Comment déployer KeePassium avec Intune
Ce guide s'adresse aux administrateurs informatiques qui doivent gérer KeePassium dans un environnement d'entreprise géré par Microsoft Intune.
KeePassium fonctionne avec Intune. Le niveau de compatibilité dépend de l'édition de l'application :
- KeePassium et KeePassium Pro sont conçues comme des applications personnelles pour les utilisateurs finaux. Elles peuvent être déployées via Intune, mais ne peuvent pas accepter de stratégies de protection des applications. Par conséquent, elles ne peuvent fonctionner que comme applications du périmètre personnel.
- KeePassium for Intune est une application dédiée, spécialement conçue avec le SDK Intune. Elle peut être déployée comme application professionnelle gérée par des stratégies et appliquera les stratégies de protection et de configuration des applications.
La suite de ce guide concerne KeePassium for Intune. Par souci de concision, nous l'appellerons simplement KeePassium.
Stratégies prises en charge
Les paramètres de stratégie de protection des applications (APP) sont appliqués par le SDK Intune compilé dans l'application. La plupart de ces paramètres sont appliqués à l'insu de l'application. Selon Microsoft, les paramètres APP de base sont appliqués pour toutes les applications managées. En revanche, les paramètres APP avancés dépendent de l'état d'inscription de l'appareil.
KeePassium prend également en charge le contrôle d'accès conditionnel « Exiger une stratégie de protection des applications ».
Enfin, vous pouvez créer une stratégie de configuration d'application pour contrôler les paramètres d'application managée (AppConfig).
⚠️ Pas de saisie automatique
KeePassium for Intune ne dispose pas de la fonction de saisie automatique des mots de passe, car le SDK Intune ne la prend pas en charge.
Installation
KeePassium for Intune est publiée sur l'App Store en tant qu'application gratuite. Vous pouvez l'ajouter en suivant le guide de Microsoft : Ajouter des applications de l'App Store iOS à Microsoft Intune
Configuration
Une fois l'application ajoutée, créez une stratégie de configuration d'application :
- Dans le centre d'administration Intune, ouvrez Applications --> Stratégies de configuration d'applications
- Cliquez sur Ajouter et sélectionnez le contexte approprié. Pour ce guide, nous choisirons Applications managées.
- Donnez un nom à votre stratégie et définissez Cible sur Applications sélectionnées
- Cliquez sur Sélectionner des applications publiques, recherchez « KeePassium for Intune », cliquez dessus, puis cliquez sur Sélectionner.
- Cliquez sur Suivant jusqu'à atteindre l'onglet Paramètres
- Créez deux paramètres de configuration :
license— votre clé de licence professionnelle. Contactez-nous pour en obtenir une.supportEmail— adresse e-mail pour toutes les demandes d'assistance depuis l'application. Définissez-la sur votre contact d'assistance interne, afin de contrôler quelles données de diagnostic parviennent au support externe.
- Si nécessaire, vous pouvez ajouter d'autres paramètres de configuration managée.
- Cliquez sur Suivant et affectez la stratégie de configuration aux groupes appropriés.
- Cliquez sur Suivant, vérifiez la stratégie et cliquez sur Créer pour finaliser la configuration de l'application.
Configuration sur l'appareil
- Au premier lancement, KeePassium for Intune demandera à l'utilisateur de se connecter avec son compte professionnel. Cela est exigé par le SDK Intune et n'a aucun lien avec les fonctionnalités de KeePassium.
- Une fois qu'Intune a identifié l'utilisateur et récupéré les stratégies pertinentes, l'application redémarre avec les stratégies appliquées.
- Pour tout le reste, l'application continue de fonctionner comme la version standard de KeePassium, avec toutes les fonctionnalités activées (sous réserve des restrictions de stratégie, le cas échéant).
Autorisations d'accès
KeePassium for Intune nécessite deux autorisations :
User.Read— permet aux utilisateurs de se connecter à l'application, afin qu'Intune puisse appliquer les stratégies pertinentes.DeviceManagementManagedApps.ReadWrite— permet à l'application de lire et d'écrire les données de l'utilisateur la concernant dans la gestion des applications mobiles Intune. Cette autorisation est requise par le SDK Intune.
Vous pouvez accorder ces autorisations pour l'ensemble du locataire.
API OneDrive
La synchronisation avec OneDrive nécessite des autorisations supplémentaires, afin que les utilisateurs puissent accéder à leurs propres bases de données et à celles qui sont partagées. Voir : Comment synchroniser avec OneDrive.
Dépannage
KeePassium ne retrouve pas le compte d'entreprise de votre organisation
Cela signifie que KeePassium n'a pas trouvé de licence professionnelle valide parmi les paramètres de configuration managée. Assurez-vous d'avoir suivi les étapes de configuration de l'application et que votre clé de licence est valide.
La stratégie de protection des applications n'est pas appliquée sur les appareils clients
Vérifiez que la stratégie cible le bon groupe. Notez également que la distribution des stratégies dans Intune peut prendre plusieurs heures : Comprendre le délai de remise des stratégies de protection des applications
Le compte dispose d'une licence Intune mais n'est pas ciblé par une stratégie MAM
Cette erreur provient de la bibliothèque Intune. D'après leur outil de suivi des problèmes, les causes les plus probables sont :
- Une stratégie de protection des applications doit être configurée pour l'application. Assurez-vous qu'elle est créée dans le bon contexte (appareil / utilisateur).
- Dans certains environnements, la stratégie de configuration d'application doit inclure plusieurs clés prédéfinies :
Clé Valeur IntuneMAMUPN{{userprincipalname}}IntuneMAMOID{{userid}}IntuneMAMDeviceID{{deviceID}}
Approbation de l'administrateur nécessaire
Cela peut se produire si l'utilisateur qui se connecte à KeePassium n'est pas autorisé à consentir à ce que des applications accèdent aux données de votre organisation.
La solution consiste à accorder le consentement depuis un compte administrateur. L'URL permettant d'accorder le consentement administrateur à l'échelle du locataire pour KeePassium for Intune est :
https://login.microsoftonline.com/organizations/adminconsent?client_id=292a80b3-139a-4165-a20d-b2d2e764e538Collez cette URL dans votre navigateur, connectez-vous avec un compte administrateur, vérifiez les autorisations demandées et cliquez sur Accepter.
Si vous gérez plusieurs locataires, vous devrez peut-être adapter l'URL comme décrit dans l'article de Microsoft.