App protection e app configuration policy in Intune

Nei contesti BYOD (Bring Your Own Device) l’obiettivo non è controllare il dispositivo, ma proteggere i dati aziendali dentro le app. Microsoft Intune risponde con due strumenti complementari: le App Protection Policy (APP), note anche come MAM (Mobile Application Management), e le App Configuration Policy. Capire quando usare ciascuna, e cosa richiedono per funzionare, è centrale nell’MD-102.

App Protection Policy (MAM without enrollment)

Una App Protection Policy applica controlli a livello di singola app, indipendentemente dal fatto che il dispositivo sia gestito o meno. È lo scenario tipico del MAM without enrollment (MAM-WE): l’utente installa Microsoft Outlook o Teams sul proprio telefono personale, si autentica con l’account Microsoft Entra ID, e la policy si applica al momento dell’accesso ai dati aziendali — senza alcun enrollment del device in Intune.

I controlli tipici si dividono in tre famiglie:

  • Data relocation / Data protection: bloccare o limitare copia/incolla verso app non gestite, disabilitare il Save-As verso storage personali, forzare “Save copies only to OneDrive/SharePoint”, impedire backup su iTunes/iCloud o Google Backup, aprire i link solo in Microsoft Edge gestito.
  • Access requirements: richiedere un PIN applicativo (o biometria) per aprire l’app, imporre un numero massimo di tentativi, richiedere credenziali aziendali dopo un timeout di inattività.
  • Conditional launch: definire soglie (versione OS minima, dispositivo non jailbroken/rooted, patch level) e la relativa azione — block oppure wipe dei dati aziendali.

Selective wipe

Il grande vantaggio del MAM è il selective wipe: tramite un’azione di wipe (o alla rimozione dell’utente) Intune cancella solo i dati aziendali dentro le app gestite — email, allegati, file di SharePoint — lasciando intatti foto, contatti e app personali. È l’opposto del factory reset o del retire che appartengono al mondo MDM. Sull’esame, quando lo scenario è “azienda vuole rimuovere i dati corporate da un telefono personale senza toccare i dati dell’utente”, la risposta è App Protection Policy + selective wipe.

Managed apps vs managed devices

La distinzione chiave:

  • Managed apps: l’app è protetta da APP; il dispositivo NON è iscritto. Scenario BYOD puro. La sicurezza vive dentro l’app.
  • Managed devices: il dispositivo è enrolled in Intune (MDM), quindi si possono applicare configuration profile, compliance policy e MDM completo. Tipico dei device corporate-owned.

Le due modalità possono coesistere: si può avere un device gestito (MDM) e App Protection Policy sopra, ma la forza dell’APP è proprio funzionare anche senza MDM.

App Configuration Policy

Mentre l’APP protegge, l’App Configuration Policy pre-imposta le impostazioni di un’app, evitando all’utente configurazioni manuali (es. pre-popolare l’account email in Outlook, forzare parametri di Edge o Defender). Esistono due tipi, ed è una scelta d’esame ricorrente:

  • Managed devices: usa i canali nativi iOS/iPadOS (Managed App Configuration) e Android Enterprise (managed configurations / AppConfig). Richiede che il dispositivo sia iscritto e, su Android, spesso che l’app sia distribuita via Managed Google Play.
  • Managed apps: si applica alle app che supportano l’Intune App SDK, quindi funziona anche su dispositivi non gestiti (BYOD). È l’abbinamento naturale delle App Protection Policy.

Requisito fondamentale: l’Intune App SDK

Sia MAM sia le configuration policy “managed apps” funzionano solo con app che integrano l’Intune App SDK (o che sono “wrapped”). Le app Microsoft 365 (Outlook, Teams, Edge, OneDrive, Word/Excel) lo integrano nativamente; un’app di terze parti non abilitata non è targettabile da queste policy. Questo è il perno di molte domande d’esame.

Trappole tipiche d’esame

  • Scenario: rimuovere i dati aziendali da un telefono personale senza cancellare foto/app personali → App Protection Policy con selective wipe, non factory reset né retire MDM.
  • Scenario: applicare controllo copia/incolla e PIN su Outlook a utenti BYOD che rifiutano l’enrollment → MAM without enrollment; l’iscrizione del dispositivo non è richiesta su iOS/Android.
  • Scenario: la policy MAM non si applica a un’app di terze parti → l’app non integra l’Intune App SDK; solo le app SDK-enabled sono gestibili.
  • Scenario: pre-configurare un’app senza iscrivere il dispositivo → App Configuration Policy tipo “managed apps”; il tipo “managed devices” richiede l’enrollment.
  • Scenario: distribuire una managed configuration Android su device iscritti → serve Android Enterprise + Managed Google Play, non il canale “managed apps”.