摘要
Apple 最近宣佈將於 2019 年 9 月 30 日發佈 iPadOS（iPad 新作業系統）。 我們發現，此版本中有一個變更，可能會影響在其組織中使用條件式存取原則的 Microsoft Azure AD 和 Intune 客戶。 本通知旨在幫助您瞭解 Apple 的中斷性變更，並評估其對組織的影響。 此通知還包括 Microsoft 提出的建議。
中斷性變更概述
所有更新到 iOS 13+ 的 iPad 都將將其作業系統自 iOS 更新為 iPadOS。 雖然 iPadOS 的行為與 iOS 類似，但一些關鍵應用程式的行為方式有所不同。 例如，Safari 將以 macOS 的形式呈現，以確保 iPadOS 使用者擁有完整的桌面瀏覽器體驗。
警告
由於條件式存取原則通常應用在特定於作業系統或應用的基礎上， 此變更可能會影響您升級到 iPadOS 的所有 iPad 設備的安全性和合規性。
可能受中斷性變更影響的應用程式
此變更會影響使用條件式存取原則且標識為 macOS 應用程式而不是 iOS 的應用程式。 在檢閱條件式存取原則時，需要著重於您是否在 macOS 和 iOS 之間提供了不同的應用體驗。 此外，您會要檢閱 Azure AD 中使用受影響應用類別的條件式存取原則。
在以下情況下，中斷性變更會影響在執行 iPadOS 的 iPadOS 中強制實施條件式存取原則：
-
使用 Safari 瀏覽器存取 Web 應用程式
-
存取 Apple 原生郵件
-
使用 Safari 檢視控制器存取原生應用程式
在這些情況下，Azure AD 條件式存取原則會將所有存取請求視為 macOS 存取請求。
重要
您的機構具有 macOS 的條件式存取原則非常重要。 沒有 macOS 策略可能會導致對前述情況的機構資源進行開放存取。
對以下存取案例沒有影響 ：
-
所有 Microsoft 原生應用程式存取權限（如 Outlook、Word 或 Edge）
-
使用 Safari 以外的瀏覽器（如 Chrome）存取 Web 應用程式
-
使用 Intune App SDK/ App wrapping tool for iOS/Microsoft 身份識別平台 v2.0 身份驗證庫 或 v1.0 身份驗證庫
在查看 Microsoft 的建議前，讓我們先演練一些可能受到影響的方案：
|
案例 |
結果 |
|---|---|
|
您已設定條件式存取原則，該策略「需要已批准的用戶端應用」用於在 iOS 設備上進行電子郵件訪問，並且沒有為 macOS 配置策略。 |
在這種情況下，在 iPad 更新 iPadOS 後，將不會如前面所述對受影響的應用類別強制實施已批准的用戶端應用策略。 |
|
您已設定的條件式存取原則「需要符合規範的設備」，以便使用 iOS 設備存取公司資源。 但是，您尚未設定 macOS 策略。 |
iPad 更新到 iPadOS 後，使用者可以使用來自不相容 iPad 的受影響應用類別中的應用存取公司資源。 |
|
您已設定條件性存取策略，該策略在 iOS 設備上「需要 MFA」才能豐取 Office365 網站，如 Outlook Web Access 。 但是，您尚未設定相應的 macOS 策略。 |
iPad 更新到 iPadOS 後，使用者可使用受影應用類別中的應用存取此類 Office365 網站，而無需提示進行多重身份驗證 (MFA)。 |
|
您已為 iOS 裝置設定了「需要相容裝置」的條件性存取策略，且對 macOS 裝置「需要 MFA」。 |
現在，在 iPad 更新到 iPadOS 後，使用者可以使用受影響應用類別中的應用從不相容 iPad 存取公司資源。 |
這些只是 iOS 的條件性存取策略可能不同於 macOS 的條件性存取策略的一些示例。 您需要在策略中識別所有此類情況。
Microsoft 的建議
我們建議您採取以下操作：
-
評估您是否具有基於瀏覽器的 iOS Azure AD CA 策略，這些策略用於管理來自 iPad 設備的存取權限。 若有，請依照下列步驟執行：
-
建立等位 macOS Azure AD 瀏覽器存取策略。 我們建議您使用「需要符合規範設備」策略。 此策略將您的 iPad 和 Mac 設備註冊到 Microsoft Intune（或 JAMF Pro（如果您已選擇該設備作為 macOS 管理工具），並確保瀏覽器應用只能從相容的設備（最安全的選項）進行訪問。 您還需要為 macOS 建立 Intune 設備合規性策略。
-
如果您無法為 macOS 和 iPadOS 的瀏覽器存取「要求一個符合規範的設備」 ，請確保您「需要 MFA「才能完成此類存取。
-
-
確定是否為 iOS 設置了基於使用條款（每個設備同意）的 Azure AD 條件存取取原則。 如果是這樣，請為 macOS 建立等位策略。
其他更新
我們正在繼續探索其他替代方案，以儘量減少 Apple 這一中斷性變更的影響，這將影響我們客戶的有條件式存取原則。 我們將在本文中提供其他資訊，並隨時更新......
如需詳細資訊，請聯絡 Microsoft 支援。
