Управление Microsoft Edge на iOS и Android с помощью Intune

Microsoft Edge для iOS и Android предназначен для просмотра веб-страниц и поддерживает несколько удостоверений. Пользователи могут добавить рабочую учетную запись и личную учетную запись для просмотра. Предусмотрено полное разделение между двумя удостоверениями, аналогичное тому, что предлагается в других мобильных приложениях Майкрософт.

Данная функция применяется к:

• iOS/iPadOS 14.0 или более поздней версии
• Android 8.0 или более поздней версии для зарегистрированных устройств и Android 9.0 или более поздней версии для незарегистрированных устройств

Самые богатые и широкие возможности защиты данных Microsoft 365 доступны при подписке на пакет Enterprise Mobility + Security, который включает функции Microsoft Intune и Microsoft Entra ID P1 или P2, такие как условный доступ. Как минимум, разверните политику условного доступа, которая разрешает подключение к Microsoft Edge для iOS и Android только с мобильных устройств, а также политику защиты приложений Intune, обеспечивающую безопасность браузера.

Создание политик защиты приложений Intune

По мере того, как организации все чаще внедряют SaaS и веб-приложения, браузеры становятся важными инструментами для бизнеса. Пользователям часто требуется доступ к этим приложениям из мобильных браузеров в пути. Обеспечение защиты данных, к которым осуществляется доступ через мобильные браузеры, от преднамеренных или непреднамеренных утечек, имеет решающее значение. Например, пользователи могут случайно поделиться данными организации с личными приложениями, что приведет к утечке данных, или скачать их на локальные устройства, что также представляет риск.

Организации могут защитить от утечки данных, когда пользователи просматривают Microsoft Edge для мобильных устройств, настроив политики защиты приложений, которые определяют, какие приложения разрешены, и действия, которые они могут выполнять с данными вашей организации. Выбор политик защиты приложений позволяет организациям адаптировать защиту к своим конкретным потребностям. Для некоторых может быть не очевидно, какие параметры политики необходимы для реализации полного сценария. Чтобы помочь организациям определить приоритеты для защиты конечных точек мобильных клиентов, корпорация Майкрософт ввела таксономию для своих политик защиты приложений платформы защиты данных для управления мобильными приложениями iOS и Android.

Платформа защиты данных политик защиты приложений состоит из трех отдельных уровней конфигурации, каждый из которых основан на предыдущем:

• Базовая защита корпоративных данных (уровень 1) обеспечивает защиту приложений с помощью ПИН-кода и шифрования и выполняет операции выборочной очистки. На устройствах Android этот уровень используется для проверки аттестации устройств. Эта конфигурация начального уровня, которая обеспечивает аналогичное управление защитой данных в политиках почтовых ящиков Exchange Online и знакомит ИТ-специалистов и пользователей с APP.
• Расширенная защита корпоративных данных (уровень 2) представляет политики защиты приложений, механизмы предотвращения утечки данных и минимальные требования к ОС. Эта конфигурация применима к большинству мобильных пользователей, получающих доступ к рабочим или школьным данным.
• Высокий уровень защиты корпоративных данных (уровень 3) представляет расширенные механизмы защиты данных, улучшенную настройку ПИН-кода и политики защиты приложений. Защита от угроз на мобильных устройствах. Такая конфигурация желательна для пользователей, обращающихся к данным с высоким риском.

Конкретные рекомендации для каждого уровня конфигурации и минимальные требования к защищенным приложениям см. в статье Платформа защиты данных с использованием политик защиты приложений.

Вне зависимости от того, зарегистрировано ли устройство в решении единого управления конечными точками (UEM), политику защиты приложений Intune необходимо создать как для приложений iOS, так и для приложений Android. Для этого выполните действия, описанные в статье Как создать и назначить политики защиты приложений. Эти политики должны по крайней мере отвечать указанным ниже требованиям.

• К ним относятся все мобильные приложения Microsoft 365, например Microsoft Edge, Outlook, OneDrive, Office и Teams, что гарантирует, что пользователи могут безопасно получать доступ к рабочим или учебным данным и управлять ими в любом приложении Майкрософт.

• Они назначаются всем пользователям, что обеспечивает их защиту, независимо от того, используют ли они Microsoft Edge для iOS или Android.

• Определите, какой уровень платформы соответствует вашим требованиям. Большинству организаций следует реализовать параметры, определенные в разделе Корпоративная расширенная защита данных (уровень 2), так как это обеспечивает управление требованиями к защите данных и доступу.

Применение условного доступа

Важно защищать Microsoft Edge с помощью политик защиты приложений, но также важно, чтобы Microsoft Edge был обязательным браузером для открытия корпоративных приложений. В противном случае пользователи могут использовать другие незащищенные браузеры для доступа к корпоративным приложениям, что может привести к утечке данных.

Организации могут использовать политики условного доступа Microsoft Entra, чтобы гарантировать, что пользователи смогут получать доступ к рабочему или учебному содержимому только с помощью Microsoft Edge для iOS и Android. Для этого требуется политика условного доступа, предназначенная для всех потенциальных пользователей. Эти политики описаны в разделе Условный доступ: требовать утвержденные клиентские приложения или политику защиты приложений.

Выполните действия, описанные в статье "Требовать утвержденные клиентские приложения или политику защиты приложений для мобильных устройств", которая разрешает Microsoft Edge для iOS и Android, но блокирует подключение веб-браузеров других мобильных устройств к конечным точкам Microsoft 365.

С помощью условного доступа вы также можете настроить таргетинг на локальные сайты, которые вы открыли для внешних пользователей через прокси-сервер приложения Microsoft Entra .

Дополнительные сведения см. в статье Использование прокси-сервера приложений Microsoft Entra для публикации локальных приложений для удаленных пользователей

Единый вход в подключенные веб-приложения Microsoft Entra в браузерах, защищенных политиками

Microsoft Edge для iOS и Android может использовать преимущества единого входа (SSO) во все веб-приложения (SaaS и локальные), подключенные к Microsoft Entra. Единый вход позволяет пользователям получать доступ к веб-приложениям, подключенным к Microsoft Entra, через Microsoft Edge для iOS и Android без необходимости повторного ввода учетных данных.

Единый вход требует, чтобы ваше устройство было зарегистрировано приложением Microsoft Authenticator для устройств iOS или Корпоративным порталом Intune на Android. Если у пользователей есть какое-либо из этих приложений, им предлагается зарегистрировать свое устройство, когда они переходят в подключенное веб-приложение Microsoft Entra в защищенном политикой браузере (этот шаг требуется только в том случае, если их устройство еще не зарегистрировано). После регистрации устройства с учетной записью пользователя, управляемой Intune, для этой учетной записи включен единый вход для подключенных веб-приложений Microsoft Entra.

Использование конфигурации приложения для управления просмотром веб-страниц

Microsoft Edge для iOS и Android поддерживает параметры приложений, которые позволяют администраторам унифицированное управление конечными точками, например Microsoft Intune, настраивать поведение приложения.

Конфигурация приложений может предоставляться через канал ОС управления мобильными устройствами (MDM) на зарегистрированных устройствах (канал конфигурации управляемых приложений для iOS или канал Android в корпоративной среде для Android) или через канал управления мобильными приложениями (MAM). Microsoft Edge для iOS и Android поддерживает следующие сценарии конфигурации:

• Разрешение только для рабочих и учебных учетных записей
• Общие параметры конфигурации приложения
• Параметры защиты данных
• Другие конфигурации приложений для управляемых устройств

Каждый сценарий конфигурации подчеркивает свои конкретные требования. Например, что требуется сценарием конфигурации: регистрация устройства (а значит обеспечивается возможность работы с любым поставщиком UEM) или политики защиты приложений Intune.

Разрешение только для рабочих и учебных учетных записей

Соблюдение политик безопасности данных и соответствия требованиям наших крупнейших и строго регулируемых клиентов является ключевым элементом ценности Microsoft 365. Некоторые компании предъявляют требование фиксировать всю информацию о коммуникациях в корпоративной среде и гарантировать, что устройства используются только для корпоративных коммуникаций. Для поддержки этих требований Microsoft Edge для iOS и Android на зарегистрированных устройствах можно настроить таким образом, чтобы разрешить подготовку только одной корпоративной учетной записи в приложении.

Дополнительные сведения о настройке режима разрешенных учетных записей организации см. здесь:

• Настройка Android
• Настройка iOS

Этот сценарий конфигурации работает только с зарегистрированными устройствами. Однако поддерживается любой поставщик UEM. Если вы не используете Microsoft Intune, обратитесь к документации UEM для развертывания этих ключей конфигурации.

Общие сценарии конфигурации приложений

Microsoft Edge для iOS и Android предоставляет администраторам возможность настраивать конфигурацию по умолчанию для нескольких параметров в приложении. Эта возможность предлагается, если в Microsoft Edge для iOS и Android есть политика конфигурации приложений управляемых приложений, примененная к рабочей или учебной учетной записи, вошедшей в приложение.

Microsoft Edge поддерживает следующие параметры конфигурации:

• Страница новой вкладки
• Интерфейс закладок
• Функции поведения приложений
• Режим киоска

Эти параметры можно развернуть в приложении независимо от состояния регистрации устройства.

Макет страницы новой вкладки

Этот вдохновляющий макет используется по умолчанию на странице новой вкладки. Здесь показаны основные ярлыки сайтов, обои и канал новостей. Пользователи могут изменить макет в соответствии со своими предпочтениями. Организации также могут управлять настройками макета.

Пример отключения ленты новостей

• com.microsoft.intune.mam.managedbrowser.NewTabPageLayout= пользовательский
• com.microsoft.intune.mam.managedbrowser.NewTabPageLayout.Custom= топ-сайты
• com.microsoft.intune.mam.managedbrowser.NewTabPageLayout.UserSelectable= false

Страница новой вкладки

Microsoft Edge для iOS и Android предлагает организациям несколько вариантов настройки интерфейса страницы новой вкладки, включая логотип организации, фирменный цвет, домашнюю страницу, популярные сайты и отраслевые новости.

Логотип организации и фирменные цвета

Параметры логотипа и фирменного цвета организации позволяют настроить страницу новой вкладки Microsoft Edge на устройствах с iOS и Android. Логотип баннера используется в качестве логотипа вашей организации, а цвет фона страницы используется в качестве фирменного цвета вашей организации. Дополнительные сведения см. в статье "Настройка фирменной символики компании".

Затем используйте следующие пары ключ-значение, чтобы перенести фирменную символику вашей организации в Microsoft Edge для iOS и Android:

Ярлык домашней страницы

Этот параметр позволяет настроить ярлык домашней страницы Microsoft Edge для iOS и Android на странице "Новая вкладка". Настроенный ярлык домашней страницы отображается в виде первого значка под панелью поиска, когда пользователь открывает новую вкладку в Microsoft Edge для iOS и Android. Пользователь не может изменить или удалить этот ярлык в управляемом контексте. Ярлык домашней страницы отображает имя вашей организации, чтобы выделить его.

Несколько ярлыков основных сайтов

Аналогично настройке ярлыка домашней страницы вы можете настроить несколько распространенных ярлыков сайтов на страницах новых вкладок в Microsoft Edge для iOS и Android. Пользователь не может изменять или удалять эти ярлыки в управляемом контексте. Примечание. Всего можно настроить восемь сочетаний клавиш, включая ярлык для домашней страницы. Если вы настроили ярлык домашней страницы, он переопределяет первый настроенный верхний сайт.

Новости отрасли

Вы можете настроить интерфейс страницы "Новая вкладка" в Microsoft Edge для iOS и Android, чтобы отображать новости отрасли, актуальные для вашей организации. Если вы включите эту функцию, Microsoft Edge для iOS и Android будет использовать доменное имя вашей организации для агрегирования новостей из Интернета о вашей организации, отрасли организации и конкурентах, чтобы ваши пользователи могли находить соответствующие внешние новости на централизованных страницах новых вкладок в Microsoft Edge для iOS и Android. Отраслевые новости по умолчанию отключены.

Домашняя страница вместо страницы новой вкладки

Microsoft Edge для iOS и Android позволяет организациям отключить интерфейс страницы новой вкладки и вместо этого запускать веб-сайт, когда пользователь открывает новую вкладку. Хотя этот сценарий поддерживается, рассмотрите возможность использования страницы новой вкладки для предоставления динамического содержимого, необходимого пользователю.

Интерфейс закладок

Microsoft Edge для iOS и Android предлагает организациям несколько вариантов управления закладками.

Управляемые закладки

Для удобства доступа можно настроить закладки, которые должны быть доступны пользователям при использовании Microsoft Edge для iOS и Android.

• Закладки отображаются только в рабочей или учебной учетной записи и не демонстрируются в личных учетных записях.
• Пользователи не могут удалить или изменить закладки.
• Закладки отображаются в верхней части списка. Все закладки, создаваемые пользователями, отображаются под этими закладками.
• Если вы включили перенаправление прокси приложения, вы можете добавить веб-приложения прокси приложения, используя их внутренний или внешний URL-адрес.
• Закладки создаются в папке, названной по названию организации, определенному в Microsoft Entra ID.

Закладка "Мои приложения"

По умолчанию пользователи имеют закладку "Мои приложения", настроенную в папке "Организация" в Microsoft Edge для iOS и Android.

Функции поведения приложений

Microsoft Edge для iOS и Android предлагает организациям несколько вариантов управления поведением приложения.

Единый вход с паролем Microsoft Entra

Функция единого входа (SSO) Microsoft Entra Password, предлагаемая Microsoft Entra ID, обеспечивает управление доступом пользователей к веб-приложениям, которые не поддерживают федерацию удостоверений. По умолчанию Microsoft Edge для iOS и Android не выполняет единый вход с учетными данными Microsoft Entra. Дополнительные сведения см. в статье Добавление единого входа на основе пароля в приложение.

Обработчик протокола по умолчанию

По умолчанию Microsoft Edge для iOS и Android использует обработчик протокола HTTPS, если пользователь не указывает протокол в URL-адресе. Как правило, это считается оптимальной практикой, но ее можно отключить.

Отключение необязательных диагностических данных

По умолчанию пользователи могут выбрать отправление необязательных диагностических данных в разделе Параметры->Конфиденциальность и защита->Диагностические данные->параметр Необязательные диагностические данные. Организации могут отключить этот параметр.

Отключение определенных функций

Microsoft Edge для iOS и Android позволяет организациям отключать определенные функции, которые включены по умолчанию. Чтобы отключить эти функции, настройте следующий параметр.

Отключение функции импорта паролей

Microsoft Edge для iOS и Android позволяет пользователям импортировать пароли из диспетчера паролей. Чтобы отключить импорт паролей, настройте следующий параметр.

В Microsoft Edge для iOS есть кнопка "Добавить ". Когда функция импорта паролей отключена, кнопка "Добавить " также недоступна.

Управление режимом файлов cookie

Вы можете управлять тем, могут ли сайты сохранять файлы cookie для ваших пользователей в Microsoft Edge для Android. Для этого настройте следующий параметр.

Режим киоска на устройствах Android

Microsoft Edge для Android можно включить в качестве приложения терминала со следующими параметрами:

Заблокированный режим просмотра

Microsoft Edge для iOS и Android можно включить в режиме просмотра блокировки с помощью политики MDM EdgeLockedViewModeEnabled.

Это позволяет организациям ограничивать различные функции браузера, обеспечивая контролируемый и целенаправленный просмотр.

• Адресная строка URL-адреса становится доступной только для чтения, что не позволяет пользователям вносить изменения в веб-адрес.
• Пользователям не разрешается создавать новые вкладки
• Функция контекстного поиска на веб-страницах отключена
• Следующие кнопки в дополнительном меню отключены

Режим заблокированного просмотра часто используется вместе с политикой MAM com.microsoft.intune.mam.managedbrowser.NewTabPage.CustomURL или политикой MDM EdgeNewTabPageCustomURL, которые позволяют организациям настраивать определенную веб-страницу, автоматически запускаемую при открытии Microsoft Edge. Пользователи ограничены этой веб-страницей и не могут переходить на другие веб-сайты, обеспечивая управляемую среду для определенных задач или потребления контента.

Переключение сетевого стека между Chromium и iOS

По умолчанию Microsoft Edge для iOS и Android использует сетевой стек Chromium для связи со службой Microsoft Edge, включая службы синхронизации, автоматические предложения поиска и отправку отзывов. Microsoft Edge для iOS также предоставляет сетевой стек iOS в качестве настраиваемого варианта для взаимодействия со службой Microsoft Edge.

Организации изменяют свои предпочтения сетевого стека, настроив следующий параметр.

Настройка URL-адреса PAC-файла прокси-сервера

Организации могут указать URL-адрес файла автонастройки прокси-сервера (PAC) для Microsoft Edge для iOS и Android

Поддержка в случае сбоя открытия PAC

По умолчанию Microsoft Edge для iOS и Android блокирует доступ к сети с помощью недействительного или недоступного сценария PAC. Однако организации могут изменить поведение по умолчанию для поддержки в случае сбоя открытия PAC.

Настройка сетевых реле

Microsoft Edge для iOS теперь поддерживает сетевые ретрансляторы в iOS 17. Это особый тип прокси-сервера, который можно использовать для удаленного доступа и обеспечения конфиденциальности. Они поддерживают безопасное и прозрачное туннелирование трафика, выступая современной альтернативой VPN при доступе к внутренним ресурсам. Дополнительную информацию о сетевых ретрансляторах см. в разделе Использование сетевых ретрансляторов на устройствах Apple .

Организации могут настроить URL-адреса прокси-сервера ретрансляции для маршрутизации трафика на основе сопоставленных и исключенных доменов.

Пример файла JSON для сетевых реле
{
"default": [{
"proxy_type": "http",
"host_name": "170.200.50.300",
"порт": "3128",
«failover_allowed»: 0,
"match_domains": [
"domain1.com",
"domain2.com" ],
"excluded_domains": [
"domain3.com",
"domain4.com" ]
} ]
}

Прокси-сервер для входа пользователей в Microsoft Edge на устройстве с Android

Автоматическая настройка прокси-сервера (PAC) обычно настраивается в профиле VPN. Однако из-за ограничений платформы PAC не может быть распознан Android WebView , который используется во время входа в Microsoft Edge. Пользователи не могут войти в Microsoft Edge на устройстве с Android.

Организации могут указать выделенный прокси-сервер с помощью политики MDM для входа пользователей в Microsoft Edge на устройствах с Android.

Фильтр SmartScreen в Microsoft Defender

Фильтр SmartScreen в Microsoft Defender — это функция, которая помогает пользователям избежать вредоносных сайтов и скачиваний. Она включена по умолчанию. Организации могут отключить этот параметр.

Проверка сертификата

По умолчанию Microsoft Edge для Android проверяет сертификаты сервера, используя встроенное средство проверки сертификатов и Microsoft Root Store в качестве источника общего доверия. Организации могут переключиться на средство проверки системных сертификатов и корневые сертификаты системы.

Управление страницей предупреждений SSL

По умолчанию пользователи могут проходить через страницы предупреждений, которые отображаются при переходе на сайты с ошибками SSL. Организации могут управлять поведением.

Параметры всплывающих окон

По умолчанию всплывающие окна заблокированы. Организации могут управлять поведением.

Разрешить всплывающие окна на определенных сайтах

Если эта политика не настроена, значение из политики DefaultPopupsSetting (если установлено) или личная конфигурация пользователя используется для всех сайтов. Организации могут определить список сайтов, на которых можно открывать всплывающие окна.

Дополнительную информацию о формате URL-адресов см. в разделе Формат шаблона URL-адресов политики предприятия .

Блокировать всплывающие окна на определенных сайтах

Если эта политика не настроена, значение из политики DefaultPopupsSetting (если установлено) или личная конфигурация пользователя используется для всех сайтов. Организации могут определить список сайтов, которым запрещено открывать всплывающие окна.

Дополнительную информацию о формате URL-адресов см. в разделе Формат шаблона URL-адресов политики предприятия .

Поставщик поиска по умолчанию

По умолчанию Microsoft Edge использует службу поиска по умолчанию для выполнения поиска, когда пользователи вводят тексты, отличные от URL-адресов, в адресной строке. Пользователи могут изменить список поставщиков услуг поиска. Организации могут управлять поведением поставщика услуг поиска.

Настройка поставщика поиска

Организации могут настроить поставщика поиска для пользователей. Чтобы настроить службу поиска, необходимо задать параметр DefaultSearchProviderEnabled .

Copilot

Microsoft 365 Copilot Chat доступен в Microsoft Edge для iOS и Android. Если Copilot Chat включен, пользователь может запустить Copilot, нажав кнопку в адресной строке. Она включена по умолчанию и может быть отключена с помощью . Политика Chat ниже.

По умолчанию Copilot Chat может получать доступ к контексту браузера и содержимому, такому как открытые вкладки и журнал браузера, вы можете отключить его, нажав . Политика ChatPageContext ниже.

Кроме того, Edge Mobile теперь предоставляет более ориентированный на Copilot опыт в браузере под названием "Режим Microsoft 365 Copilot", и теперь он отображает запросы предложений Copilot на NTP, и в ближайшее время ожидаются дополнительные обновления функций и интерфейса. Режим Copilot также будет включен по умолчанию в будущей версии, и ИТ-администратор может явно отказаться от него, используя . Политика CopilotMode MAM ниже, эта политика сохранит Edge мобильным как текущий интерфейс, не оптимизированный для Copilot.

Примечание. Даже вышеупомянутые варианты поведения включены по умолчанию, каждый мобильный пользователь Edge может включить или отключить их индивидуально в параметрах Edge в соответствии со своими интересами и выбором. В то время как указанные ниже политики будут применяться ко всем пользователям в целевой группе или клиенте.

Сценарии конфигурации приложений для защиты данных

Microsoft Edge для iOS и Android поддерживает политики конфигурации приложений для следующих параметров защиты данных, если приложение управляется Microsoft Intune с применением политики Конфигурация приложений управляемых приложений к рабочей или учебной учетной записи, вошедшей в приложение:

• Управление синхронизацией учетных записей
• Управление веб-сайтами с ограниченным доступом
• Управление конфигурацией прокси-сервера
• Управление сайтами единого входа NTLM

Эти параметры можно развернуть в приложении независимо от состояния регистрации устройства.

Управление синхронизацией учетных записей

По умолчанию функция синхронизации Microsoft Edge позволяет пользователям получать доступ к данным браузера на всех устройствах, на которых выполнен вход в систему. Данные, поддерживаемые синхронизацией, включают:

• Избранное
• Пароли
• Адреса и многое другое (автозаполнение записей формы)

Функциональность синхронизации включается путем предоставления согласия пользователя. Пользователи могут включать или отключать синхронизацию для каждого из ранее перечисленных типов данных. Дополнительные сведения см. в статье "Синхронизация Microsoft Edge".

Организации могут отключить синхронизацию Microsoft Edge в iOS и Android.

Управление веб-сайтами с ограниченным доступом

Организации могут определять, к каким сайтам пользователи могут получать доступ, в контексте рабочей или учебной учетной записи в Microsoft Edge для iOS и Android. Если вы используете список разрешений, ваши пользователи смогут получить доступ только к сайтам, указанным явно. Если вы используете список блокировок, пользователи могут получить доступ ко всем сайтам, кроме явно заблокированных. Следует назначить только список разрешений или блокировок, но не оба. Если вы назначите оба списка, будет соблюдаться только список разрешений.

Организации также определяют, что происходит, когда пользователь пытается перейти на веб-сайт с ограниченным доступом. По умолчанию переходы разрешены. Если организация разрешает это, ограниченные веб-сайты можно открывать в контексте личной учетной записи, в контексте InPrivate учетной записи Microsoft Entra или в режиме полной блокировки сайта. Дополнительные сведения о поддерживаемых сценариях см. в статье Переходы на веб-сайты с ограниченным доступом в мобильной версии Microsoft Edge. При разрешении возможностей перехода пользователи организации остаются защищенными и сохраняется безопасность корпоративных ресурсов.

Чтобы расширить возможности переключения профилей путем уменьшения необходимости вручную переключаться на личные профили или в режим InPrivate для открытия заблокированных URL-адресов, мы представили две новые политики:

• com.microsoft.intune.mam.managedbrowser.AutoTransitionModeOnBlock
• com.microsoft.intune.mam.managedbrowser.ProfileAutoSwitchToWork

Поскольку эти политики приносят разные результаты в зависимости от их конфигураций и комбинаций, попробуйте применить следующие рекомендации для быстрой оценки и убедиться, что переключение профилей соответствует потребностям вашей организации, прежде чем изучать подробную документацию. Рекомендуемые параметры конфигурации переключения профилей включают следующие значения:

• com.microsoft.intune.mam.managedbrowser.AllowTransitionOnBlock=true
• com.microsoft.intune.mam.managedbrowser.openInPrivateIfBlocked=true
• com.microsoft.intune.mam.managedbrowser.AutoTransitionModeOnBlock=1
• com.microsoft.intune.mam.managedbrowser.ProfileAutoSwitchToWork=2

Используйте следующие пары "ключ-значение", чтобы настроить список разрешенных или заблокированных сайтов в Microsoft Edge для iOS и Android.

Следующие сайты, кроме copilot.microsoft.com, всегда разрешены независимо от определенных параметров списка разрешенных или заблокированных списков:

• https://*.microsoft.com/*
• http://*.microsoft.com/*
• https://microsoft.com/*
• http://microsoft.com/*
• https://*.windowsazure.com/*
• https://*.microsoftonline.com/*
• https://*.microsoftonline-p.com/*

Управляйте поведением всплывающего окна "Сайт заблокирован".

При попытке доступа к заблокированным веб-сайтам пользователям предлагается переключиться на режим InPrivate или на личную учетную запись, чтобы открыть заблокированные веб-сайты. Вы можете выбрать предпочтения между InPrivate и личным аккаунтом.

Управление поведением запроса публикации при переключении учетной записи

При попытке доступа к заблокированным веб-сайтам пользователям предлагается переключиться на режим InPrivate или на личную учетную запись, чтобы открыть заблокированные веб-сайты. Вы можете выбрать предпочтения по обработке запроса публикации во время переключения учетной записи. Политика MAM доступна только для iOS.

Управляйте поведением при переключении личного профиля на рабочий профиль

Если Microsoft Edge находится в личном профиле и пользователи пытаются открыть ссылку из Outlook или Microsoft Teams, которые находятся в рабочем профиле, Intune по умолчанию использует рабочий профиль Microsoft Edge, чтобы открыть ссылку, так как Microsoft Edge, Outlook и Microsoft Teams управляются Intune. Однако при блокировке ссылки пользователь переключается на личный профиль. Это создает проблемы для пользователей.

Вы можете настроить политику, чтобы улучшить взаимодействие с пользователями. Рассмотрите возможность использования этой политики вместе с AutoTransitionModeOnBlock, так как она может переключить пользователей на личный профиль в соответствии с настроенным значением политики.

Управление блокировкой вложенных ресурсов

По умолчанию AllowListURL и BlockListURLs применяются только на уровне навигации. При внедрении заблокированных URL-адресов (URL-адресов, настроенных в BlockListURLs или URL-адресов, не настроенных в AllowListURLs) в качестве вложенных ресурсов в веб-страницу, эти вложенные URL-адреса ресурсов не блокируются.

Чтобы еще больше ограничить эти вложенные ресурсы, можно настроить политику для блокировки URL-адресов вложенных ресурсов.

Форматы URL-адресов для списка разрешенных и заблокированных сайтов

Для создания списков разрешенных или заблокированных сайтов можно использовать различные форматы URL-адресов. Эти допустимые шаблоны подробно описаны в следующей таблице.

• При вводе любых URL-адресов в списке добавляйте префиксы http:// или https://.

• Вы можете использовать подстановочный знак (*) в соответствии с правилами в следующем списке разрешенных шаблонов.

• Подстановочный знак может сопоставлять только часть (например, news-contoso.com) или весь компонент имени узла (например, ) или целые части пути, host.contoso.comразделенные косой чертой (www.contoso.com/images).

• В адресе можно указать номера портов. Если номер порта не указан, используются следующие значения:

  • Порт 80 для http
  • Порт 443 для https

• Использование подстановочных знаков для номера порта поддерживается только в Microsoft Edge для iOS. Например, можно указать http://www.contoso.com:* и http://www.contoso.com:*/.

• Указание IPv4-адресов в нотации CIDR поддерживается. Например, можно указать 127.0.0.1/24 (диапазон IP-адресов).

  URL-адрес	Подробно	Совпадения	Не соответствуют
  http://www.contoso.com	Соответствует одной странице	www.contoso.com	host.contoso.com www.contoso.com/images contoso.com/
  http://contoso.com	Соответствует одной странице	contoso.com/	host.contoso.com www.contoso.com/images www.contoso.com
  http://www.contoso.com/*	Соответствует всем URL-адресам, которые начинаются с www.contoso.com	www.contoso.com www.contoso.com/images www.contoso.com/videos/tvshows	host.contoso.com host.contoso.com/images
  http://*.contoso.com/*	Соответствует всем поддоменам в домене contoso.com	developer.contoso.com/resources news.contoso.com/images news.contoso.com/videos	contoso.host.com news-contoso.com
  http://*contoso.com/*	Соответствует всем поддоменам, заканчивающимися на contoso.com/	news-contoso.com news-contoso.com/daily	news-contoso.host.com news.contoso.com
  http://www.contoso.com/images	Соответствует одной папке	www.contoso.com/images	www.contoso.com/images/dogs
  http://www.contoso.com:80	Соответствует одной странице с использованием номера порта	www.contoso.com:80
  https://www.contoso.com	Соответствует одной безопасной странице	www.contoso.com	www.contoso.com/images
  http://www.contoso.com/images/*	Соответствует одной папке и всем вложенным папкам	www.contoso.com/images/dogs www.contoso.com/images/cats	www.contoso.com/videos
  http://contoso.com:*	Соответствует любому номеру порта для одной страницы	contoso.com:80 contoso.com:8080
  10.0.0.0/24	Соответствует диапазону IP-адресов от 10.0.0.0 до 10.0.0.255	10.0.0.0 10.0.0.100	192.168.1.1

  • Ниже приведены примеры некоторых входных данных, которые нельзя указать:
  • *.com
  • *.contoso/*
  • www.contoso.com/*images
  • www.contoso.com/*images*pigs
  • www.contoso.com/page*
  • https://*
  • http://*
  • http://www.contoso.com: /*

Отключение внутренних страниц Microsoft Edge

Вы можете отключить внутренние страницы Microsoft Edge, такие как Edge://flags и Edge://net-export. Другие страницы можно найти на Edge://about

Управляйте веб-сайтами, чтобы разрешить загрузку файлов

Возможны ситуации, когда пользователям разрешается только просматривать веб-сайты без возможности отправлять файлы. Организации могут указать, какие веб-сайты могут принимать загружаемые файлы.

Пример блокировки загрузки файлов для всех веб-сайтов, включая внутренние веб-сайты.

• com.microsoft.intune.mam.managedbrowser.FileUploadBlockedForUrls= *

Пример разрешения определенным веб-сайтам загружать файлы

• com.microsoft.intune.mam.managedbrowser.FileUploadAllowedForUrls= https://[*.]contoso.com/|[*.]sharepoint.com/
• com.microsoft.intune.mam.managedbrowser.FileUploadBlockedForUrls= *

Дополнительную информацию о формате URL-адресов см. в разделе Формат шаблона URL-адресов политики предприятия .

Управление конфигурацией прокси-сервера

Вы можете использовать Microsoft Edge для iOS и Android и прокси-сервер приложения Microsoft Entra вместе, чтобы предоставить пользователям доступ к сайтам интрасети с их мобильных устройств. Например:

• Пользователь применяет мобильное приложение Outlook, которое защищено Intune. Затем пользователь выбирает ссылку на сайт интрасети в сообщении электронной почты. Microsoft Edge для iOS и Android распознает, что этот сайт интрасети был доступен пользователю через Application Proxy. Пользователь автоматически направляется через Application Proxy для проверки подлинности с помощью любой применимой многофакторной проверки подлинности и условного доступа, прежде чем достигнет сайта интрасети. Теперь пользователь может получить доступ к внутренним сайтам даже с мобильных устройств, а ссылка в Outlook работает должным образом.
• Пользователь открывает Microsoft Edge для iOS и Android на устройстве с iOS или Android. Если Microsoft Edge для iOS и Android защищен с помощью Intune, а Application Proxy включен, пользователь может перейти на сайт интрасети, используя внутренний URL-адрес, к которому он привык. Microsoft Edge для iOS и Android распознает, что этот сайт интрасети был доступен пользователю через Application Proxy. Пользователь автоматически направляется через прокси приложения для проверки подлинности, прежде чем перейти на сайт интрасети.

Перед началом работы:

• Настройте свои внутренние приложения через прокси-сервер приложений Microsoft Entra.
  • Сведения о настройке прокси приложения и публикации приложений см. в документации по настройке.
  • Убедитесь, что пользователю назначено приложение Microsoft Entra Proxy app, даже если в приложении настроен тип предварительной проверки подлинности Passthrough.
• Приложению Microsoft Edge для iOS и Android должна быть назначена политика защиты приложений Intune.
• В приложениях Майкрософт должна быть политика защиты приложений, в которой параметру Ограничить обмен веб-содержимым с другими приложениями настроено значение Microsoft Edge.

Используйте в Microsoft Edge для iOS и Android следующую пару ключ-значение, чтобы включить Application Proxy.

Дополнительные сведения о том, как использовать Microsoft Edge для iOS и Android и прокси-сервер приложений Microsoft Entra совместно для простого (и защищенного) доступа к локальным веб-приложениям, см. в статье "Лучше вместе: Intune и Microsoft Entra объединяют усилия для улучшения доступа пользователей.

Управление сайтами единого входа NTLM

Организации могут требовать, чтобы пользователи проходили проверку подлинности с помощью NTLM для доступа к веб-сайтам интрасети. По умолчанию пользователям предлагается вводить учетные данные при каждом доступе к веб-сайту, требующему проверки подлинности NTLM, так как кэширование учетных данных NTLM отключено.

Организации могут включить кэширование учетных данных NTLM для определенных веб-сайтов. Для этих сайтов после ввода учетных данных пользователем и успешной проверки подлинности учетные данные кэшируются по умолчанию на 30 дней.

Управление параметром веб-страницы "Запуск Microsoft Edge"

Организации могут управлять параметром веб-страницы "Запуск Microsoft Edge", установив по умолчанию вариант " Продолжить просмотр с того места, где я остановился " или "Всегда начинать с новой вкладки".

Управление интерактивным режимом для единого входа в Интернете

Организации могут включить или отключить интерактивный режим для единого веб-входа (WebSSO). Когда интерактивный режим активирован, Microsoft Edge Mobile обновляет состояние входа текущей учетной записи и при необходимости предлагает пользователю пройти повторную проверку подлинности путем прямого взаимодействия.

Поддержка единого веб-входа в запросах iframe

Организации могут включать или отключать единый веб-вход (SSO) в запросах iframe в Microsoft Edge.

Управление представлением рабочего стола на мобильных устройствах

Эта политика определяет режим просмотра по умолчанию для веб-сайтов. Организации могут указать список шаблонов URL-адресов сайтов, которые всегда открываются в представлении на компьютере или на мобильном устройстве.

Другие конфигурации приложений для управляемых устройств

Следующие политики, которые изначально можно было настроить с помощью политики конфигурации приложений для управляемых приложений, теперь доступны с помощью политики конфигурации приложений для управляемых устройств. При использовании политик для управляемых приложений пользователи должны войти в Microsoft Edge. При использовании политик для управляемых устройств пользователям не требуется входить в Microsoft Edge для применения этих политик.

Так как политикам конфигурации приложений для управляемых устройств требуется регистрация устройств, поддерживается любое единое управление конечными точками (UEM). Дополнительные политики в канале MDM см. в статье Политики Microsoft Edge Mobile.

Развертывание сценариев конфигурации приложений с помощью Microsoft Intune

Если вы используете Microsoft Intune в качестве поставщика управления мобильными приложениями, следующие действия позволят вам создать политику конфигурации управляемых приложений. После создания конфигурации вы сможете назначать соответствующие параметры группам пользователей.

1. Войдите в Центр администрирования Microsoft Intune.

2. В политиках конфигурации приложений нажмите Добавить, а затем выберите Управляемые приложения.

3. В политиках конфигурации приложений нажмите "Добавить" и выберите "Управляемые приложения".

4. В разделе "Основы " введите имя и необязательное описание для параметров конфигурации приложения.

5. Для общедоступных приложений выберите Выберите общедоступные приложения, а затем в целевых приложениях выберите Edge для iOS и Android, выбрав приложения для платформы iOS и Android. Нажмите "Выбрать ", чтобы сохранить выбранные общедоступные приложения.

6. Нажмите кнопку "Далее", чтобы завершить ввод основных параметров политики конфигурации приложений.

7. В разделе Параметры разверните Параметры конфигурации Edge.

8. Если вы хотите управлять параметрами защиты данных, настройте нужные параметры соответствующим образом:

   • Для параметра Перенаправление прокси приложения выберите один из доступных вариантов: Включить или Отключить (по умолчанию).

   • Для параметра URL-адрес ярлыка домашней страницы укажите действительный URL-адрес, включающий префикс http:// или https://. Неправильные URL-адреса блокируются в качестве меры безопасности.

   • Для параметра Управляемые закладки укажите название и действительный URL-адрес, включающий префикс http:// или https://.

   • Для параметра Разрешенные URL-адреса укажите действительный URL-адрес (разрешены только эти URL-адреса; доступ к другим сайтам отсутствует). Дополнительные сведения о поддерживаемых форматах URL-адресов см. в разделе Форматы URL-адресов для списка разрешенных и заблокированных сайтов.

   • Для параметра Заблокированные URL-адреса укажите действительный URL-адрес (блокируются только эти URL-адреса). Дополнительные сведения о поддерживаемых форматах URL-адресов см. в разделе Форматы URL-адресов для списка разрешенных и заблокированных сайтов.

   • Для параметра Перенаправлять сайты с ограниченным доступом в личный контекст выберите один из доступных вариантов: Включить (по умолчанию) или Отключить.

   Примечание.

   Если в политике определены как разрешенные, так и заблокированные URL-адреса, учитывается только список разрешенных.

9. Если вы хотите отключить дополнительные параметры конфигурации приложения, разверните узел "Общие параметры конфигурации " и введите соответствующие пары "ключ-значение".

10. Завершив настройку параметров, нажмите кнопку "Далее".

11. В разделе "Задания" выберите "Выбрать группы для включения". Выберите группу Microsoft Entra, которой вы хотите назначить политику конфигурации приложения, а затем нажмите "Выбрать".

12. Закончив задания, нажмите "Далее".

13. В колонке "Создание политики конфигурации приложения" "Просмотр + Создание " проверьте параметры, настроенные и нажмите кнопку "Создать".

Созданная политика конфигурации появится в колонке Конфигурация приложения.

Использование Microsoft Edge для iOS и Android для доступа к журналам управляемых приложений

Пользователи с Microsoft Edge для iOS и Android, установленным на устройствах с iOS или Android, могут просматривать состояние управления всеми опубликованными приложениями Майкрософт. Они могут отправлять журналы для устранения неполадок в управляемых приложениях iOS или Android. Для этого нужно выполнить следующие действия.

1. Откройте Microsoft Edge для iOS и Android на своем устройстве.

2. Введите edge://intunehelp/ в поле адреса.

3. Microsoft Edge для iOS и Android запускает режим устранения неполадок.

Вы можете получить журналы от службы поддержки Майкрософт, предоставив идентификатор инцидента пользователя.

Список параметров, хранимый в журналах приложений, см. в статье Просмотр журналов защиты клиентских приложений.

Журналы диагностики

В дополнение к журналам Intune из edge://intunehelp/, вас может попросить служба поддержки Майкрософт предоставить журналы диагностики Microsoft Edge для iOS и Android. Вы можете отправить журналы на сервер Майкрософт или сохранить их локально и поделиться ими непосредственно в службу поддержки Майкрософт.

Отправка журналов на сервер Майкрософт

Выполните следующие действия, чтобы отправить журналы на сервер Майкрософт:

1. Воспроизведите проблему.
2. Откройте дополнительное меню, щелкнув значок гамбургера в правом нижнем углу.
3. Проведите влево и выберите "Справка и отзывы".
4. В разделе "Описать, что происходит" опишите проблему, чтобы служба поддержки могла найти соответствующие журналы.
5. Отправьте журналы на сервер Майкрософт, нажав кнопку в правом верхнем углу.

Сохраняйте журналы локально и делитесь ими напрямую в службу поддержки Майкрософт

Выполните следующие действия, чтобы сохранить журналы локально и поделиться ими:

1. Воспроизведите проблему.
2. Откройте меню переполнения, выбрав меню-гамбургер в правом нижнем углу.
3. Проведите влево и выберите "Справка и отзывы".
4. Выберите диагностические данные.
5. В Microsoft Edge для iOS нажмите значок "Поделиться " в правом верхнем углу. Откроется диалоговое окно общего доступа к ОС, что позволяет сохранить журналы локально или поделиться ими через другие приложения. В Microsoft Edge для Android откройте подменю в правом верхнем углу и выберите параметр сохранения журналов. Журналы сохраняются в папке Download>Edge .

Если вы хотите очистить старые журналы, выберите значок "Очистить " в правом верхнем углу при выборе диагностических данных. Затем снова воспроизведите проблему, чтобы сохранить только свежие журналы.

Методы прямой ссылки для принудительного запуска приложения Edge на мобильном устройстве

Существуют специальные прямые ссылки, предназначенные для Edge Mobile.

Дальнейшие действия

• Что такое политики защиты приложений?
• Политики конфигурации приложений в Microsoft Intune