Uppdatera
Vi har arbetat för att mildra denna fråga för våra kunder, och vi har rullat ut förändringar i vår plattform. Du kanske märker att dina principer för villkorlig åtkomst för iOS nu hedras för iPadOS, liknande beteendet innan iPadOS uppgraderingen.
Ett snabbt sätt att kontrollera den här uppdaterade beteendet är att komma åt resurser från Safari på en iPadOS-enhet som skyddas av principer för villkorlig åtkomst. Om du ser en skillnad i beteende mellan Safari och Apple Native mail-åtkomst ber du användarna att logga ut från Apple Native mail och sedan logga in igen.
Om du vill automatisera den här processen, ange en temporär princip för villkorlig åtkomst med hjälp av sessionskontroll "logga in frekvens" och ange en temporär princip för villkorlig åtkomst som gäller för klientappar som identifieras som "mobilappar och skrivbordsklient". I den här principen anger du enhetsplattformen till "macOS" och inloggnings frekvensen till 20 timmar.
Mer information om hur du anger den här principen finns i dokumentationen Konfigurera sessionshantering av autentisering med villkorlig åtkomst.
Notera Om du anger den här principen krävs det att användare av Apple Native mail på iPadOS (som tidigare identifierats som en Mac-enhet på grund av den moderna skrivbords bläddraren på iPadOS) loggar in efter 20 timmar. När de loggar in igen, Apple Native mail blockeras från att komma åt alla företagsresurser om du har aktiverat den "Kräv godkänd klient app" eller "kräver appskyddsprincip" bevilja kontroll. Du kan inaktivera eller ta bort principen för tillfällig villkorlig åtkomst för att undvika att användaren uppmanas att logga in var 20: de timme.
Sammanfattning
Översikt över den brytande förändringen
Äpple befriaren iPadOS (den ny OS för iPad) på september 30, 2019. Innan utgåvan, upptäckte vi att den här versionen introducerar en ändring som kan påverka Microsoft Azure Active Directory (Azure AD) och Intune-kunder som använder principer för villkorlig åtkomst i sin organisation. Detta meddelande är avsett att hjälpa dig att förstå den brytande förändringen från Apple och utvärdera effekterna på din organisation. Det här meddelandet innehåller också rekommendationer från Microsoft.
Alla iPads som uppdateras till iOS 13 + hade sina operativsystem uppdaterade från iOS till iPadOS. Även om iPadOS beter sig på samma sätt som iOS, finns det några viktiga appar som beter sig annorlunda. Safari, till exempel, kommer att presentera sig som macOS för att se till att iPadOS användare har en fullständig skrivbordswebbläsare upplevelse.
Varning!
Eftersom principer för villkorlig åtkomst ofta tillämpas på en operativsystem-eller appspecifik basis, kan den här ändringen påverka din säkerhet och efterlevnad för alla iPad-enheter som uppgraderas till iPadOS.
Appar som kan påverkas av den brytande ändringen
Den här ändringen påverkar appar som använder villkorlig åtkomst och som identifierar sig som macOS-appar i stället för iOS-appar. När du granskar principerna för villkorlig åtkomst bör du fokusera på om du tillhandahåller en annan appupplevelse mellan macOS och iOS. Vi rekommenderar dessutom att du granskar principer för villkorlig åtkomst i Azure Azure AD som använder de berörda appkategorierna.
Den brytande ändringen påverkar tillämpningen av principer för villkorlig åtkomst på iPad-enheter som kör iPadOS i följande scenarier:
-
Åtkomst till webbprogram med Safari Browser
-
Åtkomst till Apples interna e-post
-
Ursprunglig programåtkomst som använder Safari View Controller
I dessa fall behandlar villkorsstyrd åtkomst i Azure AD alla åtkomstbegäran som en macOS-åtkomstbegäran.
Viktigt!
Det är viktigt att din organisation har en princip för villkorlig åtkomst för MacOS . Att inte ha en princip för macOS kan orsaka ett villkor för öppen åtkomst i organisationens resurser för de tidigare identifierade scenarierna.
Följande åtkomst scenarier har ingen effekt :
-
Alla Microsoft-interna programåtkomst (till exempel Outlook, Word eller Edge)
-
Åtkomst till webbprogram med hjälp av en annan webbläsare än Safari (till exempel Chrome)
-
Appar som använder Intune App SDK/App Wrapping-verktyg för iOS/Microsoft Identity Platform v 2.0-autentiseringsbibliotek eller v 1.0-autentiseringsbibliotek
Innan du undersöker rekommendationerna från Microsoft bör du tänka på följande scenarier som kan påverkas.
|
Scenario |
Resultat |
|---|---|
|
Du har ställt in en princip för villkorlig åtkomst som "kräver en godkänd klientapp" för e-poståtkomst på en iOS-enhet och du har ingen princip konfigurerad för macOS. |
När en iPad uppdateringar till iPadOS, den godkända klienten app principen kommer inte att verkställas för berörda app kategorier som beskrivs ovan. |
|
Du har ställt in en princip för villkorlig åtkomst som kräver en kompatibel enhet för att kunna använda en iOS-enhet för att komma åt företagets resurser. Du har dock inte konfigurerat en princip för macOS. |
Efter iPads uppdateringen till iPadOS, användare kan komma åt företagets resurser med hjälp av appar i berörda app kategorier från icke-kompatibla iPads. |
|
Du har ställt in en princip för villkorlig åtkomst som "kräver MFA" på en iOS-enhet för att komma åt Office365 webbplatser som Outlook Web Access. Du har dock inte konfigurerat en motsvarande macOS-princip. |
Efter iPads uppdateringen till iPadOS, användare kan komma åt sådana Office365 webbplatser genom att använda appar från berörda app kategorier utan att uppmanas för multifaktorautentisering (MFA). |
|
Du har ställt in en princip för villkorlig åtkomst som "kräver en kompatibel enhet" för iOS-enheter och "kräver MFA" för macOS-enheter. |
Efter iPads uppdateringen till iPadOS, användare kan komma åt företagets resurser med hjälp av appar i berörda app kategorier från icke-kompatibla iPads. |
Detta är bara några exempel på fall där principen för villkorlig åtkomst för iOS kan skilja sig från principen för villkorlig åtkomst för macOS. Du bör identifiera alla sådana fall i din policy.
Microsoft-rekommendationer
Vi rekommenderar att du vidtar följande åtgärder:
-
Utvärdera om du har webbläsarbaserade Azure AD-CERTIFIKATUTFÄRDARPRINCIPER för iOS som styr åtkomsten från iPad-enheter. Om du gör det följer du dessa steg:
-
Skapa en motsvarande macOS Azure AD-webbläsaråtkomstprincip. Vi rekommenderar att du använder principen "Kräv en kompatibel enhet". Den här principen registrerar dina iPad-och Mac-enheter i Microsoft Intune (eller JAMF Pro, om du har valt det som ditt macOS-hanteringsverktyg). Den här principen ser också till att webbläsarappar endast har åtkomst från kompatibla enheter (det säkraste alternativet). Du måste också skapa en Intune-enhetsefterlevnadspolicy för macOS.
-
I händelse av att du inte kan "kräva en kompatibel enhet" för macOS och iPadOS för webbläsaråtkomst, gör du nsure att du "kräver MFA" för sådan åtkomst.
-
-
Avgöra om en användningsvillkor (medgivande per enhet)-baserad Azure AD villkorlig åtkomstprincip har konfigurerats för iOS. Om det är det skapar du en likvärdig princip för macOS.
Kontakta Microsoft Supportom du vill ha mer information.
