Cómo implementar KeePassium con Intune
Esta guía está dirigida a administradores de TI que necesitan gestionar KeePassium en un entorno corporativo administrado con Microsoft Intune.
KeePassium funciona con Intune. El nivel de compatibilidad depende de la edición de la app:
- KeePassium y KeePassium Pro están diseñadas como apps personales para usuarios finales. Pueden implementarse mediante Intune, pero no aceptan directivas de protección de aplicaciones. En consecuencia, solo pueden funcionar como apps del perímetro personal.
- KeePassium for Intune es una app dedicada, creada específicamente con el SDK de Intune. Puede implementarse como app de trabajo gestionada por directivas y aplicará las directivas de protección y de configuración de aplicaciones.
El resto de esta guía se refiere a KeePassium for Intune. Por brevedad, la llamaremos simplemente KeePassium.
Directivas compatibles
La configuración de las directivas de protección de aplicaciones (APP) la aplica el SDK de Intune compilado dentro de la app. La mayoría de estos ajustes se aplican sin que la app tenga conocimiento de ello. Según Microsoft, los ajustes básicos de APP se aplican a todas las apps administradas. En cambio, los ajustes avanzados de APP dependen del estado de inscripción del dispositivo.
KeePassium también admite la concesión de acceso condicional "Requerir directiva de protección de aplicaciones".
Por último, puede crear una directiva de configuración de aplicaciones para controlar los parámetros de la app administrada (AppConfig).
⚠️ Sin autorrelleno
KeePassium for Intune no dispone de la función de autorrelleno de contraseñas, ya que el SDK de Intune no la admite.
Instalación
KeePassium for Intune está publicada en el App Store como app gratuita. Puede añadirla siguiendo la guía de Microsoft: Agregar aplicaciones de la tienda iOS a Microsoft Intune
Configuración
Una vez añadida la app, cree una directiva de configuración de aplicaciones:
- En el centro de administración de Intune, abra Aplicaciones --> Directivas de configuración de aplicaciones
- Haga clic en Agregar y seleccione el contexto necesario. Para esta guía, seleccionaremos Aplicaciones administradas.
- Asigne un nombre a la directiva y establezca Destino en Aplicaciones seleccionadas
- Haga clic en Seleccionar aplicaciones públicas, busque "KeePassium for Intune", haga clic en ella y luego en Seleccionar.
- Haga clic en Siguiente hasta llegar a la pestaña Configuración
- Cree dos parámetros de configuración:
license— su clave de licencia empresarial. Contáctenos para obtener una.supportEmail— dirección de correo electrónico para todas las solicitudes de soporte desde la app. Configúrela con su contacto de soporte interno, de modo que pueda controlar qué datos de diagnóstico llegan al soporte externo.
- Si es necesario, puede añadir otros parámetros de configuración administrada.
- Haga clic en Siguiente y asigne la directiva de configuración a los grupos correspondientes.
- Haga clic en Siguiente, revise la directiva y haga clic en Crear para finalizar la configuración de la app.
Configuración en el dispositivo
- En el primer inicio, KeePassium for Intune pedirá al usuario que inicie sesión con su cuenta de trabajo. Esto lo requiere el SDK de Intune y no está relacionado con las funciones de KeePassium.
- Una vez que Intune identifica al usuario y obtiene las directivas correspondientes, la app se reinicia con dichas directivas aplicadas.
- A todos los demás efectos, la app sigue funcionando como la versión estándar de KeePassium, con todas las funciones habilitadas (con las restricciones de directiva, si están configuradas).
Permisos de acceso
KeePassium for Intune requiere dos permisos:
User.Read— permite a los usuarios iniciar sesión en la app, de modo que Intune pueda aplicar las directivas correspondientes.DeviceManagementManagedApps.ReadWrite— permite a la app leer y escribir los datos del usuario relacionados con ella misma en la administración de aplicaciones móviles de Intune. Esto es requerido por el SDK de Intune.
Puede conceder estos permisos para todo el inquilino.
API de OneDrive
La sincronización con OneDrive requiere permisos adicionales, para que los usuarios puedan acceder a sus propias bases de datos y a las compartidas. Consulte: Cómo sincronizar con OneDrive.
Solución de problemas
KeePassium no ha podido encontrar la cuenta de empresa de su organización
Esto significa que KeePassium no ha podido encontrar una licencia empresarial válida entre los parámetros de configuración administrada. Asegúrese de seguir los pasos de configuración de la app y de que su clave de licencia sea válida.
La directiva de protección de aplicaciones no se aplica en los dispositivos cliente
Compruebe que la directiva está dirigida al grupo correcto. Además, tenga en cuenta que la entrega de directivas en Intune puede tardar varias horas: Comprender el tiempo de entrega de las directivas de protección de aplicaciones
La cuenta tiene licencia para Intune, pero no es destinataria de ninguna directiva MAM
Este error proviene de la biblioteca de Intune. Según su sistema de seguimiento de incidencias, las causas más probables son:
- Debe existir una directiva de protección de aplicaciones configurada para la app. Asegúrese de crearla en el contexto correcto (dispositivo / usuario).
- En algunos entornos, la directiva de configuración de aplicaciones debe incluir varias claves predefinidas:
Clave Valor IntuneMAMUPN{{userprincipalname}}IntuneMAMOID{{userid}}IntuneMAMDeviceID{{deviceID}}
Se necesita la aprobación del administrador
Esto puede ocurrir si el usuario que inicia sesión en KeePassium no tiene permiso para dar su consentimiento a que las apps accedan a los datos de su organización.
La solución es conceder el consentimiento desde una cuenta de administrador. La URL para conceder el consentimiento de administrador para todo el inquilino para KeePassium for Intune es:
https://login.microsoftonline.com/organizations/adminconsent?client_id=292a80b3-139a-4165-a20d-b2d2e764e538Pegue esta URL en su navegador, inicie sesión con una cuenta de administrador, revise los permisos solicitados y haga clic en Aceptar.
Si administra varios inquilinos, puede que necesite ajustar la URL como se describe en el artículo de Microsoft.