MAM SDK-Richtlinien für Drittanbieter-Apps für iOS

Dieser Artikel beschreibt die MAM SDK-Richtlinien für Drittanbieter-Apps für iOS. Sie können die Richtlinieneinstellungen direkt in den Richtlinien-XML-Dateien oder in der Citrix Endpoint Management™-Konsole ändern, wenn Sie eine App hinzufügen.

App-Netzwerkzugriff

Netzwerkzugriff

• Hinweis:

• Getunnelt – Web-SSO ist die Bezeichnung für Sicheres Browsen in den Einstellungen. Das Verhalten ist dasselbe.

Die Einstellungsoptionen sind wie folgt:

• Blockiert: Von Ihrer App verwendete Netzwerk-APIs schlagen fehl. Gemäß der vorherigen Richtlinie sollten Sie einen solchen Fehler ordnungsgemäß behandeln.
• Uneingeschränkt: Alle Netzwerkaufrufe erfolgen direkt und werden nicht getunnelt.
• Getunnelt – Web-SSO: Die HTTP/HTTPS-URL wird umgeschrieben. Diese Option ermöglicht nur das Tunneln von HTTP- und HTTPS-Datenverkehr. Ein wesentlicher Vorteil von Getunnelt – Web-SSO ist das Single Sign-On (SSO) für HTTP- und HTTPS-Datenverkehr sowie die PKINIT-Authentifizierung. Unter Android hat diese Option einen geringen Einrichtungsaufwand und ist daher die bevorzugte Option für Web-Browsing-Vorgänge.

Authentifizierung

App-Passcode

Wenn Ein, ist eine PIN oder ein Passcode erforderlich, um die App zu entsperren, wenn sie nach einer Zeit der Inaktivität startet oder fortgesetzt wird. Der Standardwert ist Ein.

Um den Inaktivitäts-Timer für alle Apps zu konfigurieren, legen Sie den Wert für INACTIVITY_TIMER in Minuten unter Client-Eigenschaften auf der Registerkarte Einstellungen fest. Der Standardwert für den Inaktivitäts-Timer beträgt 60 Minuten. Um den Inaktivitäts-Timer zu deaktivieren, sodass eine PIN- oder Passcode-Eingabeaufforderung nur beim Start der App angezeigt wird, setzen Sie den Wert auf Null.

• Hinweis:

• Wenn Sie für die Richtlinie für Verschlüsselungsschlüssel die Option Sicher offline auswählen, wird diese Richtlinie automatisch aktiviert.

• Maximale Offline-Dauer (Stunden)

Definiert die maximale Dauer, die eine App ausgeführt werden kann, ohne die App-Berechtigung erneut zu bestätigen und Richtlinien von Citrix Endpoint Management zu aktualisieren. Nach Ablauf kann bei Bedarf eine Anmeldung am Server ausgelöst werden. Der Standardwert beträgt 168 Stunden (7 Tage). Die Mindestdauer beträgt 1 Stunde.

App-Protokolle

Standard-Protokollausgabe

Legt fest, welche Ausgabemedien von den Diagnoseprotokollierungsfunktionen mobiler Produktivitäts-Apps standardmäßig verwendet werden. Mögliche Optionen sind Datei, Konsole oder beides. Der Standardwert ist Datei.

Standard-Protokollstufe

Steuert die Standard-Ausführlichkeit der Diagnoseprotokollierungsfunktion mobiler Produktivitäts-Apps. Jede Stufe umfasst Stufen mit geringeren Werten. Der Bereich der möglichen Stufen umfasst:

• 0 - Nichts protokolliert
• 1 - Kritische Fehler
• 2 - Fehler
• 3 - Warnungen
• 4 - Informationsmeldungen
• 5 - Detaillierte Informationsmeldungen
• 6 bis 15 - Debug-Stufen 1 bis 10

Der Standardwert ist Stufe 4 (Informationsmeldungen).

Maximale Anzahl Protokolldateien

Begrenzt die Anzahl der Protokolldateien, die von der Diagnoseprotokollierungsfunktion mobiler Produktivitäts-Apps vor dem Rollover beibehalten werden. Das Minimum ist 2. Das Maximum ist 8. Der Standardwert ist 2.

Maximale Größe der Protokolldatei

Begrenzt die Größe in Megabyte (MB) der Protokolldateien, die von der Diagnoseprotokollierungsfunktion mobiler Produktivitäts-Apps vor dem Rollover beibehalten werden. Das Minimum ist 1 MB. Das Maximum ist 5 MB. Der Standardwert ist 2 MB.

URLs in Protokollen verschleiern

Wenn Ein, werden System- oder Konsolenprotokolle einer App abgefangen und an die Diagnosefunktion der mobilen Produktivitäts-Apps umgeleitet. Wenn Aus, wird die Nutzung von System- oder Konsolenprotokollen durch die App nicht abgefangen.

Der Standardwert ist Ein.

App-Protokolle blockieren

• Wenn Ein, wird einer App die Nutzung der Diagnoseprotokollierungsfunktion mobiler Produktivitäts-Apps untersagt. Wenn Aus, werden App-Protokolle aufgezeichnet und können über die E-Mail-Supportfunktion von Secure Hub gesammelt werden. Der Standardwert ist Aus.

• App-Interaktion

Ausschneiden und Kopieren

Blockiert, erlaubt oder schränkt Ausschneide- und Kopiervorgänge der Zwischenablage für diese App ein. Wenn Eingeschränkt, werden die kopierten Zwischenablagedaten in einer privaten Zwischenablage abgelegt, die nur für Apps verfügbar ist. Der Standardwert ist Eingeschränkt.

Einfügen

Blockiert, erlaubt oder schränkt Einfügevorgänge der Zwischenablage für diese App ein. Wenn Eingeschränkt, stammen die eingefügten Zwischenablagedaten aus einer privaten Zwischenablage, die nur für Apps verfügbar ist. Der Standardwert ist Uneingeschränkt.

Dokumentenaustausch (Öffnen in)

Blockiert, erlaubt oder schränkt Dokumentenaustauschvorgänge für diese App ein. Wenn Eingeschränkt, können Dokumente nur mit anderen Apps ausgetauscht werden.

Wenn Uneingeschränkt, setzen Sie die Richtlinie “Verschlüsselung aktivieren” auf Ein, damit Benutzer Dokumente in nicht-gewrappten Apps öffnen können. Wenn die empfangende App nicht-gewrappt ist oder die Verschlüsselung deaktiviert hat, entschlüsselt Citrix Endpoint Management das Dokument. Der Standardwert ist Eingeschränkt.

Ausnahmeliste für eingeschränktes Öffnen in

Wenn die Richtlinie “Dokumentenaustausch (Öffnen in)” auf Eingeschränkt gesetzt ist, kann eine App Dokumente mit dieser durch Kommas getrennten Liste nicht verwalteter App-IDs teilen, selbst wenn die Richtlinie “Dokumentenaustausch (Öffnen in)” auf Eingeschränkt und “Verschlüsselung aktivieren” auf Ein gesetzt ist. Die Standard-Ausnahmeliste erlaubt Office 365-Apps:

com.microsoft.Office.Word,com.microsoft.Office.Excel,com.microsoft.Office.Powerpoint, com.microsoft.onenote,com.microsoft.onenoteiPad,com.microsoft.Office.Outlook

• Nur Office 365-Apps werden für diese Richtlinie unterstützt.

• Vorsicht:

• Berücksichtigen Sie unbedingt die Sicherheitsauswirkungen dieser Richtlinie. Die Ausnahmeliste ermöglicht den Austausch von Inhalten zwischen nicht verwalteten Apps und der MAM SDK-Umgebung.

• Eingehender Dokumentenaustausch (Öffnen in)

Blockiert, schränkt ein oder erlaubt eingehende Dokumentenaustauschvorgänge für diese App. Wenn Eingeschränkt, können Dokumente nur mit anderen Apps ausgetauscht werden. Der Standardwert ist Uneingeschränkt.

Wenn Blockiert oder Eingeschränkt, können Sie die Whitelist-Richtlinie für eingehenden Dokumentenaustausch verwenden, um Apps anzugeben, die Dokumente an diese App senden können.

Hinweis:

Die Whitelist-Richtlinie für eingehenden Dokumentenaustausch unterstützt nur Geräte, die unter iOS 12 ausgeführt werden.

Optionen: Uneingeschränkt, Blockiert oder Eingeschränkt

App-URL-Schemas

iOS-Apps können URL-Anfragen an andere Apps senden, die für die Verarbeitung bestimmter Schemas (z. B. “http://”) registriert wurden. Diese Funktion bietet einen Mechanismus für eine App, um Hilfeanfragen an eine andere App weiterzuleiten. Diese Richtlinie dient dazu, die Schemas zu filtern, die zur Verarbeitung an diese App übergeben werden (d. h. eingehende URLs). Der Standardwert ist leer, was bedeutet, dass alle registrierten App-URL-Schemas blockiert werden.

Die Richtlinie sollte als kommagetrennte Liste von Mustern formatiert sein, wobei jedem Muster ein Pluszeichen “+” oder ein Minuszeichen “-“ vorangestellt sein kann. Eingehende URLs werden der Reihe nach mit den Mustern verglichen, bis eine Übereinstimmung gefunden wird. Sobald eine Übereinstimmung gefunden wurde, wird die ausgeführte Aktion durch das Präfix bestimmt.

• Ein Minuszeichen-Präfix “-“ blockiert die Weitergabe der URL an diese App.
• Ein Pluszeichen-Präfix “+” erlaubt die Weitergabe der URL an die App zur Verarbeitung.
• Wenn weder “+” noch “-“ mit dem Muster angegeben ist, wird “+” (erlauben) angenommen.
• Wenn eine eingehende URL keinem Muster in der Liste entspricht, wird die URL blockiert.

Die folgende Tabelle enthält Beispiele für App-URL-Schemas:

App-Interaktion (ausgehende URL)

Zulässige URLs

iOS-Apps können URL-Anfragen an andere Anwendungen senden, die für die Verarbeitung bestimmter Schemata (wie z.B. "http://") registriert wurden. Diese Funktion bietet einen Mechanismus, damit eine App Hilfeanfragen an eine andere App weiterleiten kann. Diese Richtlinie dient dazu, die URLs zu filtern, die von dieser App zur Verarbeitung an andere Apps übergeben werden (d.h. ausgehende URLs).

Die Richtlinie sollte als kommagetrennte Liste von Mustern formatiert sein, wobei jedem Muster ein Pluszeichen “+” oder ein Minuszeichen “-“ vorangestellt sein kann. Ausgehende URLs werden in der angegebenen Reihenfolge mit den Mustern verglichen, bis eine Übereinstimmung gefunden wird. Sobald eine Übereinstimmung gefunden wurde, wird die ausgeführte Aktion durch das Präfix bestimmt. Ein Minuszeichen-Präfix “-“ blockiert die Weitergabe der URL an eine andere App. Ein Pluszeichen-Präfix “+” erlaubt die Weitergabe der URL an eine andere App zur Verarbeitung. Wenn weder “+” noch “-“ mit dem Muster angegeben ist, wird “+” (erlauben) angenommen. Ein Wertepaar, getrennt durch “=”, zeigt eine Ersetzung an, bei der Vorkommen der ersten Zeichenfolge durch die zweite ersetzt werden. Sie können das reguläre Ausdrucks-Präfix “^” für die Suchzeichenfolge verwenden, um sie am Anfang der URL zu verankern. Wenn eine ausgehende URL mit keinem Muster in der Liste übereinstimmt, wird sie blockiert.

Konformität

Gerätepasscode

Wenn Ein, ist ein PIN oder Passcode erforderlich, um das Gerät zu entsperren, wenn es startet oder nach einer Zeit der Inaktivität fortgesetzt wird. Ein Gerätepasscode ist erforderlich, um App-Daten mithilfe der Apple-Dateiverschlüsselung zu verschlüsseln. Daten für alle Apps auf dem Gerät werden verschlüsselt. Standardwert ist Aus.

Jailbreak oder Root blockieren

Wenn Ein, wird die App gesperrt, wenn das Gerät einen Jailbreak hat oder gerootet ist. Wenn Aus, kann die App auch dann ausgeführt werden, wenn das Gerät einen Jailbreak hat oder gerootet ist. Standardwert ist Ein.

Verhalten bei nicht konformen Geräten

Ermöglicht die Auswahl einer Aktion, wenn ein Gerät die Mindestanforderungen an die Verschlüsselungskonformität nicht erfüllt. Wählen Sie App zulassen, damit die App normal ausgeführt wird. Wählen Sie App nach Warnung zulassen, damit die App nach dem Erscheinen der Warnung ausgeführt wird. Wählen Sie Blockieren, um die Ausführung der App zu blockieren. Standardwert ist App nach Warnung zulassen.

App-Daten bei Sperrung löschen

Löscht Daten und setzt die App zurück, wenn die App gesperrt ist. Wenn Aus, werden App-Daten nicht gelöscht, wenn die App gesperrt ist. Standardwert ist Aus.

Eine App kann aus einem der folgenden Gründe gesperrt werden:

• Verlust der App-Berechtigung für den Benutzer
• App-Abonnement entfernt
• Konto entfernt
• Secure Hub deinstalliert
• Zu viele App-Authentifizierungsfehler
• Jailbreak-Gerät erkannt (gemäß Richtlinieneinstellung)
• Gerät durch andere administrative Maßnahmen in den gesperrten Zustand versetzt

Aktives Abfrageintervall (Minuten)

Wenn eine App startet, fragt das MAM SDK Framework Citrix Endpoint Management ab, um den aktuellen App- und Gerätestatus zu ermitteln. Wenn der Server, auf dem Endpoint Management ausgeführt wird, erreichbar ist, gibt das Framework Informationen über den Sperr-/Löschstatus des Geräts und den Aktivierungs-/Deaktivierungsstatus der App zurück. Unabhängig davon, ob der Server erreichbar ist oder nicht, wird eine nachfolgende Abfrage basierend auf dem aktiven Abfrageintervall geplant. Nach Ablauf des Zeitraums wird erneut eine Abfrage versucht. Standardwert ist 60 Minuten (1 Stunde).

Wichtig:

Setzen Sie diesen Wert nur für Apps mit hohem Risiko herab, da sonst die Leistung beeinträchtigt werden kann.

Kulanzzeitraum für App-Updates (Stunden)

Definiert den Kulanzzeitraum, in dem eine App weiterhin verwendet werden kann, nachdem das System festgestellt hat, dass ein App-Update verfügbar ist. Standardwert ist 168 Stunden (7 Tage).

Hinweis:

Die Verwendung des Werts Null wird nicht empfohlen, da dies eine laufende App sofort daran hindert, verwendet zu werden, bis das Update heruntergeladen und installiert ist (ohne Warnung an den Benutzer). Dies könnte dazu führen, dass der Benutzer gezwungen ist, die App zu beenden (wobei möglicherweise Arbeit verloren geht), um dem erforderlichen Update nachzukommen.

App-Einschränkungen

Wichtig:

Berücksichtigen Sie unbedingt die Sicherheitsauswirkungen von Richtlinien, die Apps den Zugriff auf oder die Nutzung von Telefonfunktionen blockieren. Wenn diese Richtlinien Aus sind, können Inhalte zwischen nicht verwalteten Apps und der sicheren Umgebung übertragen werden.

Kamera blockieren

Wenn Ein, wird verhindert, dass eine App die Kamerahardware direkt verwendet. Standardwert ist AUS.

Fotobibliothek blockieren

Wenn Ein, wird verhindert, dass eine App auf die Fotobibliothek auf dem Gerät zugreift. Standardwert ist Ein.

Mikrofonaufnahme blockieren

Wenn Ein, wird verhindert, dass eine App die Mikrofonhardware direkt verwendet. Standardwert ist Ein.

Diktat blockieren

Wenn Ein, wird verhindert, dass eine App Diktierdienste direkt verwendet. Standardwert ist Ein.

Standortdienste blockieren

Wenn Ein, wird verhindert, dass eine App die Komponenten der Standortdienste (GPS oder Netzwerk) verwendet. Standardwert ist Aus für Secure Mail.

SMS-Verfassen blockieren

Wenn Ein, wird verhindert, dass eine App die SMS-Verfassen-Funktion zum Senden von SMS/Textnachrichten aus der App verwendet. Standardwert ist Ein.

iCloud blockieren

Wenn Ein, wird verhindert, dass eine App iCloud zum Speichern und Teilen von Einstellungen und Daten verwendet.

Hinweis:

Die iCloud-Datendatei wird durch die Richtlinie zum Blockieren von Dateisicherungen gesteuert.

Standardwert ist Ein.

Nachschlagen blockieren

Wenn Ein, wird verhindert, dass eine App die Nachschlagefunktion verwendet, die nach markiertem Text im Wörterbuch, in iTunes, im App Store, nach Filmvorführzeiten, Orten in der Nähe und mehr sucht. Standardwert ist Ein.

Dateisicherung blockieren

Wenn Ein, wird verhindert, dass Datendateien von iCloud oder iTunes gesichert werden. Standardwert ist Ein.

AirPrint blockieren

Wenn Ein, wird verhindert, dass eine App AirPrint-Funktionen zum Drucken von Daten auf AirPrint-fähigen Druckern verwendet. Standardwert ist Ein.

AirDrop blockieren

Wenn Ein, wird verhindert, dass eine App AirDrop verwendet. Standardwert ist Ein.

Facebook- und Twitter-APIs blockieren

Wenn Ein, wird verhindert, dass eine App die iOS Facebook- und Twitter-APIs verwendet. Standardwert ist Ein.

Bildschirminhalte verdecken

Wenn Ein, wird der Bildschirm verdeckt, wenn Benutzer Apps wechseln. Diese Richtlinie verhindert, dass iOS Bildschirminhalte aufzeichnet und Miniaturansichten anzeigt. Standardwert ist Ein.

Tastaturen von Drittanbietern blockieren (nur iOS 11 und höher)

Wenn Ein, wird verhindert, dass eine App Tastaturerweiterungen von Drittanbietern unter iOS 8+ verwendet. Standardwert ist Ein.

App-Geofence

Längengrad des Mittelpunkts

Längengrad (X-Koordinate) des Mittelpunkts des Punkt-/Radius-Geofence, in dem die App betrieben werden darf. Wird die App außerhalb des konfigurierten Geofence betrieben, bleibt sie gesperrt.

Sollte im Format der vorzeichenbehafteten Gradangabe (DDD.dddd) ausgedrückt werden, z. B. „-31.9635“. Westliche Längengrade sollten mit einem Minuszeichen versehen werden. Standardwert ist 0.

Breitengrad des Mittelpunkts

Breitengrad (Y-Koordinate) des Mittelpunkts des Punkt-/Radius-Geofence, in dem die App betrieben werden darf. Wird die App außerhalb des konfigurierten Geofence betrieben, bleibt sie gesperrt.

Sollte im Format der vorzeichenbehafteten Gradangabe (DDD.dddd) ausgedrückt werden, z. B. „43.06581“. Südliche Breitengrade sollten mit einem Minuszeichen versehen werden. Standardwert ist 0.

Radius

Radius des Geofence, in dem die App betrieben werden darf. Wird die App außerhalb des konfigurierten Geofence betrieben, bleibt sie gesperrt.

Sollte in Metern ausgedrückt werden. Wenn auf Null gesetzt, ist der Geofence deaktiviert. Wenn die Richtlinie „Standortdienste blockieren“ aktiviert ist, funktioniert Geofencing nicht ordnungsgemäß. Standardwert ist 0 (deaktiviert).