Como implantar o KeePassium com o Intune
Este guia é destinado a administradores de TI que precisam gerenciar o KeePassium em um ambiente corporativo gerenciado pelo Microsoft Intune.
O KeePassium funciona com o Intune. O nível de compatibilidade depende da edição do app:
- KeePassium e KeePassium Pro foram projetados como apps pessoais para usuários finais. Eles podem ser implantados via Intune, mas não podem aceitar políticas de proteção de aplicativos. Como resultado, só podem funcionar como apps do perímetro pessoal.
- KeePassium for Intune é um app dedicado, criado especificamente com o SDK do Intune. Ele pode ser implantado como um app de trabalho gerenciado por políticas e aplicará as políticas de proteção e de configuração de aplicativos.
O restante deste guia se aplica ao KeePassium for Intune. Por brevidade, vamos chamá-lo apenas de KeePassium.
Políticas compatíveis
As configurações da Política de Proteção de Aplicativos (APP) são aplicadas pelo SDK do Intune compilado no app. A maioria das configurações de política é aplicada sem o conhecimento do app. De acordo com a Microsoft, as configurações principais de APP são aplicadas a todos os apps gerenciados. Por outro lado, as configurações avançadas de APP dependem do status de registro do dispositivo.
O KeePassium também é compatível com a concessão de acesso condicional "Exigir política de proteção de aplicativos".
Por fim, você pode criar uma política de configuração de aplicativos para controlar os parâmetros de apps gerenciados (AppConfig).
⚠️ Sem preenchimento automático
O KeePassium for Intune não tem o recurso de preenchimento automático de senhas, porque o SDK do Intune não é compatível com ele.
Instalação
O KeePassium for Intune é publicado na App Store como um app gratuito. Você pode adicioná-lo seguindo o guia da Microsoft: Adicionar aplicativos da loja iOS ao Microsoft Intune
Configuração
Depois que o app for adicionado, crie uma política de configuração de aplicativos:
- No centro de administração do Intune, abra Aplicativos --> Políticas de configuração de aplicativo
- Clique em Adicionar e selecione o contexto necessário. Para este guia, selecionaremos Aplicativos gerenciados.
- Dê um nome à sua política e defina Destino como Aplicativos selecionados
- Clique em Selecionar aplicativos públicos, localize "KeePassium for Intune", clique nele e depois clique em Selecionar.
- Clique em Avançar até chegar à guia Configurações
- Crie dois parâmetros de configuração:
license— sua chave de licença comercial. Fale conosco para obter uma.supportEmail— endereço de e-mail para todas as solicitações de suporte feitas pelo app. Defina-o como o contato de suporte interno da sua empresa, para que você possa controlar quais dados de diagnóstico chegam ao suporte externo.
- Se necessário, você pode adicionar outros parâmetros de configuração gerenciada.
- Clique em Avançar e atribua a política de configuração aos grupos apropriados.
- Clique em Avançar, revise a política e clique em Criar para concluir a configuração do app.
Configuração no dispositivo
- Na primeira execução, o KeePassium for Intune pedirá que o usuário inicie sessão com sua conta de trabalho. Isso é exigido pelo SDK do Intune e não está relacionado à funcionalidade do KeePassium.
- Depois que o Intune identificar o usuário e obtiver as políticas relevantes, o app é reiniciado com as políticas aplicadas.
- Para todos os demais fins, o app continua funcionando como a versão padrão do KeePassium, com todos os recursos ativados (com as restrições de política, se configuradas).
Permissões de acesso
O KeePassium for Intune requer duas permissões:
User.Read— permite que os usuários iniciem sessão no app, para que o Intune possa aplicar as políticas relevantes.DeviceManagementManagedApps.ReadWrite— permite que o app leia e grave os dados do usuário relacionados a ele próprio no Gerenciamento de Aplicativos Móveis do Intune. Isso é exigido pelo SDK do Intune.
Você pode conceder essas permissões para todo o locatário.
API do OneDrive
A sincronização com o OneDrive requer permissões adicionais, para que os usuários possam acessar seus próprios bancos de dados e os compartilhados. Consulte: Como sincronizar usando o OneDrive.
Solução de problemas
KeePassium não conseguiu encontrar a conta empresarial da sua organização
Isso significa que o KeePassium não conseguiu encontrar uma licença comercial válida entre os parâmetros de configuração gerenciada. Certifique-se de seguir as etapas de configuração do app e de que sua chave de licença é válida.
A política de proteção de aplicativos não é aplicada nos dispositivos dos clientes
Verifique se a política está direcionada ao grupo correto. Além disso, observe que a entrega de políticas no Intune pode levar várias horas: Entender o tempo de entrega da Política de Proteção de Aplicativos
A conta está licenciada para o Intune, mas não é destino de uma política MAM
Esse erro vem da biblioteca do Intune. De acordo com o rastreador de problemas deles, as causas mais prováveis são:
- Deve haver uma política de proteção de aplicativos configurada para o app. Certifique-se de que ela foi criada no contexto correto (dispositivo/usuário).
- Em alguns ambientes, a política de configuração de aplicativos deve incluir várias chaves predefinidas:
Chave Valor IntuneMAMUPN{{userprincipalname}}IntuneMAMOID{{userid}}IntuneMAMDeviceID{{deviceID}}
Necessária aprovação do administrador
Isso pode acontecer se o usuário que inicia sessão no KeePassium não tiver permissão para consentir que apps acessem os dados da sua organização.
A solução é conceder o consentimento a partir de uma conta de administrador. A URL para conceder o consentimento de administrador em todo o locatário para o KeePassium for Intune é:
https://login.microsoftonline.com/organizations/adminconsent?client_id=292a80b3-139a-4165-a20d-b2d2e764e538Cole essa URL no seu navegador, inicie sessão com uma conta de administrador, revise as permissões solicitadas e clique em Aceitar.
Se você gerencia vários locatários, talvez seja necessário ajustar a URL conforme descrito no artigo da Microsoft.