentazione dettagliata sulle impostazioni di configurazione delle app, Outlook per iOS e Android, vedere Distribuzione delle impostazioni di configurazione delle app di Outlook per iOS e Android.

Passaggi successivi

• Che cosa sono i criteri di protezione delle app?
• Criteri di configurazione delle app per Microsoft Intune