Intune MAM voor Microsoft-apps op iOS en iPadOS

Medewerkers willen hun mail, chats en bestanden ook op hun eigen iPhone of iPad bekijken. Dat toestel wil je niet volledig in beheer nemen, maar de bedrijfsdata in Outlook, Teams en OneDrive wil je wel beschermen. Dat is het typische scenario van Bring Your Own Device (BYOD).

In deze blogpost lees je hoe je met Mobile Application Management (MAM) in Microsoft Intune een App Protection Policy voor iOS/iPadOS maakt, welke instellingen je daarin kiest en wat de gebruiker daarvan merkt.

Wat is Mobile Application Management?

Met Mobile Application Management (MAM) bescherm je bedrijfsdata binnen apps, in plaats van het hele apparaat te beheren. Je stelt de regels in met een App Protection Policy. Zo’n beleid richt zich op de identiteit van de gebruiker en geldt alleen wanneer de app met een werk- of schoolaccount wordt gebruikt. Privégebruik van dezelfde app blijft daarbuiten. Om af te dwingen dat gebruikers alleen via beschermde apps bij bedrijfsdata komen, combineer je het beleid met Conditional Access.

Zo eis je bijvoorbeeld een pincode voor bedrijfsdata, voorkom je dat die naar persoonlijke apps wordt gekopieerd en verwijder je alleen de bedrijfsdata uit een app, zonder de app zelf te verwijderen.

MAM zonder en met device enrollment

Een App Protection Policy werkt op apparaten die wel en die niet in Intune zijn ingeschreven:

Je kunt beide naast elkaar gebruiken. Met filters in de toewijzing geef je onbeheerde toestellen een strenger beleid dan ingeschreven toestellen. Op iOS ziet Intune een toestel alleen als beheerd wanneer de app via app-configuratie de waarden IntuneMAMUPN en IntuneMAMOID krijgt. Intune stuurt die automatisch naar Excel, Outlook, PowerPoint, Teams en Word op ingeschreven toestellen; Microsoft breidt die lijst nog uit. Voor apps die er (nog) niet in staan, op het moment van schrijven bijvoorbeeld OneDrive, stel je de waarden zelf in met een app configuration policy. Zonder die waarden ziet het beleid het toestel als onbeheerd, en kan het beleid de app zelfs niet of verkeerd bereiken.

Wat heb je nodig?

• Gebruikers met een account in Microsoft Entra ID.
• Een Microsoft Intune-licentie, toegewezen aan die gebruikers.
• Een beveiligingsgroep met de gebruikers voor wie het beleid geldt.
• Een iPhone of iPad met een app die App Protection ondersteunt, zoals Outlook, Teams of OneDrive. Voor Outlook heeft de gebruiker ook een Exchange Online-mailbox en -licentie nodig (of Exchange Server met hybride moderne verificatie).
• Een beheerdersrol in Intune met de rechten Managed apps, zoals de ingebouwde rol Application Manager.

Maak een App Protection Policy aan in Intune

1. Open het Microsoft Intune admin center.
2. Navigeer naar Apps > Protection.
3. Klik op Create policy en kies iOS/iPadOS.
4. Vul op de pagina Basics een duidelijke naam in, bijvoorbeeld “MAM – Microsoft 365 Apps – iOS”.
5. Klik op Next om naar de pagina Apps te gaan.

Selecteer de apps

Kies op de pagina Apps bij Target policy to welke apps onder het beleid vallen:

• All Apps: alle apps van Microsoft en partners die de Intune SDK hebben ingebouwd.
• Microsoft Apps: alle Microsoft-apps met de Intune SDK.
• Core Microsoft Apps: Microsoft Edge, Excel, Office, OneDrive, OneNote, Outlook, PowerPoint, SharePoint, Teams, To Do en Word.
• Selected apps: je kiest zelf de apps.

Met Selected apps bepaal je precies welke apps meedoen:

1. Kies bij Target policy to voor Selected apps.
2. Klik op Select public apps en voeg de apps toe, bijvoorbeeld Microsoft Outlook, Microsoft Teams en Microsoft OneDrive.
3. Klik op Next om naar Data protection te gaan.

Stel de databescherming in

Op de pagina Data protection bepaal je wat gebruikers met bedrijfsdata in de app mogen doen. Belangrijke instellingen:

• Backup Org data to iTunes and iCloud backups: zet deze op Block, zodat bedrijfsdata niet in een iTunes- of iCloud-back-up terechtkomt.
• Send Org data to other apps: kies Policy managed apps, zodat bedrijfsdata alleen naar andere beschermde apps gaat. Op een niet-ingeschreven toestel, of een ingeschreven toestel dat delen met onbeheerde apps toestaat, kan een gebruiker inhoud via Open-in of een deelextensie nog naar een onbeheerde app sturen, maar Intune versleutelt die dan, zodat die app hem niet kan lezen.
• Restrict cut, copy and paste between other apps: kies Policy managed apps, zodat knippen, kopiëren en plakken alleen tussen beschermde apps werkt.
• Encrypt Org data: laat deze op Require staan. Intune dwingt dan de versleuteling van iOS/iPadOS af, die de bedrijfsdata beschermt zolang het toestel vergrendeld is; apps kunnen daarnaast zelf versleutelen. Heeft het toestel geen toegangscode, dan kan de app de gebruiker vragen er een in te stellen.
• Restrict web content transfer with other apps: kies Microsoft Edge, zodat links uit de beschermde apps alleen in Edge openen. Staat Edge niet op het toestel, dan krijgt de gebruiker het verzoek het te installeren.

Klik op Next om naar Access requirements te gaan.

Stel de toegangseisen in

Op de pagina Access requirements bepaal je hoe de gebruiker zich bewijst:

• PIN for access: zet deze op Require. De gebruiker stelt een app-pincode in zodra hij de app voor het eerst met zijn werkaccount gebruikt.
• Touch ID instead of PIN for access en Face ID instead of PIN for access: zet deze op Allow om biometrie toe te staan in plaats van de pincode. Let op: met Allow bij Face ID gebruikt de app op een toestel met Face ID gezichtsherkenning in plaats van de pincode. Na de time-out van de volgende instelling vraagt de app toch om de pincode. Wordt er op het toestel een vinger of gezicht toegevoegd of verwijderd, dan vraagt de app bij de volgende inactiviteitstime-out om de pincode, in apps die dat ondersteunen.
• Override biometrics with PIN after timeout (op Microsoft Learn Override Touch ID with PIN after timeout): met Require en een time-out vraagt de app na die periode van inactiviteit toch weer om de pincode in plaats van biometrie. De standaard is Require met een time-out van 30 minuten. Met Not required vervalt deze extra pincodecontrole; de gebruiker bewijst zich dan in de regel met Touch ID of Face ID. Na een wijziging in de biometrie vraagt de app nog wel om de pincode. Gebruik je Require, dan adviseert Microsoft deze time-out hoger te zetten dan de waarde bij Recheck the access requirements after.
• Recheck the access requirements after (minutes of inactivity): na hoeveel minuten inactiviteit de gebruiker zich opnieuw moet bewijzen. De standaardwaarde is 30.

💡 Deze instellingen zijn een afweging tussen beveiliging en gebruiksgemak. Hoe vaker de app om de pincode vraagt, hoe veiliger, maar ook hoe vaker de gebruiker wordt onderbroken. Biometrie zonder extra pincode na een time-out is voor de gebruiker vaak het prettigst; kies Require als je organisatie die extra controle wil. De screenshot hieronder is een voorbeeld, geen aanbevolen configuratie.

Klik op Next om naar Conditional launch te gaan.

Stel voorwaarden in voor het starten van de app

Met Conditional launch stel je eisen aan gebruiker en toestel, met per eis een actie als daar niet aan wordt voldaan.

App-voorwaarden

• Max PIN attempts: het aantal pogingen voor de pincode, standaard 5. Daarna volgt de actie Reset PIN of Wipe data.
• Offline grace period: hoelang een app zonder verbinding met Intune mag werken. De instelling kent twee acties: Block access (minutes), standaard na 1440 minuten (24 uur), en Wipe data (days), standaard na 90 dagen.

Apparaatvoorwaarden

• Jailbroken/rooted devices: kies de actie Block access. De gebruiker kan de app dan nog privé gebruiken, maar niet voor bedrijfsdata. Deze instelling heeft geen Defender nodig; Microsoft Defender for Endpoint op iOS komt aan bod in iOS beveiligen met Microsoft Defender for Endpoint: Zero-Touch Onboarding & Realtime Bescherming.

Klik op Next om naar Assignments te gaan.

Wijs het beleid toe aan gebruikers

Een App Protection Policy werkt pas als het aan een groep gebruikers is toegewezen.

1. Selecteer op de pagina Assignments de groepen die je wilt opnemen: de beveiligingsgroep met de gebruikers voor wie het beleid geldt.
2. Wil je onderscheid maken tussen ingeschreven en niet-ingeschreven toestellen, stel dan met Edit filter een filter in.
3. Klik op Next om naar Review + create te gaan, controleer de instellingen en klik op Create.

💡 Het kan even duren voordat het beleid op bestaande toestellen actief is. Microsoft raadt aan het beleid eerst uit te rollen en pas daarna Conditional Access-regels toe te voegen die beschermde apps vereisen.

Gebruikerservaring

Zodra het beleid op het toestel actief wordt, krijgt de gebruiker een melding. De screenshots hieronder zijn één voorbeeld op iOS: daar meldt de app dat de organisatie de bedrijfsdata nu beveiligt en vraagt de app opnieuw te starten.

Bij het eerste gebruik met het werkaccount vraagt de app om een pincode in te stellen, en om biometrie te gebruiken als dat is toegestaan. Op iOS delen apps van dezelfde uitgever één pincode, dus Microsoft-apps gebruiken in de regel dezelfde pincode.

Is knippen, kopiëren en plakken beperkt tot beschermde apps, dan kan de gebruiker bedrijfsdata niet in een onbeheerde app plakken. In het voorbeeld hieronder toont de onbeheerde app een melding in plaats van de tekst.

📚 Alle instellingen voor iOS/iPadOS, met hun standaardwaarden, staan in iOS/iPadOS App Protection Policy Settings op Microsoft Learn.

Tot slot

Een App Protection Policy in Intune beschermt bedrijfsdata in de apps waarop hij van toepassing is, zoals Outlook, Teams en OneDrive, op persoonlijke iPhones en iPads, zonder dat je het toestel zelf beheert. Om af te dwingen dat gebruikers alleen via die apps bij de data komen, combineer je hem met Conditional Access.