Aggiornamento
Abbiamo lavorato per mitigare questo problema per i nostri clienti, e abbiamo distribuito le modifiche alla nostra piattaforma. Potresti notare che i criteri di accesso condizionale per iOS vengono ora rispettati per iPadOS, in modo simile al comportamento precedente all'aggiornamento di iPadOS.
Un modo rapido per verificare questo comportamento aggiornato consiste nell'accedere alle risorse da Safari su un dispositivo iPadOS protetto dai criteri di accesso condizionale. Se riscontri una differenza di comportamento tra Safari e l'accesso a Apple Native Mail, chiedi agli utenti di disconnettersi da Apple Native Mail e quindi di accedere di nuovo.
Per automatizzare questo processo, impostare un criterio di accesso condizionale temporaneo utilizzando il controllo di sessione "Frequenza di accesso" e quindi impostare un criterio di accesso condizionale temporaneo che si applica alle app client identificate come "App per dispositivi mobili e client desktop". In questo criterio, imposta la piattaforma del dispositivo su "macOS" e la frequenza di accesso su 20 ore.
Per ulteriori informazioni su come impostare questo criterio, vedere la documentazione Configurare la gestione della sessione di autenticazione con l'accesso condizionale.
Nota: L'impostazione di questo criterio richiede agli utenti di Apple Native Mail su iPadOS (precedentemente identificato come dispositivo Mac a causa del moderno browser desktop su iPadOS) di accedere dopo 20 ore. Dopo aver eseguito nuovamente l'accesso, Apple Native Mail verrà bloccato l'accesso a qualsiasi risorsa aziendale se è stato abilitato il controllo di concessione "Richiedi app client approvata" o "Richiedi criteri di protezione app". È possibile disabilitare o eliminare i criteri di accesso condizionale temporanei per evitare che venga richiesto agli utenti di accedere ogni 20 ore.
Riepilogo
Panoramica della modifica sostanziale
Apple ha rilasciato iPadOS (il nuovo sistema operativo per iPad) il 30 settembre 2019. Prima del rilascio, abbiamo scoperto che questa versione introduce una modifica che potrebbe influire sui clienti di Microsoft Azure Active Directory (Azure AD) e Intune che usano i criteri di accesso condizionale nell'organizzazione. Questo avviso ha lo scopo di aiutarti a comprendere le modifiche di rilievo di Apple e a valutare gli effetti sulla tua organizzazione. Questo avviso fornisce anche consigli da Microsoft.
Tutti gli iPad che si aggiornano a iOS 13 hanno avuto il loro sistema operativo aggiornato da iOS a iPadOS. Mentre l'iPadOS si comporterà in modo simile a iOS, ci sono alcune applicazioni chiave che si comportano in modo diverso. Safari, ad esempio, si presenterà come macOS per assicurarsi che gli utenti iPadOS abbiano un'esperienza completa del browser desktop.
Attenzione
Poiché i criteri di accesso condizionale vengono spesso applicati in base al sistema operativo o specifico dell'app, questa modifica potrebbe influire sulla sicurezza e sulla conformità di qualsiasi dispositivo iPad che esegue l'aggiornamento a iPadOS.
App che potrebbero essere interessate dalla modifica sostanziale
Questa modifica influisce sulle app che usano l'accesso condizionale e che si identificano come app macOS anziché come app iOS.This change affects apps that use Conditional Access and that identify themselves as macOS apps instead of iOS apps. Nell'esaminare i criteri di accesso condizionale, è necessario concentrarsi sul fatto che si fornisca un'esperienza dell'app diversa tra macOS e iOS. Inoltre, è consigliabile esaminare i criteri di accesso condizionale in Azure AD che usano le categorie di app interessate.
La modifica sostanziale influisce sull'applicazione dei criteri di accesso condizionale nei dispositivi iPad che eseguono iPadOS negli scenari seguenti:
-
Accesso alle applicazioni Web tramite il browser Safari
-
Accesso a Apple Native Mail
-
Accesso nativo all'applicazione che usa Safari View Controller
In questi casi, l'accesso condizionale di Azure AD considera qualsiasi richiesta di accesso come una richiesta di accesso macOS.In these cases, Azure AD Conditional Access treats any access request as a macOS access request.
Importante
È essenziale che l'organizzazione disponga di criteri di accesso condizionale per macOS . La presenza di criteri per macOS potrebbe causare una condizione di accesso aperto nelle risorse dell'organizzazione per gli scenari identificati in precedenza.
Non vi è alcun effetto per i seguenti scenari di accesso:
-
Tutti gli accessi alle applicazioni native Microsoft (ad esempio Outlook, Word o Edge)
-
Accesso alle applicazioni Web tramite un browser diverso da Safari (ad esempio Chrome)
-
App che usano Intune App SDK/ strumento di wrapping delle app per le librerie di autenticazioneiOS/Microsoft identity platform v2.0 o le librerie di autenticazione v1.0
Prima di esaminare le raccomandazioni di Microsoft, considerare i seguenti scenari che potrebbero essere interessati.
|
Scenario |
Risultati |
|---|---|
|
È stato impostato un criterio di accesso condizionale che "richiede un'app client approvata" per l'accesso alla posta elettronica in un dispositivo iOS e nessun criterio configurato per macOS. |
Dopo gli aggiornamenti di un iPad per iPadOS, i criteri dell'app client approvati non verranno applicati per le categorie di app interessate, come descritto in precedenza. |
|
È stato configurato un criterio di accesso condizionale che "richiede un dispositivo conforme" per utilizzare un dispositivo iOS per accedere alle risorse aziendali. Tuttavia, non hai configurato un criterio macOS. |
Dopo l'aggiornamento degli iPad a iPadOS, gli utenti possono accedere alle risorse aziendali utilizzando le app nelle categorie di app interessate da iPad non conformi. |
|
È stato impostato un criterio di accesso condizionale che "richiede l'autenticazione a più fattori" in un dispositivo iOS per accedere ai siti Web di Office365, ad esempio Outlook Web Access. Tuttavia, non hai configurato un criterio macOS corrispondente. |
Dopo l'aggiornamento iPad a iPadOS, gli utenti possono accedere a tali siti Web di Office365 utilizzando le app delle categorie di app interessate senza che venga richiesta l'autenticazione a più fattori (MFA). |
|
È stato configurato un criterio di accesso condizionale che "richiede un dispositivo conforme" per i dispositivi iOS e "richiede l'autenticazione a più fattori" per i dispositivi macOS.You've set up a Conditional Access policy that "requires a compliant device" for iOS devices and "requires MFA" for macOS devices. |
Dopo l'aggiornamento degli iPad a iPadOS, gli utenti possono accedere alle risorse aziendali utilizzando le app nelle categorie di app interessate da iPad non conformi. |
Questi sono solo alcuni esempi di casi in cui i criteri di accesso condizionale per iOS potrebbero differire dai criteri di accesso condizionale per macOS.These are just some examples of cases in which the Conditional Access Policy for iOS might differ from the Conditional Access policy for macOS. È necessario identificare tutti questi casi nella politica.
Raccomandazioni Microsoft
Si consiglia di eseguire le azioni seguenti:
-
Valutare se si dispone di criteri della CA di Azure AD basati su browser per iOS che regolano l'accesso dai dispositivi iPad. In tal caso, attenersi alla seguente procedura:
-
Creare criteri di accesso del browser di Azure AD equivalenti. Si consiglia di utilizzare il criterio "Richiedi un dispositivo conforme". Questo criterio registra i dispositivi iPad e Mac in Microsoft Intune (o JAMF Pro, se è stato selezionato come strumento di gestione macOS). Questo criterio assicura inoltre che le app del browser abbiano accesso solo da dispositivi conformi (opzione più sicura). Sarà inoltre necessario creare criteri di conformità dei dispositivi Intune per macOS.You will also have to create an Intune device compliance policy for macOS.
-
Nel caso in cui non si possa "richiedere un dispositivo conforme" per macOS e iPadOS per l'accesso al browser, assicurarsi di "richiedere l'autenticazione a più fattori" per tale accesso.
-
-
Determinare se un criterio di accesso condizionale di Azure AD basato sulle condizioni di utilizzo (consenso per dispositivo) è configurato per iOS.Determine whether a Terms of Use (consent per device) Conditional Access policy is configured for iOS. In caso affermativo, crea un criterio equivalente per macOS.If it is, create an equivalent policy for macOS.
Per ulteriori informazioni, contattare il supporto tecnico Microsoft.
