Microsoft Intune
Voor wie is dit bedoeld?
- Voor Microsoft Entra- en Intune-beheerders die Leexi uitrollen op persoonlijke of niet-beheerde telefoons.
Machtigingen en licenties
- Add-on Governance actief op uw Leexi-abonnement.
- Rol Globale beheerder (of Beheerder van bevoorrechte rollen) in Microsoft Entra, en beheerrechten voor Intune.
- Een Microsoft Intune-licentie voor elke betrokken gebruiker.
- Rechten om de bedrijfsinstellingen in Leexi te wijzigen.
Gebruikshandleiding
De Leexi-applicatie in uw tenant toestaan
Leexi is een multitenant Microsoft Entra-applicatie: voordat een gebruiker zich ermee kan aanmelden met zijn Microsoft-account en door Intune kan worden beschermd, moet een beheerder toestemming verlenen namens uw hele organisatie.
Open de volgende link in uw browser, meld u aan met een account met de rol Globale beheerder van uw tenant en accepteer:
https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=e528cc57-f5e1-4501-a89e-d5b209af4f16&scope=https%3A%2F%2Fgraph.microsoft.com%2FUser.Read%20openid%20email%20https%3A%2F%2Fmsmamservice.api.application%2FDeviceManagementManagedApps.ReadWrite&redirect_uri=https%3A%2F%2Fapp.leexi.ai%2Fentra-admin-consent
Het toestemmingsscherm toont precies wat Leexi vraagt: het basisprofiel en het e-mailadres lezen van de gebruiker die zich aanmeldt (User.Read, openid, email) en de app inschrijven in het beheer van mobiele apps van Intune (DeviceManagementManagedApps.ReadWrite). Leexi krijgt geen enkele andere toegang tot uw directory.
Na het accepteren wordt u doorgestuurd naar een bevestigingspagina van Leexi die de identificatie van uw tenant toont met een kopieerknop — bewaar die, u hebt ze nodig in de volgende stap.
U kunt deze toestemming ook via het portaal verlenen: open in entra.microsoft.com Toepassingen > Bedrijfstoepassingen, selecteer Leexi, dan Beveiliging > Machtigingen en klik op Beheerderstoestemming verlenen voor [uw organisatie]. De applicatie verschijnt pas in die lijst na een eerste aanmeldpoging van een van uw gebruikers.
Uw tenant-ID terugvinden
Als u de identificatie uit de vorige stap niet hebt genoteerd, open dan entra.microsoft.com: het Overzicht van uw organisatie toont de Tenant-id, een waarde van de vorm 00000000-0000-0000-0000-000000000000.
Het app-beveiligingsbeleid voor iOS maken
Open in het Intune-beheercentrum Apps > App-beveiligingsbeleid, klik op Beleid maken en kies iOS/iPadOS.
Geef het beleid een naam (bijvoorbeeld Leexi mobile - iOS). Stel in de stap Apps de optie Beleid toepassen op in op Geselecteerde apps, klik vervolgens op Aangepaste apps selecteren en voer de bundel-id ai.leexi.mobile in.
Omdat de Leexi-app nog niet in de Intune-catalogus van beveiligde apps staat, wijst deze selectie op identificatie ze aan.
Intune accepteert geen aangepaste app in een beleid dat op Alle apps, Microsoft-apps of Belangrijkste Microsoft-apps gericht is: maak een apart beleid voor Leexi in plaats van de app aan een bestaand beleid toe te voegen.
Het app-beveiligingsbeleid voor Android maken
Herhaal de handeling met Android en een aparte naam (bijvoorbeeld Leexi mobile - Android). Stel in de stap Apps de optie Beleid toepassen op in op Geselecteerde apps en voer de pakketnaam ai.leexi.mobile in bij Aangepaste apps selecteren.
De beveiligingsregels kiezen
Beide beleidsregels aanvaarden dezelfde instellingen; dit zijn de regels die Leexi toepast:
- Gegevensbeveiliging:
Kopieën van organisatiegegevens opslaanop Blokkeren verwijdert het downloaden van opnames naar de telefoon;Knippen, kopiëren en plakken beperkenbeperkt het klembord;Schermopnameop Blokkeren (Android) verbiedt schermafbeeldingen. - Toegangsvereisten:
Pincode voor toegangop Vereisen vraagt een code bij het openen van de app. - Voorwaardelijk starten: laat de standaardwaarden staan, die zijn geschikt.
Maak de Beheerde browser niet verplicht voor het openen van links: Leexi ondersteunt die regel nog niet.
Het beleid toewijzen
Voeg in de stap Toewijzingen de Microsoft Entra-groep van de te beschermen gebruikers toe en maak het beleid aan. Elk lid moet over een Intune-licentie beschikken; de app schrijft zich niet in voor een gebruiker zonder licentie of buiten de toegewezen groepen. Het apparaattype kiest u niet meer in de stap Apps maar hier, met een filter: zonder filter geldt het beleid voor alle apparaten, ook voor niet-ingeschreven persoonlijke telefoons; voegt u er een toe, houd dan niet-beheerde apparaten inbegrepen.
De telefoons voorbereiden
De gebruikers installeren de Leexi-app in versie 1.14.0 of hoger samen met Microsoft Authenticator op iPhone of Bedrijfsportal op Android: Intune steunt op deze apps om Leexi in de beveiliging in te schrijven.
De tenant invullen en aanmelden met Intune activeren in Leexi
Open in Leexi Instellingen > Governance > SSO / SCIM, sectie MAM-configuratie. Vul de hierboven genoteerde Entra-tenant-ID in. Zodra al uw mobiele gebruikers versie 1.14.0 of hoger hebben, activeert u Aanmelden met Microsoft Intune verplicht voor de mobiele app en bevestigt u.
Op mobiel verloopt het aanmelden bij Leexi nu uitsluitend via Microsoft: bij het invoeren van zijn e-mailadres wordt de gebruiker naar Microsoft gestuurd en vraagt de app daarna de pincode die uw beleid voorschrijft. Web, de desktopapp en Teams veranderen niet.
Verder gaan
De inschrijving controleren
In het Intune-beheercentrum toont Apps > Controleren > Status van app-beveiliging de gebruikers en toestellen waarop Leexi beschermd is, met het toegepaste beleid en de datum van de laatste synchronisatie.
Op afstand wissen
Apps > Selectief wissen van apps verwijdert de Leexi-sessie en alle opnames op de telefoon, ook die nog niet zijn geüpload. Het wissen wordt uitgevoerd bij de volgende keer dat de app wordt geopend, zelfs als ze tussendoor gesloten was.
Aandachtspunten
- Activeer aanmelden met Intune in Leexi pas wanneer al uw mobiele gebruikers de app in versie 1.14.0 of hoger hebben: oudere versies kunnen zich niet meer aanmelden.
- Een verkeerde
Entra-tenant-IDblokkeert alle mobiele aanmeldingen: Leexi weigert elk Microsoft-account uit een andere tenant. - Zonder beheerderstoestemming mislukt de eerste aanmelding met een Microsoft-melding die om goedkeuring van een beheerder vraagt.
- Zonder Authenticator of Bedrijfsportal op de telefoon slaagt de Microsoft-aanmelding, maar vindt de inschrijving in Intune niet plaats.
- Uw andere app-beveiligingsbeleid (Alle apps, Microsoft-apps…) is nooit op Leexi gericht, omdat Leexi een aangepaste app is: het bestaat naast het Leexi-beleid op dezelfde apparaten. Als twee beleidsregels op Leexi gericht zijn voor dezelfde gebruiker, past Intune voor elke conflicterende instelling de strengste waarde toe.
- Een Microsoft Entra-beleid voor voorwaardelijke toegang dat een conform of hybride aan Microsoft Entra gekoppeld apparaat vereist, blokkeert het aanmelden vanaf een niet-ingeschreven persoonlijke telefoon, ook met het Leexi-beleid geïmplementeerd: Intune MAM schrijft het apparaat niet in bij MDM, dus het wordt nooit conform.
- De mobiele Leexi-app vereist iOS 17 of hoger.
- Het inschakelen van de instelling sluit onmiddellijk de al geopende mobiele sessies: elke gebruiker komt terug op het aanmeldscherm, meldt zich opnieuw aan met zijn Microsoft-account en wordt ingeschreven bij Intune. Web- en desktopsessies worden niet geraakt. Waarschuw uw gebruikers voordat u inschakelt.
- Afmelden in de mobiele app verwijdert ook de opnames die nog niet naar Leexi waren verzonden, net als een selectieve wissing: vraag uw gebruikers hun opnames te verzenden voordat ze zich afmelden.
- Intune versleutelt de opnames en foto's die op de telefoon zijn opgeslagen, op Android en op iPhone. Op iPhone blijven de metadata van de opnames (naam, datum, uploadstatus) onversleuteld en berusten ze op de apparaatversleuteling die de pincode van het beleid afdwingt.