Cómo configurar MAM para Edge en Windows usando Microsoft Intune

MAM para Windows on Edge permite a los administradores asegurarse de que los dispositivos estén en buen estado y seguros antes de acceder a los datos de su organización, todo mientras el dispositivo no está administrado (no administrado a través de Microsoft Intune). Esto significa que algunas políticas, similares a las que ya son compatibles con Android e IOS, también se pueden aplicar a dispositivos Windows mediante el navegador Microsoft Edge. Al combinar MAM para Windows con acceso condicional, puede crear una solución simple y segura para acceder a datos en dispositivos Windows personales (no administrados).

Nota: esta función se encuentra actualmente en versión preliminar pública

En este tutorial, le mostraré cómo configurar MAM para Edge en Windows en Microsoft Intune y le demostraré la experiencia del usuario.

¿Por qué utilizar MAM para Windows?

MAM para Windows (o más específicamente, MAM para Microsoft Edge en Windows) permitirá a los administradores garantizar que los usuarios puedan acceder de forma segura a los datos de la organización en dispositivos que no pertenecen a la empresa. Esto ayuda a garantizar que la empresa pueda mantener los costos bajos sin tener que proporcionar hardware a los contratistas (por ejemplo), al tiempo que permite que su personal existente mantenga un acceso flexible a los recursos relevantes para que puedan hacer su trabajo.

MAM para Windows frente a Microsoft Defender para aplicaciones en la nube

Al combinar MAM para Windows y Microsoft Defender para aplicaciones en la nube, puede crear una solución de seguridad más completa para proteger el acceso a los datos de la empresa a través de dispositivos no administrados. Al utilizar el acceso condicional, también puede crear una experiencia similar con las aplicaciones de Defender for Cloud para el usuario final, como puede hacerlo con MAM para Windows, por lo que pensé que sería útil explicar las diferencias y cómo deberían funcionar juntas.

Si bien MAM para Edge en Windows le permite controlar el acceso a los datos de la empresa sin que el dispositivo se administre a través de Intune, Microsoft Defender para aplicaciones en la nube proporciona un nivel diferente de seguridad.

Para desglosar esto, MAM administra la aplicación en el dispositivo y las señales se pueden recuperar a través de la aplicación para garantizar que el dispositivo cumpla con un cierto nivel de cumplimiento básico, como que el sistema operativo esté actualizado. Defender for Cloud Apps es un agente de acceso (que efectivamente se ejecuta como un proxy de sesión) para proteger sus datos, sin en realidad representar el tráfico desde su dispositivo. También se pueden aplicar políticas similares, como evitar copiar y pegar y la filtración de datos desde dentro de la sesión.

Configurar una directiva de protección de aplicaciones para Windows mediante el portal de Intune

1. Comience iniciando sesión en el Centro de administración de Microsoft Intune.

2. Cree una nueva política de protección de aplicaciones seleccionando Aplicaciones > Políticas de protección de aplicaciones > Crear política > Windows.

3. Cuando se inicie el nuevo asistente de política de protección de aplicaciones, en la primera página, ingrese un nombre significativo y haga clic en Siguiente.

4. En la página Aplicaciones, haga clic en Seleccionar aplicaciones y elija Microsoft Edge. Al momento de escribir este artículo, Microsoft Edge es la única aplicación disponible.

5. En la pestaña Protección de datos, defina la configuración de funcionalidad y transferencia de datos. En la captura de pantalla siguiente, elegí la configuración más restrictiva disponible en ese momento. Esto evitará que los usuarios transfieran datos dentro y fuera del contexto de la organización, así como impedirá la función de copiar y pegar y la impresión.

6. En la pestaña Comprobaciones de estado, configure las condiciones de la aplicación y del dispositivo para satisfacer sus necesidades. La configuración del período de gracia sin conexión define cuánto tiempo el dispositivo administrado por la aplicación puede permanecer "sin conexión" o sin registrarse antes de que se revoque el acceso o se eliminen los datos de la empresa sin conexión del dispositivo. También puede configurar el sistema operativo Windows mínimo admitido para garantizar que solo se puedan utilizar versiones compatibles de Windows para acceder a los datos de la empresa.

7. Por último, en la pestaña Asignaciones, agregue un grupo incluido y haga clic en Siguiente.

8. Finalmente, en la pestaña Revisar + crear, asegúrese de que su configuración sea correcta y haga clic en Crear.

Seguro con políticas de acceso condicional

Las políticas de acceso condicional se utilizan para aplicar la política de protección de aplicaciones MAM que se requiere al acceder a los servicios de Microsoft 365 mediante el navegador Microsoft Edge. Siga los pasos a continuación para crear una política de acceso condicional para MAM para Windows.

Inicie sesión en Microsoft Entra, navegue hasta la hoja Políticas de acceso condicional e inicie el asistente para nuevas políticas. https://entra.microsoft.com/ > Protección > Acceso condicional > Políticas > Nuevo política

2. Cree una nueva política con la siguiente configuración:

Nombre: MAM para Windows
Usuarios: Todos los usuarios O un grupo específico
Recursos de destino: aplicaciones en la nube: Office 365
Condiciones:
- Plataformas de dispositivos: Incluir - Windows
- Aplicaciones cliente: Navegador
- Filtro para dispositivos: Excluir - isCompliant es igual a True
Conceder: Requerir política de protección de aplicaciones

La experiencia del usuario final con MAM para Windows

Una vez implementado MAM, el usuario final será dirigido automáticamente a través de algunos pasos la próxima vez que intente iniciar sesión en Microsoft 365 con su cuenta corporativa.

En primer lugar, si el usuario intenta iniciar sesión en Microsoft 365 en línea en un navegador web que no sea Microsoft Edge, verá el siguiente mensaje:

Una vez que sean redirigidos a Microsoft Edge, deberán ingresar su nombre de usuario y contraseña nuevamente en la página de inicio de sesión de Microsoft 365, donde recibirán el siguiente aviso y deberán hacer clic en Cambiar perfil de Edge.

Aparecerá una pequeña ventana emergente en la parte superior de la página del navegador solicitándoles que inicien sesión en su cuenta laboral o educativa. Su nombre de usuario puede aparecer o no en la lista anterior, pero no importa, haga clic en Iniciar sesión para sincronizar datos e inicie sesión con su dirección de correo electrónico y contraseña del trabajo.

También vale la pena mencionar en este punto que el usuario debe estar habilitado para la inscripción en MAM y no tener aplicada ninguna política de acceso condicional basada en el cumplimiento del dispositivo, ya que puede impedirle iniciar sesión.

En el inicio de sesión final, desmarque la opción Permitir que mi organización administre mi dispositivo y haga clic en Aceptar. Hacer esto asegurará que su dispositivo esté registrado en Microsoft Entra. No haga clic en "No, inicie sesión solo en esta aplicación", ya que su dispositivo no quedará registrado.

Después de este paso, será redirigido a su perfil de trabajo en Microsoft Edge y la página web de Microsoft 365 iniciará sesión automáticamente. Dependiendo de la configuración de verificación de estado configurada en su política MAM de Windows, es posible que se muestren algunas advertencias inmediatas después de iniciar sesión.

Si el sistema operativo mínimo en su política de protección de aplicaciones está configurado en un nivel superior al de su sistema operativo actual y la política está configurada en Bloquear. Se le impedirá utilizar su perfil corporativo de Edge hasta que se resuelva el problema.

Si la política solo está configurada para advertir, recibirá la siguiente advertencia que podrá borrar y luego podrá continuar usando su perfil corporativo de Edge.

Si tiene habilitada la configuración para evitar copiar y pegar, también se le presentará la siguiente advertencia si intenta copiar archivos desde Edge.