Microsoft Intune
Für wen ist das gedacht?
- Für Microsoft-Entra- und Intune-Administratoren, die Leexi auf privaten oder nicht verwalteten Telefonen ausrollen.
Berechtigungen und Lizenzen
- Add-on Governance in Ihrem Leexi-Abonnement aktiv.
- Rolle Globaler Administrator (oder Administrator für privilegierte Rollen) in Microsoft Entra sowie Intune-Administrationsrechte.
- Eine Microsoft-Intune-Lizenz für jeden betroffenen Benutzer.
- Recht, die Unternehmenseinstellungen in Leexi zu ändern.
Anleitung
Die Leexi-Anwendung in Ihrem Mandanten autorisieren
Leexi ist eine mandantenübergreifende Microsoft-Entra-Anwendung: Bevor sich ein Benutzer mit seinem Microsoft-Konto anmelden und von Intune geschützt werden kann, muss ein Administrator die Einwilligung für Ihre gesamte Organisation erteilen.
Öffnen Sie den folgenden Link in Ihrem Browser, melden Sie sich mit einem Konto mit der Rolle Globaler Administrator Ihres Mandanten an und akzeptieren Sie:
https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=e528cc57-f5e1-4501-a89e-d5b209af4f16&scope=https%3A%2F%2Fgraph.microsoft.com%2FUser.Read%20openid%20email%20https%3A%2F%2Fmsmamservice.api.application%2FDeviceManagementManagedApps.ReadWrite&redirect_uri=https%3A%2F%2Fapp.leexi.ai%2Fentra-admin-consent
Der Einwilligungsbildschirm listet genau auf, was Leexi anfordert: das Basisprofil und die E-Mail-Adresse des sich anmeldenden Benutzers lesen (User.Read, openid, email) und die App in der Intune-Verwaltung mobiler Anwendungen registrieren (DeviceManagementManagedApps.ReadWrite). Leexi erhält keinen weiteren Zugriff auf Ihr Verzeichnis.
Nach dem Akzeptieren werden Sie zu einer Leexi-Bestätigungsseite weitergeleitet, die die Kennung Ihres Mandanten mit einer Kopierschaltfläche anzeigt — bewahren Sie sie auf, sie wird im nächsten Schritt benötigt.
Sie können diese Einwilligung auch über das Portal erteilen: Öffnen Sie in entra.microsoft.com Anwendungen > Unternehmensanwendungen, wählen Sie Leexi, dann Sicherheit > Berechtigungen, und klicken Sie auf Administratorzustimmung für [Ihre Organisation] erteilen. Die Anwendung erscheint in dieser Liste erst nach einem ersten Anmeldeversuch eines Ihrer Benutzer.
Ihre Mandanten-ID finden
Falls Sie die im vorherigen Schritt zurückgegebene Kennung nicht notiert haben, öffnen Sie entra.microsoft.com: Die Übersicht Ihrer Organisation zeigt die Mandanten-ID, einen Wert der Form 00000000-0000-0000-0000-000000000000.
Die App-Schutzrichtlinie für iOS erstellen
Öffnen Sie im Intune Admin Center Apps > App-Schutzrichtlinien, klicken Sie auf Richtlinie erstellen und wählen Sie iOS/iPadOS.
Geben Sie der Richtlinie einen Namen (zum Beispiel Leexi mobile - iOS). Setzen Sie im Schritt Apps die Option Richtlinie anwenden auf auf Ausgewählte Apps, klicken Sie dann auf Benutzerdefinierte Apps auswählen und geben Sie die Bundle-ID ai.leexi.mobile ein.
Da die Leexi-App noch nicht im Intune-Katalog geschützter Apps geführt wird, wird sie über diese Kennung gezielt erfasst.
Intune akzeptiert keine benutzerdefinierte App in einer Richtlinie, die Alle Apps, Microsoft-Apps oder Microsoft-Kern-Apps erfasst: Erstellen Sie eine eigene Richtlinie für Leexi, statt die App einer bestehenden Richtlinie hinzuzufügen.
Die App-Schutzrichtlinie für Android erstellen
Wiederholen Sie den Vorgang mit Android und einem eigenen Namen (zum Beispiel Leexi mobile - Android). Setzen Sie im Schritt Apps die Option Richtlinie anwenden auf auf Ausgewählte Apps und geben Sie unter Benutzerdefinierte Apps auswählen den Paketnamen ai.leexi.mobile ein.
Die Schutzregeln wählen
Beide Richtlinien akzeptieren dieselben Einstellungen; diese setzt Leexi um:
- Datenschutz:
Kopien von Organisationsdaten speichernauf Blockieren entfernt das Herunterladen von Aufnahmen auf das Telefon;Ausschneiden, Kopieren und Einfügen einschränkenbegrenzt die Zwischenablage;Bildschirmaufnahmeauf Blockieren (Android) verbietet Screenshots. - Zugriffsanforderungen:
PIN für den Zugriffauf Erforderlich verlangt beim Öffnen der App einen Code. - Bedingter Start: Behalten Sie die Standardwerte bei, sie sind geeignet.
Machen Sie den Verwalteten Browser für das Öffnen von Links nicht verpflichtend: Leexi unterstützt diese Regel noch nicht.
Die Richtlinien zuweisen
Fügen Sie im Schritt Zuweisungen die Microsoft-Entra-Gruppe der zu schützenden Benutzer hinzu und erstellen Sie dann die Richtlinie. Jedes Mitglied benötigt eine Intune-Lizenz; für einen nicht lizenzierten Benutzer oder einen Benutzer außerhalb der zugewiesenen Gruppen registriert sich die App nicht. Der Gerätetyp wird nicht mehr im Schritt Apps, sondern hier über einen Filter gewählt: Ohne Filter gilt die Richtlinie für alle Geräte, auch für nicht registrierte private Telefone; wenn Sie einen Filter hinzufügen, schließen Sie nicht verwaltete Geräte weiterhin ein.
Die Telefone vorbereiten
Die Benutzer installieren die Leexi-App in Version 1.14.0 oder höher sowie Microsoft Authenticator auf dem iPhone oder Unternehmensportal auf Android: Intune stützt sich auf diese Apps, um Leexi im Schutz zu registrieren.
Den Mandanten eintragen und die Intune-Anmeldung in Leexi aktivieren
Öffnen Sie in Leexi Einstellungen > Governance > SSO / SCIM, Abschnitt MAM-Einrichtung. Geben Sie die oben notierte Entra-Mandanten-ID ein. Sobald alle Ihre mobilen Benutzer Version 1.14.0 oder höher haben, aktivieren Sie Anmeldung mit Microsoft Intune für die mobile App erforderlich und bestätigen Sie.
Auf dem Smartphone läuft die Anmeldung bei Leexi nun ausschließlich über Microsoft: Bei der Eingabe seiner E-Mail-Adresse wird der Benutzer zu Microsoft weitergeleitet, anschließend fragt die App den in Ihrer Richtlinie vorgesehenen PIN-Code ab. Web, Desktop-App und Teams ändern sich nicht.
Weiterführende Informationen
Die Registrierung prüfen
Im Intune Admin Center listet Apps > Überwachen > App-Schutzstatus die Benutzer und Geräte auf, auf denen Leexi geschützt ist, mit der angewendeten Richtlinie und dem Datum der letzten Synchronisierung.
Aus der Ferne löschen
Apps > Selektive Zurücksetzung von Apps entfernt die Leexi-Sitzung und alle Aufnahmen auf dem Telefon, auch die noch nicht hochgeladenen. Die Löschung wird beim nächsten Öffnen der App ausgeführt, selbst wenn sie zwischenzeitlich geschlossen war.
Wichtige Hinweise
- Aktivieren Sie die Intune-Anmeldung in Leexi erst, wenn alle Ihre mobilen Benutzer die App in Version 1.14.0 oder höher haben: Ältere Versionen können sich nicht mehr anmelden.
- Eine falsche
Entra-Mandanten-IDblockiert alle mobilen Anmeldungen: Leexi lehnt jedes Microsoft-Konto aus einem anderen Mandanten ab. - Ohne Administratorzustimmung schlägt die erste Anmeldung mit einer Microsoft-Meldung fehl, die die Genehmigung eines Administrators verlangt.
- Ohne Authenticator oder Unternehmensportal auf dem Telefon gelingt die Microsoft-Anmeldung, aber die Intune-Registrierung findet nicht statt.
- Ihre anderen App-Schutzrichtlinien (Alle Apps, Microsoft-Apps…) erfassen Leexi nie, da Leexi eine benutzerdefinierte App ist: Sie bestehen auf denselben Geräten neben der Leexi-Richtlinie. Erfassen zwei Richtlinien Leexi für denselben Benutzer, wendet Intune für jede widersprüchliche Einstellung den restriktivsten Wert an.
- Eine Microsoft-Entra-Richtlinie für bedingten Zugriff, die ein konformes oder in Microsoft Entra hybrid eingebundenes Gerät verlangt, blockiert die Anmeldung von einem nicht registrierten privaten Telefon, auch wenn die Leexi-Richtlinie bereitgestellt ist: Intune MAM registriert das Gerät nicht im MDM, daher wird es nie konform.
- Die mobile Leexi-App erfordert iOS 17 oder höher.
- Das Aktivieren der Einstellung schließt sofort die bereits geöffneten mobilen Sitzungen: Jeder Benutzer landet wieder auf dem Anmeldebildschirm, meldet sich mit seinem Microsoft-Konto neu an und wird bei Intune registriert. Web- und Desktop-Sitzungen sind nicht betroffen. Informieren Sie Ihre Benutzer vor der Aktivierung.
- Das Abmelden in der mobilen App löscht auch die Aufnahmen, die noch nicht an Leexi gesendet wurden, genau wie eine selektive Löschung: Bitten Sie Ihre Benutzer, ihre Aufnahmen vor dem Abmelden zu senden.
- Intune verschlüsselt die auf dem Telefon gespeicherten Aufnahmen und Fotos, unter Android wie auf dem iPhone. Auf dem iPhone bleiben die Metadaten der Aufnahmen (Name, Datum, Upload-Status) unverschlüsselt und beruhen auf der Geräteverschlüsselung, die der PIN-Code der Richtlinie erzwingt.