Stratégies SDK MAM pour les applications tierces pour iOS

Cet article décrit les stratégies SDK MAM pour les applications tierces iOS. Vous pouvez modifier les paramètres de stratégie directement dans les fichiers XML de stratégie ou dans la console Citrix Endpoint Management lorsque vous ajoutez une application.

Accès au réseau d’applications

Accès réseau

Remarque :

Tunnel - SSO Web est le nom de Secure Browse dans les paramètres. Le comportement est le même.

Les options de paramètres sont les suivantes :

• Bloqué : les API de mise en réseau utilisées par votre application échouent. Conformément à la recommandation précédente, vous devriez traiter un tel échec de façon appropriée.
• Sans restriction : tous les appels réseau ont un accès direct et ne sont pas tunnélisés.
• Tunnel - SSO Web : l’URL HTTP/HTTPS est réécrite. Cette option permet uniquement le tunneling du trafic HTTP et HTTPS. Un avantage important de Tunnel - SSO Web est l’authentification unique (SSO) pour le trafic HTTP et HTTPS ainsi que l’authentification PKINIT. Sur Android, cette option a une charge de configuration faible et il s’agit donc de l’option préférée pour les opérations de type navigation Web.

Authentification

Code secret d’application

Si cette option est définie Activé, un code PIN ou un code secret est requis pour déverrouiller l’application lorsque l’application démarre ou reprend après une période d’inactivité. La valeur par défaut est Activé.

Pour configurer l’inactivité du minuteur pour toutes les applications, définissez la valeur INACTIVITY_TIMER en minutes dans Propriétés du client sur l’onglet Paramètres. Par défaut, la valeur du délai d’inactivité est de 60 minutes. Pour désactiver le délai d’inactivité, de façon à ce qu’une invite de saisie du code PIN ou du code secret invite s’affiche uniquement lorsque l’application démarre, définissez la valeur sur zéro.

Remarque :

si vous sélectionnez Secure offline pour la stratégie Clés de cryptage, cette stratégie est automatiquement activée.

Période hors connexion maximale (heures)

Définit la durée maximale pendant laquelle une application peut s’exécuter sans avoir à reconfirmer les identifiants liés à l’application ni à actualiser les stratégies de Citrix Endpoint Management. À l’expiration, une ouverture de session sur le serveur peut être déclenchée si nécessaire. La valeur par défaut est 168 heures (7 jours). La période minimale est 1 heure.

Journaux d’applications

Sortie de journal par défaut

Détermine quels supports de sortie sont utilisés par défaut par la fonctionnalité de journalisation des diagnostics de l’application de productivité mobile. Les supports possibles sont les suivants : fichier, console, ou les deux. La valeur par défaut est file.

Niveau de journalisation par défaut

Contrôle le niveau de détail par défaut de la fonctionnalité de journalisation des diagnostics de l’application de productivité mobile. Chaque niveau comprend des niveaux de valeurs moindres. Plage de niveaux possibles :

• 0 - Rien n’est enregistré
• 1 - Erreurs critiques
• 2 - Erreurs
• 3 - Avertissements
• 4 - Messages d’information
• 5 - Messages d’information détaillés
• 6 à 15 - niveaux de débogage de 1 à 10

La valeur par défaut est le niveau 4 (Messages d’information).

Nombre maximal de fichiers journaux

Limite le nombre de fichiers journaux conservés par la fonctionnalité de journalisation des diagnostics de l’application de productivité mobile avant le déploiement. La valeur minimale est de 2. La valeur maximale est de 8. La valeur par défaut est 2.

Taille maximale du fichier journal

Limite la taille en Mo des fichiers journaux conservés par la fonctionnalité de journalisation des diagnostics de l’application de productivité mobile avant le déploiement. La valeur minimale est de 1 Mo. La valeur maximale est de 5 Mo. La valeur par défaut est de 2 Mo.

Masquer les URL dans les journaux

Si ce paramètre est défini sur Activé, il intercepte et redirige les journaux système ou de console d’une application vers la fonctionnalité de diagnostics des applications de productivité mobiles. Si ce paramètre est défini sur Désactivé, l’utilisation par une application des journaux système ou de console n’est pas interceptée.

La valeur par défaut est Activé.

Bloquer les journaux d’applications

Si l’option est définie sur Activé, elle empêche une application d’utiliser la fonctionnalité de journalisation des diagnostics de l’application de productivité mobile. Si cette option est définie sur Désactivé, les journaux d’application sont enregistrés et peuvent être collectées à l’aide de la fonctionnalité de prise en charge de la messagerie de Secure Hub. La valeur par défaut est Désactivé.

lnteraction des applications

Couper et copier

Bloque, autorise ou restreint les opérations de couper/coller sur le Presse-papiers pour cette application. Si ce paramètre est défini sur Restreint, les données copiées du Presse-papiers sont placées dans un Presse-papiers privé qui est uniquement disponible auprès des applications. La valeur par défaut est Restreint.

Coller

Bloque, autorise ou limite les opérations de collage sur le presse-papiers pour cette application. Lorsque vous choisissez le paramètre Restreint, les données collées sur le Presse-papiers sont collectées depuis un Presse-papiers privé qui est uniquement disponible auprès des applications. La valeur par défaut est Non restreint.

Échange de documents (Ouvrir dans)

Bloque, autorise ou restreint les opérations d’échange de documents pour cette application. Si l’option est définie sur Restreint, les documents peuvent être échangés uniquement avec d’autres applications.

Si l’option Non restreint est sélectionnée, vous devez définir la stratégie Activer le cryptage sur Activé de façon à ce que les utilisateurs puissent ouvrir des documents dans les applications non encapsulées. Si l’application de réception n’est pas encapsulée ou que le cryptage est désactivé sur cette dernière, Citrix Endpoint Management décrypte le document. La valeur par défaut est Restricted.

Liste d’exceptions d’ouverture restreinte

Lorsque la stratégie Échange de documents (Ouvrir dans) est définie sur Restreint, une application peut partager des documents avec cette liste délimitée par des virgules d’ID d’applications non gérées, même si la stratégie Échange de documents (Ouvrir dans) est définie sur Restreint et que la stratégie Activer le cryptage est définie sur Activé. La liste des exceptions par défaut autorise les applications Office 365 :

com.microsoft.Office.Word,com.microsoft.Office.Excel,com.microsoft.Office.Powerpoint, com.microsoft.onenote,com.microsoft.onenoteiPad,com.microsoft.Office.Outlook

Seules les applications Office 365 sont prises en charge pour cette stratégie.

Avertissement :

n’oubliez pas de prendre en compte les incidences en matière de sécurité de cette stratégie. La liste d’exceptions autorise le déplacement de contenu entre des applications non gérées et l’environnement SDK MAM.

Échange de documents entrants (Ouvrir dans)

Bloque, restreint ou autorise les opérations d’échange de documents entrants pour cette application. Si l’option Restreint est sélectionnée, les documents ne peuvent être échangés qu’avec d’autres applications. La valeur par défaut est Non restreint.

Si ce paramètre est défini sur Bloqué ou Restreint, vous pouvez utiliser la stratégie Liste blanche d’échange de documents entrants pour spécifier les applications autorisées à envoyer des documents à cette application.

Remarque :

la stratégie Liste blanche d’échange de documents entrants prend uniquement en charge les appareils s’exécutant sur iOS 12.

Options : Non restreint, Bloqué ou Restreint

Modèles d’URL d’application

Les applications iOS peuvent envoyer des requêtes d’adresse URL à d’autres applications qui ont été enregistrées pour gérer des systèmes spécifiques (telles que « http:// »). Cette fonctionnalité permet à une application de transmettre des requêtes d’aide vers une autre application. Cette stratégie permet de filtrer les schémas qui sont transmis dans cette application à des fins de gestion (c’est-à-dire les adresses URL entrantes). La valeur par défaut est vide, ce qui signifie que tous les modèles d’URL d’application enregistrés sont bloqués.

La stratégie doit être sous forme d’une liste séparée par des virgules de modèles dans laquelle chaque modèle peut être précédé d’un signe plus (+) ou moins (-). Les URL entrantes sont comparées aux modèles dans l’ordre indiqué jusqu’à ce qu’une correspondance soit trouvée. Lorsqu’une correspondance est trouvée, l’action exécutée est déterminée par le préfixe.

• Un préfixe de signe moins (-) bloque la transmission de l’adresse URL dans l’application.
• Un préfixe de signe plus (+) autorise la transmission de l’adresse URL dans l’application.
• Si aucun préfixe (+ ou -) n’est fourni avec le modèle, « + » (autoriser) est la valeur par défaut.
• Si une URL entrante ne correspond à aucun modèle dans la liste, elle est bloquée.

La table suivante contient des exemples de systèmes d’adresses URL d’application :

Interaction des applications (URL sortante)

URL autorisées

Les applications iOS peuvent envoyer des requêtes d’adresse URL à d’autres applications qui ont été enregistrées pour gérer des systèmes spécifiques (telles que « "http://" »). Cette fonctionnalité permet à une application de transmettre des requêtes d’aide vers une autre application. Cette stratégie permet de filtrer les URL qui sont transmises depuis cette application vers d’autres applications à des fins de gestion (c’est-à-dire les adresses URL sortantes).

La stratégie doit être sous forme d’une liste séparée par des virgules de modèles dans laquelle chaque modèle peut être précédé d’un signe plus (+) ou moins (-). Les URL sortantes sont comparées aux modèles dans l’ordre indiqué jusqu’à ce qu’une correspondance soit trouvée. Lorsqu’une correspondance est trouvée, l’action exécutée est déterminée par le préfixe. Un préfixe de signe moins (-) bloque la transmission de l’adresse URL à une autre application. Un préfixe de signe plus (+) autorise la transmission de l’adresse URL à une autre application. Si aucun préfixe (+ ou -) n’est fourni avec le modèle, « + » (autoriser) est la valeur par défaut. Une paire de valeurs séparées par « = » indique une substitution où les occurrences de la première chaîne sont remplacées par celles de la seconde. Vous pouvez utiliser le préfixe « ^ » d’expression régulière pour rechercher la chaîne à ancrer au début de l’adresse URL. Si une URL sortante ne correspond à aucun modèle dans la liste, elle est bloquée.

Conformité

Code secret de l’appareil

Si cette option est définie Activé, un code PIN ou un code secret est requis pour déverrouiller l’appareil lorsque l’application démarre ou reprend après une période d’inactivité. Un code secret de l’appareil est requis pour crypter les données de l’application à l’aide du cryptage de fichier Apple. Les données pour toutes les applications sur l’appareil sont chiffrées. La valeur par défaut est Désactivé.

Bloquer les appareils jailbreakés ou rootés

Si cette option est définie sur Activé, l’application est verrouillée lorsque l’appareil est jailbreaké ou rooté. Si elle est définie sur Désactivé, l’application peut fonctionner même si l’appareil est jailbreaké ou rooté. La valeur par défaut est Activé.

Comportement des appareils non conformes

Permet de choisir une action lorsqu’un appareil ne respecte pas les exigences minimales de conformité du cryptage. Sélectionnez Autoriser l’application pour que l’application s’exécute normalement. Sélectionnez Autoriser l’application après avertissement pour que l’application s’exécute après affichage de l’avertissement. Sélectionnez Bloquer l’application pour empêcher l’exécution de l’application. La valeur par défaut est Autoriser l’application après avertissement.

Effacer les données des applications après verrouillage

Efface les données et réinitialise l’application lorsqu’elle est fermée. Si cette option est définie sur Désactivé, les données d’application ne sont pas effacées lorsque l’application est verrouillée. La valeur par défaut est Désactivé.

Vous pouvez verrouiller une application pour les raisons suivantes :

• Perte du droit d’application pour l’utilisateur.
• Abonnement à l’application supprimé
• Compte supprimé
• Secure Hub désinstallé
• Nombre d’échecs d’authentification de l’application trop élevé.
• Appareil jailbreaké détecté (par paramètre de stratégie)
• Appareil verrouillé par une autre action d’administration

Période d’interrogation active (minutes)

Lorsqu’une application démarre, l’infrastructure SDK MAM interroge Citrix Endpoint Management pour déterminer l’application en cours et l’état de l’appareil. En supposant que le serveur exécutant Endpoint Management peut être contacté, l’infrastructure renvoie des informations sur l’état de verrouillage et d’effacement de l’appareil et l’état d’activation ou de désactivation de l’application. Que le serveur puisse être contacté ou non, une autre interrogation est planifiée, basée sur l’intervalle d’interrogation. Une fois cette période expirée, une nouvelle tentative d’interrogation est effectuée. La valeur par défaut est 60 minutes (1 heure).

Important :

abaissez cette valeur uniquement pour les applications à haut risque, sinon, les performances risquent d’être affectées.

Période de grâce de mise à jour des applications (heures)

Définit la période de grâce pendant laquelle une application peut continuer d’être utilisée une fois que le système a découvert qu’une mise à jour de l’application est disponible. La valeur par défaut est 168 heures (7 jours).

Remarque :

l’utilisation d’une valeur zéro n’est pas recommandée car une valeur zéro empêche immédiatement une application en cours d’exécution d’être utilisée tant que la mise à jour n’est pas téléchargée et installée (sans que l’utilisateur en soit averti). Cela pourrait entraîner une situation dans laquelle l’utilisateur est obligé de quitter l’application (risque de perte de travail) afin de procéder à la mise à jour requise.

Restrictions applicatives

Important :

N’oubliez pas de prendre en compte les incidences en matière de sécurité de ces stratégies qui empêchent vos applications d’accéder ou d’utiliser les fonctionnalités du téléphone. Lorsque ces stratégies sont définies sur Désactivé, le contenu peut transiter entre des applications non gérées et l’environnement sécurisé.

Bloquer la caméra

Si cette option est définie sur Activé, elle empêche une application d’utiliser directement la caméra. La valeur par défaut est Désactivé.

Bloquer la bibliothèque de photos

Si cette option est définie sur Activé, elle empêche une application d’accéder à la bibliothèque de photos sur l’appareil. La valeur par défaut est Activé.

Bloquer les enregistrements du micro

Si cette option est définie sur Activé, elle empêche une application d’utiliser directement le microphone. La valeur par défaut est Activé.

Bloquer la dictée

Si cette option est définie sur Activé, elle empêche une application d’utiliser directement les services de dictée. La valeur par défaut est Activé.

Bloquer les services de localisation

Si cette option est définie sur Activé, elle empêche une application d’utiliser directement les services de géolocalisation (GPS ou réseau). La valeur par défaut est Désactivé pour Secure Mail.

Bloquer la composition de SMS

Si cette option est définie sur Activé, elle empêche une application d’utiliser la fonctionnalité de composition de SMS utilisée pour envoyer des SMS/messages texte à partir de l’application. La valeur par défaut est Activé.

Bloquer iCloud

Si cette option est définie sur Activé, elle empêche une application d’utiliser iCloud pour stocker et partager des données et des paramètres.

Remarque :

Le fichier de données dans iCloud est contrôlé par la stratégie Bloquer la sauvegarde de fichiers.

La valeur par défaut est Activé.

Bloquer la recherche

Si cette stratégie est activée, elle empêche une application d’utiliser la fonctionnalité de recherche. Cette dernière permet de rechercher du texte surligné dans le Dictionnaire, iTunes, l’App Store, les horaires des séances de cinéma, des lieux alentour et plus. La valeur par défaut est Activé.

Bloquer la sauvegarde de fichiers

Si cette option est définie sur Activé, elle empêche les fichiers de données d’être sauvegardés par iCloud ou iTunes. La valeur par défaut est Activé.

Bloquer AirPrint

Si cette option est définie sur Activé, empêche une application d’utiliser les fonctionnalités AirPrint pour imprimer des données sur des imprimantes compatibles AirPrint. La valeur par défaut est Activé.

Bloquer AirDrop

Si cette option est définie sur Activé, elle empêche une application d’utiliser AirDrop. La valeur par défaut est Activé.

Bloquer les API Facebook et Twitter

Si cette option est définie sur Activé, elle empêche une application d’utiliser les API de Facebook et Twitter sur iOS. La valeur par défaut est Activé.

Obscurcir le contenu de l’écran

Si cette option est définie sur Activé, lorsque les utilisateurs basculent entre applications, l’écran est obscurcit. Cette stratégie empêche iOS d’enregistrer le contenu de l’écran et d’afficher des miniatures. La valeur par défaut est Activé.

Bloquer les claviers tiers (iOS 11 et version ultérieures uniquement)

Si cette option est définie sur Activé, elle empêche une application d’utiliser des extensions de clavier tierces sur iOS 8. La valeur par défaut est Activé.

Géofencing

Longitude du point central

Longitude (coordonnées X) du point central du périmètre dans lequel l’application est autorisée à être utilisée. Si l’application est utilisée en dehors du périmètre configuré, elle reste verrouillée.

Doit être exprimée en format de degrés signés (DDD.dddd), par exemple « -31.9635 ». Les longitudes occidentales doivent être précédées d’un signe moins. La valeur par défaut est 0.

Latitude du point central

Latitude (coordonnées Y) du point central du périmètre dans lequel l’application est autorisée à être utilisée. Si l’application est utilisée en dehors du périmètre configuré, elle reste verrouillée.

Doit être exprimé en format de degrés signés (DDD.dddd), par exemple’ 43.06581”. Les latitudes méridionales doivent être précédées d’un signe moins. La valeur par défaut est 0.

Rayon

Rayon du périmètre (géofencing) dans lequel l’application est autorisée à être utilisée. Si l’application est utilisée en dehors du périmètre configuré, elle reste verrouillée.

Devrait être exprimé en mètres. Lorsqu’elle est définie sur zéro, le géofencing est désactivé. Lorsque la stratégie Bloquer les services de localisation est activée, le géofencing ne fonctionne pas correctement. La valeur par défaut est 0 (désactivé).