Políticas de MAM SDK para aplicaciones de terceros para iOS

Este artículo describe las políticas de MAM SDK para aplicaciones iOS de terceros. Puedes cambiar la configuración de las políticas directamente en los archivos XML de las políticas o en la consola de Citrix Endpoint Management™ cuando agregas una aplicación.

Acceso a la red de la aplicación

Acceso a la red

• Nota:

• Tunelizado - SSO web es el nombre de la Navegación segura en la configuración. El comportamiento es el mismo.

Las opciones de configuración son las siguientes:

• Bloqueado: Las API de red utilizadas por tu aplicación fallan. Según la directriz anterior, debes gestionar correctamente dicho fallo.
• Sin restricciones: Todas las llamadas de red van directamente y no están tunelizadas.
• Tunelizado - SSO web: La URL HTTP/HTTPS se reescribe. Esta opción permite solo la tunelización del tráfico HTTP y HTTPS. Una ventaja significativa de Tunelizado - SSO web es el inicio de sesión único (SSO) para el tráfico HTTP y HTTPS y también la autenticación PKINIT. En Android, esta opción tiene una baja sobrecarga de configuración y, por lo tanto, es la opción preferida para operaciones de navegación web.

Autenticación

Código de acceso de la aplicación

Si está Activado, se requiere un PIN o código de acceso para desbloquear la aplicación cuando se inicia o reanuda después de un período de inactividad. El valor predeterminado es Activado.

Para configurar el temporizador de inactividad para todas las aplicaciones, establece el valor de INACTIVITY_TIMER en minutos en Propiedades del cliente en la ficha Configuración. El valor predeterminado del temporizador de inactividad es de 60 minutos. Para desactivar el temporizador de inactividad, de modo que el mensaje de PIN o código de acceso aparezca solo cuando se inicia la aplicación, establece el valor en cero.

• Nota:

• Si seleccionas Sin conexión segura para la política de claves de cifrado, esta política se habilita automáticamente.

• Período máximo sin conexión (horas)

Define el período máximo que una aplicación puede ejecutarse sin volver a confirmar el derecho de la aplicación y sin actualizar las políticas de Citrix Endpoint Management. Al expirar, se puede activar el inicio de sesión en el servidor si es necesario. El valor predeterminado es 168 horas (7 días). El período mínimo es de 1 hora.

Registros de la aplicación

Salida de registro predeterminada

Determina qué medios de salida utilizan las funciones de registro de diagnóstico de las aplicaciones de productividad móvil de forma predeterminada. Las posibilidades son archivo, consola o ambos. El valor predeterminado es archivo.

Nivel de registro predeterminado

Controla la verbosidad predeterminada de la función de registro de diagnóstico de la aplicación de productividad móvil. Cada nivel incluye niveles de valores inferiores. El rango de niveles posibles incluye:

• 0 - Nada registrado
• 1 - Errores críticos
• 2 - Errores
• 3 - Advertencias
• 4 - Mensajes informativos
• 5 - Mensajes informativos detallados
• 6 a 15 - Niveles de depuración 1 a 10

El valor predeterminado es el nivel 4 (Mensajes informativos).

Archivos de registro máximos

Limita el número de archivos de registro conservados por la función de registro de diagnóstico de la aplicación de productividad móvil antes de la rotación. El mínimo es 2. El máximo es 8. El valor predeterminado es 2.

Tamaño máximo del archivo de registro

Limita el tamaño en megabytes (MB) de los archivos de registro conservados por la función de registro de diagnóstico de la aplicación de productividad móvil antes de la rotación. El mínimo es 1 MB. El máximo es 5 MB. El valor predeterminado es 2 MB.

Ocultar las URL en los registros

Si está Activado, intercepta y redirige los registros del sistema o de la consola de una aplicación a la función de diagnóstico de las aplicaciones de productividad móvil. Si está Desactivado, el uso de registros del sistema o de la consola por parte de la aplicación no se intercepta.

El valor predeterminado es Activado.

Bloquear registros de la aplicación

• Si está Activado, prohíbe que una aplicación utilice la función de registro de diagnóstico de la aplicación de productividad móvil. Si está Desactivado, los registros de la aplicación se graban y se pueden recopilar utilizando la función de asistencia por correo electrónico de Secure Hub. El valor predeterminado es Desactivado.

• Interacción de la aplicación

Cortar y copiar

Bloquea, permite o restringe las operaciones de cortar y copiar del Portapapeles para esta aplicación. Si está Restringido, los datos copiados del Portapapeles se colocan en un Portapapeles privado que solo está disponible para las aplicaciones. El valor predeterminado es Restringido.

Pegar

Bloquea, permite o restringe las operaciones de pegar del Portapapeles para esta aplicación. Si está Restringido, los datos pegados del Portapapeles provienen de un Portapapeles privado que solo está disponible para las aplicaciones. El valor predeterminado es Sin restricciones.

Intercambio de documentos (Abrir en)

Bloquea, permite o restringe las operaciones de intercambio de documentos para esta aplicación. Si está Restringido, los documentos solo se pueden intercambiar con otras aplicaciones.

Si está Sin restricciones, establece la política Habilitar cifrado en Activado para que los usuarios puedan abrir documentos en aplicaciones sin encapsular. Si la aplicación receptora no está encapsulada o tiene el cifrado deshabilitado, Citrix Endpoint Management descifra el documento. El valor predeterminado es Restringido.

Lista de excepciones de Abrir en restringido

Cuando la política Intercambio de documentos (Abrir en) está Restringida, una aplicación puede compartir documentos con esta lista de ID de aplicaciones no administradas separada por comas, incluso si la política Intercambio de documentos (Abrir en) está Restringida y Habilitar cifrado está Activado. La lista de excepciones predeterminada permite las aplicaciones de Office 365:

com.microsoft.Office.Word,com.microsoft.Office.Excel,com.microsoft.Office.Powerpoint, com.microsoft.onenote,com.microsoft.onenoteiPad,com.microsoft.Office.Outlook

• Solo las aplicaciones de Office 365 son compatibles con esta política.

• Precaución:

• Asegúrate de considerar las implicaciones de seguridad de esta política. La lista de excepciones permite que el contenido viaje entre aplicaciones no administradas y el entorno de MAM SDK.

• Intercambio de documentos entrantes (Abrir en)

Bloquea, restringe o permite las operaciones de intercambio de documentos entrantes para esta aplicación. Si está Restringido, los documentos solo se pueden intercambiar con otras aplicaciones. El valor predeterminado es Sin restricciones.

Si está Bloqueado o Restringido, puedes usar la política de lista blanca de intercambio de documentos entrantes para especificar las aplicaciones que pueden enviar documentos a esta aplicación.

Nota:

La política de lista blanca de intercambio de documentos entrantes solo es compatible con dispositivos que ejecutan iOS 12.

Opciones: Sin restricciones, Bloqueado o Restringido

Esquemas de URL de la aplicación

Las aplicaciones iOS pueden enviar solicitudes de URL a otras aplicaciones que se hayan registrado para manejar esquemas específicos (como “http://”). Esta función proporciona un mecanismo para que una aplicación pase solicitudes de ayuda a otra aplicación. Esta política sirve para filtrar los esquemas que se pasan a esta aplicación para su manejo (es decir, URL entrantes). El valor predeterminado está vacío, lo que significa que todos los esquemas de URL de aplicaciones registrados están bloqueados.

La política debe formatearse como una lista de patrones separada por comas en la que cada patrón puede ir precedido de un signo más “+” o un signo menos “-“. Las URL entrantes se comparan con los patrones en el orden indicado hasta que se encuentra una coincidencia. Una vez que coincide, la acción que se toma viene dictada por el prefijo.

• Un prefijo de signo menos “-“ bloquea que la URL se pase a esta aplicación.
• Un prefijo de signo más “+” permite que la URL se pase a la aplicación para su manejo.
• Si no se proporciona ni “+” ni “-“ con el patrón, se asume “+” (permitir).
• Si una URL entrante no coincide con ningún patrón de la lista, la URL se bloquea.

La siguiente tabla contiene ejemplos de esquemas de URL de aplicaciones:

Interacción de la aplicación (URL saliente)

URL permitidas

Las aplicaciones iOS pueden enviar solicitudes de URL a otras aplicaciones que se hayan registrado para gestionar esquemas específicos (como "http://"). Esta función proporciona un mecanismo para que una aplicación pase solicitudes de ayuda a otra aplicación. Esta política sirve para filtrar las URL que se pasan de esta aplicación a otras aplicaciones para su gestión (es decir, URL salientes).

La política debe estar formateada como una lista de patrones separados por comas, en la que cada patrón puede ir precedido de un signo más “+” o un signo menos “-“. Las URL salientes se comparan con los patrones en el orden indicado hasta que se encuentra una coincidencia. Una vez que coincide, la acción que se toma viene dictada por el prefijo. Un prefijo de signo menos “-“ bloquea que la URL se pase a otra aplicación. Un prefijo de signo más “+” permite que la URL se pase a otra aplicación para su gestión. Si no se proporciona ni “+” ni un signo menos “-“ con el patrón, se asume “+” (permitir). Un par de valores separados por “=” indica una sustitución donde las ocurrencias de la primera cadena se reemplazan por la segunda. Puedes usar el prefijo de expresión regular “^” para buscar una cadena y anclarla al principio de la URL. Si una URL saliente no coincide con ningún patrón de la lista, se bloquea.

Cumplimiento

Código de acceso del dispositivo

Si está Activado, se requiere un PIN o código de acceso para desbloquear el dispositivo cuando se inicia o se reanuda después de un período de inactividad. Se requiere un código de acceso del dispositivo para cifrar los datos de la aplicación mediante el cifrado de archivos de Apple. Los datos de todas las aplicaciones del dispositivo se cifran. El valor predeterminado es Desactivado.

Bloquear dispositivos con jailbreak o rooteados

Si está Activado, la aplicación se bloquea cuando el dispositivo tiene jailbreak o está rooteado. Si está Desactivado, la aplicación puede ejecutarse incluso si el dispositivo tiene jailbreak o está rooteado. El valor predeterminado es Activado.

Comportamiento del dispositivo no compatible

Te permite elegir una acción cuando un dispositivo no cumple los requisitos mínimos de cifrado. Selecciona Permitir aplicación para que la aplicación se ejecute con normalidad. Selecciona Permitir aplicación después de la advertencia para que la aplicación se ejecute después de que aparezca la advertencia. Selecciona Bloquear para impedir que la aplicación se ejecute. El valor predeterminado es Permitir aplicación después de la advertencia.

Borrar datos de la aplicación al bloquearla

Borra los datos y restablece la aplicación cuando la aplicación está bloqueada. Si está Desactivado, los datos de la aplicación no se borran cuando la aplicación está bloqueada. El valor predeterminado es Desactivado.

Una aplicación puede bloquearse por cualquiera de los siguientes motivos:

• Pérdida de derechos de la aplicación para el usuario
• Suscripción a la aplicación quitada
• Cuenta quitada
• Secure Hub desinstalado
• Demasiados errores de autenticación de la aplicación
• Dispositivo con jailbreak detectado (según la configuración de la directiva)
• Dispositivo puesto en estado bloqueado por otra acción administrativa

Período de consulta activa (minutos)

Cuando se inicia una aplicación, el marco de trabajo del SDK de MAM consulta Citrix Endpoint Management para determinar el estado actual de la aplicación y del dispositivo. Suponiendo que se pueda acceder al servidor que ejecuta Endpoint Management, el marco de trabajo devuelve información sobre el estado de bloqueo/borrado del dispositivo y el estado de activación/desactivación de la aplicación. Se pueda acceder o no al servidor, se programa una consulta posterior en función del intervalo del período de consulta activa. Una vez transcurrido el período, se intenta de nuevo una nueva consulta. El valor predeterminado es 60 minutos (1 hora).

Importante:

Solo establece este valor más bajo para aplicaciones de alto riesgo o el rendimiento podría verse afectado.

Período de gracia de actualización de la aplicación (horas)

Define el período de gracia durante el cual una aplicación puede seguir usándose después de que el sistema haya detectado que hay una actualización de la aplicación disponible. El valor predeterminado es 168 horas (7 días).

Nota:

No se recomienda usar un valor de cero, ya que impide inmediatamente que se use una aplicación en ejecución hasta que la actualización se descargue e instale (sin ninguna advertencia al usuario). Esto podría dar lugar a una situación en la que el usuario se vea obligado a salir de la aplicación (con la posible pérdida de trabajo) para cumplir con la actualización requerida.

Restricciones de la aplicación

Importante:

Asegúrate de tener en cuenta las implicaciones de seguridad de las directivas que impiden que las aplicaciones accedan o usen las funciones del teléfono. Cuando esas directivas están Desactivadas, el contenido puede viajar entre aplicaciones no administradas y el entorno seguro.

Bloquear cámara

Si está Activado, impide que una aplicación use directamente el hardware de la cámara. El valor predeterminado es DESACTIVADO.

Bloquear Fototeca

Si está Activado, impide que una aplicación acceda a la Fototeca del dispositivo. El valor predeterminado es Activado.

Bloquear grabación de micrófono

Si está Activado, impide que una aplicación use directamente el hardware del micrófono. El valor predeterminado es Activado.

Bloquear dictado

Si está Activado, impide que una aplicación use directamente los servicios de dictado. El valor predeterminado es Activado.

Bloquear servicios de ubicación

Si está Activado, impide que una aplicación use los componentes de los servicios de ubicación (GPS o red). El valor predeterminado es Desactivado para Secure Mail.

Bloquear redacción de SMS

Si está Activado, impide que una aplicación use la función de redacción de SMS que se usa para enviar mensajes SMS/de texto desde la aplicación. El valor predeterminado es Activado.

Bloquear iCloud

Si está Activado, impide que una aplicación use iCloud para almacenar y compartir configuraciones y datos.

Nota:

El archivo de datos de iCloud se controla mediante la directiva Bloquear copia de seguridad de archivos.

El valor predeterminado es Activado.

Bloquear función Buscar

Si está Activado, impide que una aplicación use la función Buscar, que busca texto resaltado en el Diccionario, iTunes, App Store, horarios de películas, ubicaciones cercanas y mucho más. El valor predeterminado es Activado.

Bloquear copia de seguridad de archivos

Si está Activado, impide que los archivos de datos se copien mediante iCloud o iTunes. El valor predeterminado es Activado.

Bloquear AirPrint

Si está Activado, impide que una aplicación use las funciones de AirPrint para imprimir datos en impresoras compatibles con AirPrint. El valor predeterminado es Activado.

Bloquear AirDrop

Si está Activado, impide que una aplicación use AirDrop. El valor predeterminado es Activado.

Bloquear API de Facebook y Twitter

Si está Activado, impide que una aplicación use las API de Facebook y Twitter de iOS. El valor predeterminado es Activado.

Ocultar contenido de la pantalla

Si está Activado, cuando los usuarios cambian de aplicación, la pantalla se oculta. Esta directiva impide que iOS grabe el contenido de la pantalla y muestre miniaturas. El valor predeterminado es Activado.

Bloquear teclados de terceros (solo iOS 11 y posterior)

Si está Activado, impide que una aplicación use extensiones de teclado de terceros en iOS 8 o posterior. El valor predeterminado es Activado.

Geocerca de la aplicación

Longitud del punto central

Longitud (coordenada X) del punto central de la geocerca de punto/radio en la que la aplicación está restringida a funcionar. Cuando se utiliza fuera de la geocerca configurada, la aplicación permanece bloqueada.

Debe expresarse en formato de grados con signo (DDD.dddd), por ejemplo, “-31.9635”. Las longitudes oeste deben ir precedidas de un signo menos. El valor predeterminado es 0.

Latitud del punto central

Latitud (coordenada Y) del punto central de la geocerca de punto/radio en la que la aplicación está restringida a funcionar. Cuando se utiliza fuera de la geocerca configurada, la aplicación permanece bloqueada.

Debe expresarse en formato de grados con signo (DDD.dddd), por ejemplo, “43.06581”. Las latitudes sur deben ir precedidas de un signo menos. El valor predeterminado es 0.

Radio

Radio de la geocerca en la que la aplicación está restringida a funcionar. Cuando se utiliza fuera de la geocerca configurada, la aplicación permanece bloqueada.

Debe expresarse en metros. Cuando se establece en cero, la geocerca se desactiva. Cuando la directiva Bloquear servicios de ubicación está activada, la geocerca no funciona correctamente. El valor predeterminado es 0 (desactivado).