Outlook, Teams e Edge no Android corporativo sem Intune

Você utiliza o Microsoft 365, e os dispositivos Android da sua empresa são gerenciados por um MDM Android Enterprise que não é o Intune. Talvez você esteja migrando para fora do Intune ou nunca o tenha licenciado. De qualquer forma, você ainda precisa que o Outlook encontre a caixa de correio correta na primeira inicialização, que o Teams aceite apenas contas de trabalho e que o Edge abra a página correta da intranet e bloqueie o restante.

A maior parte disso é possível sem o Intune. A Microsoft documenta um conjunto de chaves de configuração gerenciada para Outlook, Teams, Edge e Microsoft Launcher no Android. Qualquer MDM Android Enterprise pode entregá-las por meio do sistema operacional. Algumas proteções dependem do Intune, no entanto. Este guia separa os dois para que você possa explicar as concessões aos seus diretores.

Você configurará a pré-configuração de conta no Outlook, as chaves de conta e entrada no Teams, controles de navegação e configurações de quiosque no Edge, além do Microsoft Launcher como tela inicial. Em seguida, você verá o que perde sem o Intune App Protection e como migrar políticas existentes de configuração de aplicativos do Intune para configurações gerenciadas.

Saindo do Intune? Leia primeiro Migrando as configurações ao sair do Intune e crie sua planilha de mapeamento. Em seguida, siga as Etapas 1 a 6 usando os valores dessa planilha em vez de começar do zero.

Antes de começar: configurações gerenciadas vs Intune App Protection

Esses dois mecanismos são fáceis de confundir, e grande parte da confusão vem dos nomes das chaves.

• Configurações gerenciadas do Android (também chamadas de restrições de aplicativo) fazem parte do Android Enterprise. Seu MDM envia um conjunto de chaves e valores para um aplicativo instalado pelo Google Play gerenciado, e o aplicativo os lê a partir do pacote de restrições do Android. A Microsoft chama isso de canal do SO ("OS channel") ou canal de "dispositivos gerenciados". Qualquer MDM Android Enterprise pode utilizá-lo.
• Intune App Protection (MAM) é a camada de política a nível de aplicativo da Microsoft. Ele é integrado aos aplicativos da Microsoft por meio do Intune App SDK e só é aplicado quando uma política de proteção de aplicativo do Intune tem o usuário como destino. Controles de copiar/colar, restrições de "salvar como" e verificações de inicialização condicional pertencem a este nível. Ele exige o Intune.

Os nomes das chaves são o que costuma confundir. Algumas chaves que começam com com.microsoft.intune.mam funcionam pelo canal do SO mesmo assim. O exemplo mais importante é com.microsoft.intune.mam.AllowedAccountUPNs, que tem o nome do SDK da Microsoft, mas que o Outlook e o Teams leem do pacote de restrições do Android. Use esta regra em vez do prefixo: chaves com IntuneMAMOnly no nome precisam de uma política de proteção de aplicativo do Intune. A Microsoft documenta as outras chaves abordadas neste guia para dispositivos gerenciados por meio do canal do SO.

Pré-requisitos

• Dispositivos registrados no Android Enterprise em um MDM compatível com configurações gerenciadas. Observe qual modo cada dispositivo usa: totalmente gerenciado, dedicado ou perfil de trabalho. O modo quiosque do Edge na Etapa 4 destina-se a dispositivos dedicados.
• Sua conta do Google Play gerenciado vinculada ao MDM, para que você possa aprovar o Outlook, o Teams, o Edge e o Microsoft Launcher.
• Uma conta do Microsoft Entra com uma licença adequada do Microsoft 365 para cada usuário que fará login no Outlook e no Teams.
• A documentação de configuração da Microsoft aberta em learn.microsoft.com para cada aplicativo, para que você possa verificar os formatos dos valores.
• Um dispositivo de teste que você possa limpar e registrar novamente.

Observação: Os nomes das chaves diferenciam maiúsculas de minúsculas. Se você digitar edgeenablekioskmode em vez de EdgeEnableKioskMode, o aplicativo ignorará e não mostrará nenhum erro. Escolha as chaves a partir do formulário de configuração gerenciada do seu MDM, que é gerado a partir do próprio esquema do aplicativo, em vez de digitá-las manualmente.

Etapa 1: Aprovar os aplicativos da Microsoft e adicioná-los à sua política

1. No console do seu MDM, abra o Google Play gerenciado e aprove o Microsoft Outlook (com.microsoft.office.outlook), o Microsoft Teams (com.microsoft.teams), o Microsoft Edge (com.microsoft.emmx) e, se planeja usá-lo, o Microsoft Launcher (com.microsoft.launcher).
2. Adicione cada aplicativo a uma política de teste usada apenas pelo seu dispositivo de teste, e não à política de toda a frota. Defina o tipo de instalação como obrigatório ou forçado para que o aplicativo chegue sem ação do usuário.
3. Abra o formulário de configuração gerenciada de cada aplicativo. Você deverá ver uma lista de chaves correspondente à documentação da Microsoft.

Resultado esperado: Cada aplicativo adicionado aparece na política e cada um exibe um formulário de configuração gerenciada editável. Se um formulário estiver vazio, o aplicativo ainda não foi aprovado no Google Play gerenciado ou o console ainda não obteve o seu esquema.

Aviso: As configurações gerenciadas alcançam apenas cópias do aplicativo instaladas por meio do Google Play gerenciado no perfil gerenciado ou em um dispositivo totalmente gerenciado. Se um usuário instalar o Outlook em seu perfil pessoal, essa cópia não receberá nada.

Etapa 2: Pré-configurar a conta do Outlook e bloquear as configurações importantes

1. Configuração da conta. Defina com.microsoft.outlook.EmailProfile.EmailAddress como o endereço de e-mail do usuário, junto com as chaves dos próximos itens.
2. com.microsoft.outlook.EmailProfile.EmailUPN: o UPN de logon do usuário. Frequentemente é o mesmo que o endereço de e-mail, mas nem sempre.
3. com.microsoft.outlook.EmailProfile.AccountType: o tipo de conta que a Microsoft documenta para sua caixa de correio. Para o Exchange Online com autenticação moderna, a Microsoft documenta ModernAuth.
4. Contas permitidas. Defina com.microsoft.intune.mam.AllowedAccountUPNs com a conta corporativa ou contas que o Outlook pode adicionar. A Microsoft documenta essa chave para dispositivos gerenciados por meio do canal do SO. Verifique na página da Microsoft o delimitador exato se listar mais de um UPN.
5. Comportamento de e-mail. Escolha Caixa de Entrada Destaque, bloqueio de imagens externas e respostas sugeridas no formulário. A Microsoft também documenta chaves para sincronização de contatos e calendário, e para S/MIME se você usa e-mails assinados ou criptografados.
6. Bloqueie o que importa. Muitas chaves do Outlook têm uma chave complementar que termina em .UserChangeAllowed. Defina-a como false para qualquer coisa que os usuários não devam alterar, como o bloqueio de imagens externas. Deixe como true para preferências como a Caixa de Entrada Destaque se você quiser apenas definir um padrão.

Resultado esperado: Na primeira inicialização, o Outlook exibe a conta corporativa encontrada. O usuário toca para adicioná-la e faz login com suas credenciais do Microsoft Entra. A adição de uma conta que não esteja na lista de permitidas é recusada, e os usuários não conseguem alterar as configurações que você bloqueou.

Observação: A pré-configuração não ignora a autenticação. O usuário ainda faz login, e a MFA e quaisquer políticas de entrada que você tenha no Entra ID continuam sendo aplicadas.

Etapa 3: Configurar o Teams para dispositivos compartilhados e de linha de frente

A Microsoft documenta três chaves do Teams que funcionam sem o Intune:

1. com.microsoft.intune.mam.AllowedAccountUPNs restringe o Teams às contas de trabalho listadas. A Microsoft afirma que essa restrição de conta funciona com qualquer UEM em dispositivos registrados. Dispositivos de usuário único: defina como o UPN desse usuário, usando uma variável por usuário se o seu MDM tiver uma.
2. Dispositivos compartilhados: o valor deve incluir todos os funcionários que fazem login nesse dispositivo. Verifique a página da Microsoft para saber o delimitador da lista. Se você não conseguir manter essa lista atualizada, deixe a chave não configurada em dispositivos compartilhados e registre essa concessão no seu registro de decisões.
3. domain_name define seu domínio de logon, para que os funcionários não precisem digitar o UPN completo.
4. enable_numeric_emp_id_keypad exibe um teclado numérico no logon. Em dispositivos compartilhados em que os funcionários entram com um ID de funcionário numérico, isso agiliza a entrada.

O Teams também tem três chaves de conteúdo de notificação, que controlam o que aparece nas notificações. Todas as três terminam em IntuneMAMOnly. Sem uma política de proteção de aplicativo do Intune, elas não têm efeito; portanto, não dependa delas para ocultar visualizações de mensagens em um dispositivo compartilhado.

Resultado esperado: Em um dispositivo compartilhado, a tela de entrada do Teams exibe um teclado numérico e o funcionário digita seu ID de funcionário. Se você definiu AllowedAccountUPNs, o Teams aceita apenas as contas dessa lista.

Etapa 4: Configurar o Edge para controle de navegação, quiosques e dispositivos compartilhados

1. Permitir e bloquear. Use URLAllowlist e URLBlocklist para controlar quais sites podem ser abertos. Em um dispositivo voltado a tarefas específicas, uma pequena lista de permissões geralmente é mais fácil de manter do que uma longa lista de bloqueios.
2. Pontos de partida. Use ManagedFavorites para enviar favoritos da intranet, do portal de RH e da ferramenta de chamados. Use EdgeNewTabPageCustomURL para definir a página da nova guia.
3. Padrões de segurança. Ative SmartScreenEnabled e EdgeDefaultHTTPS.
4. Quiosque e visualização restrita. Em dispositivos dedicados, EdgeEnableKioskMode executa o Edge como um navegador em modo quiosque. EdgeShowAddressBarInKioskMode controla se os usuários veem a barra de endereços e EdgeLockedViewModeEnabled limita a navegação dentro do navegador. Combine isso com IdleTimeout para que uma sessão ociosa seja redefinida. Verifique a página da Microsoft para a unidade de tempo.
5. Higiene em dispositivos compartilhados. Defina EdgeBlockSignInEnabled e EdgeSyncDisabled para que ninguém faça login com um perfil em um navegador compartilhado. Desative PasswordManagerEnabled, restrinja InPrivateModeAvailability e ative SavingBrowserHistoryDisabled. Use os valores que a Microsoft documenta para cada um.

Resultado esperado: O Edge abre na página escolhida, mostra seus favoritos gerenciados, recusa sites bloqueados e, em dispositivos em modo quiosque, oculta os controles desativados. A entrada no Edge é bloqueada para todas as contas, corporativas e pessoais. Esse é o comportamento pretendido em um dispositivo compartilhado. Não defina EdgeBlockSignInEnabled em dispositivos de usuário único onde as pessoas precisam do perfil de trabalho no Edge.

Observação: O Edge também possui chaves de proteção de aplicativo do Intune, documentadas separadamente. Assim como as chaves IntuneMAMOnly do Outlook e do Teams, elas não fazem nada sem o Intune.

Etapa 5: Usar o Microsoft Launcher como tela inicial (opcional)

Use esta opção se desejar uma tela inicial no estilo Microsoft em vez do inicializador de quiosque do seu MDM.

1. Remova o inicializador concorrente. Desative o inicializador de quiosque do MDM na política para esses dispositivos. Escolha uma tela inicial por dispositivo, pois executar o Microsoft Launcher junto a um inicializador de quiosque do MDM causa conflitos.
2. Defina-o como o aplicativo inicial padrão. Se a sua política de MDM puder definir um aplicativo de início padrão, configure-o para o Microsoft Launcher. Se não puder, pressione Início no dispositivo, selecione Microsoft Launcher e toque em Sempre.
3. Configure o layout com estas chaves. HomeScreen.Applications: quais aplicativos aparecem.
4. AppOrder: a posição deles.
5. WebLinks: atalhos para páginas da web.
6. Wallpaper.URL: papel de parede da empresa. O URL da imagem deve ser acessível a partir da rede do dispositivo.
7. Dock.Mode: comportamento do dock.
8. Feed.Enabled: se o painel de feed está disponível.

Resultado esperado: Pressionar Início ou reiniciar o dispositivo exibe o Microsoft Launcher com o layout de aplicativos, papel de parede e links da web definidos. Para dispositivos de finalidade única, o quiosque do MDM costuma ser a opção mais simples.

Etapa 6: Testar em um dispositivo antes de implantar amplamente

1. Limpe e registre novamente um dispositivo de teste na política de teste criada antes, que nenhum outro dispositivo usa.
2. Aguarde a instalação dos aplicativos e, em seguida, inicie o Outlook, o Teams e o Edge, nessa ordem. Verifique cada resultado esperado acima.
3. Tente burlar cada configuração: adicione uma conta pessoal no Outlook e no Teams, abra um URL bloqueado, altere uma configuração bloqueada do Outlook e tente entrar no Edge em um dispositivo compartilhado.
4. Registre o que funciona e o que não funciona antes de expandir o grupo. Use a seção de Perguntas Frequentes e Resolução de Problemas abaixo para qualquer falha.

Resultado esperado: Cada configuração se comporta conforme definido. Qualquer coisa que falhe geralmente se resume a um erro de digitação, um tipo de valor incorreto ou uma chave que requer exclusivamente o Intune.

O que você perde sem o Intune, de forma clara

Configurações gerenciadas moldam como os aplicativos são configurados. Elas não governam o que os usuários podem fazer com os dados dentro deles. Sem o Intune App Protection, você não obtém:

• Controles de transferência de dados: restringir copiar/colar fora do Outlook ou do Teams e bloquear "Salvar como" em locais não gerenciados.
• Controles de conteúdo de notificação: as chaves IntuneMAMOnly que ocultam o conteúdo da mensagem nas notificações.
• Requisitos de inicialização condicional e acesso: verificações a nível de aplicativo, como PIN de aplicativo, versão mínima do SO ou do aplicativo, ou bloqueio de dispositivos com root antes de o aplicativo abrir.
• Limpeza seletiva a nível de aplicativo de dados corporativos nesses aplicativos.

O Acesso Condicional no Microsoft Entra ID é separado de tudo isso. Políticas que exigem um dispositivo em conformidade com o Intune ou uma política de proteção de aplicativo dependem dos sinais do Intune. Nem as configurações gerenciadas nem um MDM diferente substituem o Intune App Protection ou esse tipo de Acesso Condicional. Revise essas políticas antes da migração: elas vão bloquear o login de dispositivos que deixarem de ser gerenciados pelo Intune.

Você ainda tem o próprio Android Enterprise. Um perfil de trabalho separa aplicativos corporativos e pessoais a nível de sistema operacional, um dispositivo totalmente gerenciado ou dedicado permite que você controle todo o dispositivo e as restrições a nível de dispositivo são definidas por política. Se isso é suficiente depende da classificação dos seus dados. Registre a decisão por escrito: liste quais dos controles acima você está abrindo mão, o risco que cada um cobria e a medida compensatória que você está usando no lugar. Esse registro é o que seus diretores solicitarão.

Migrando as configurações ao sair do Intune

1. Exporte o que você tem. No centro de administração do Intune, liste todas as políticas de configuração de aplicativo para Outlook, Teams, Edge e Microsoft Launcher. Observe o tipo de cada política. As políticas de Dispositivos gerenciados já usam o canal do SO. As políticas de Aplicativos gerenciados passam pelo Intune App SDK. Termine esta lista antes de desativar o Intune, porque essas políticas são a fonte do seu mapeamento.
2. Mapeie cada chave. Crie uma planilha com quatro colunas: chave, valor, tipo de política de origem e destino. Chaves de políticas de dispositivos gerenciados são mapeadas diretamente para configurações gerenciadas no seu novo MDM.
3. Para chaves de políticas de aplicativos gerenciados, consulte a página da Microsoft para verificar se a mesma chave é documentada para o canal do SO. Se for, migre-a. Se ela contiver IntuneMAMOnly ou for documentada apenas para proteção de aplicativo, marque-a como perdida e anote-a no seu registro de decisões.
4. Variáveis de token do Intune (por exemplo, o UPN do usuário) devem ser substituídas pelas variáveis do seu MDM ou por valores explícitos. Planeje também a migração em si: o Android Enterprise não permite que o MDM antigo e o novo gerenciem o mesmo dispositivo ao mesmo tempo, então cada dispositivo precisa ter o perfil de trabalho removido, ou ser restaurado para as configurações de fábrica, antes de ser registrado no novo MDM.
5. Teste em um dispositivo exatamente como na Etapa 6 e, em seguida, migre um grupo piloto antes de toda a frota.

Resultado esperado: Uma planilha de mapeamento onde cada configuração anterior do Intune é migrada, substituída ou conscientemente descartada, além de um dispositivo que se comporta como na configuração antiga do Intune para tudo o que foi migrado.

Perguntas frequentes e resolução de problemas

O Outlook não mostra a conta pré-configurada na primeira inicialização.

Verifique se o Outlook foi instalado a partir do Google Play gerenciado no perfil gerenciado e se com.microsoft.outlook.EmailProfile.EmailAddress, EmailUPN e AccountType estão todos definidos respeitando maiúsculas e minúsculas. Se o usuário abriu o Outlook antes da chegada da configuração, limpe os dados do aplicativo ou reinstale-o e inicie-o novamente.

Os usuários ainda conseguem adicionar uma conta pessoal.

Verifique se com.microsoft.intune.mam.AllowedAccountUPNs está definido nesse aplicativo específico (Outlook e Teams precisam, cada um, da sua própria configuração) e se o valor corresponde exatamente ao UPN do usuário. Um erro de digitação no domínio fará com que nenhuma conta corresponda.

Um funcionário em dispositivo compartilhado não consegue entrar no Teams.

Se AllowedAccountUPNs estiver definido nesse dispositivo, o UPN do trabalhador deverá estar na lista. Adicione-o ou remova a chave em dispositivos compartilhados conforme descrito na Etapa 3.

As chaves de notificação do Teams não têm efeito.

Isso é esperado. As chaves de conteúdo de notificação terminam em IntuneMAMOnly e exigem uma política de proteção de aplicativo do Intune.

Os usuários não conseguem fazer login no Edge de forma alguma.

EdgeBlockSignInEnabled bloqueia todos os logons no Edge, incluindo contas de trabalho. Remova-o das políticas para dispositivos de usuário único.

As configurações de quiosque do Edge são ignoradas.

Confirme se o dispositivo está registrado como dispositivo dedicado, verifique a escrita exata com maiúsculas/minúsculas de EdgeEnableKioskMode e certifique-se de que nenhum outro inicializador esteja disputando o primeiro plano com o Edge.

Uma configuração que bloqueei ainda pode ser alterada.

O bloqueio precisa da respectiva chave complementar .UserChangeAllowed definida como false. Definir apenas a chave principal apenas estabelece um valor padrão.

O formulário de configuração gerenciada do aplicativo está vazio.

O aplicativo pode ainda não ter sido aprovado no Google Play gerenciado ou o console ainda não obteve seu esquema. Aprove o aplicativo, atualize a página e reabra o formulário.

Posso obter restrições de copiar/colar sem o Intune?

Não dentro do Outlook ou do Teams por meio de configurações gerenciadas. No nível do sistema operacional, as políticas do Android Enterprise podem restringir o compartilhamento de dados entre o perfil de trabalho e o perfil pessoal, o que pode atuar como um controle compensatório. Registre isso dessa forma em seu registro de decisões.

Como definir essas configurações no Nomid

No Nomid MDM, você adiciona o aplicativo a partir do Google Play gerenciado a uma política e abre sua configuração gerenciada. O Nomid exibe o formulário de configuração gerenciada do aplicativo, para que você selecione as chaves em vez de digitá-las. Comece com um dispositivo de teste nessa política e mova mais dispositivos para ela quando o teste for aprovado. Para verificar quais chaves cada aplicativo disponibiliza antes de começar, consulte as páginas do diretório para Outlook, Teams, Edge e Microsoft Launcher.

Se um dispositivo piloto não receber um aplicativo, o funcionário poderá executar a tela de Check-up no aplicativo Nomid Settings, caso sua política exiba o respectivo botão. O status de instalação por aplicativo cobre apenas os aplicativos da Nomid Store; por isso, para Outlook, Teams e Edge do Google Play gerenciado, as linhas úteis são as versões da Play Store e do Google Play Services e se o dispositivo alcança os servidores do Nomid. As linhas com falha oferecem uma correção, e o check-up pode ser executado novamente. O console mostra quando ocorreu o último check-up, e cada um é registrado no histórico de comandos do dispositivo. O plano gratuito cobre até 10 dispositivos sem limite de tempo, o que é suficiente para executar esse piloto.

Principais conclusões e próximos passos

• As configurações gerenciadas são provenientes de qualquer MDM Android Enterprise. O Intune App Protection vem apenas do Intune. Confira cada chave na documentação da Microsoft: IntuneMAMOnly no nome indica que ela exige o Intune App Protection, enquanto o prefixo com.microsoft.intune.mam sozinho não indica isso.
• A configuração de conta do Outlook, contas permitidas e configurações bloqueadas, as chaves de logon do Teams, os controles de navegação e quiosque do Edge e o layout do Microsoft Launcher funcionam sem o Intune.
• Controles de copiar/colar e salvar como, chaves de conteúdo de notificação, inicialização condicional e Acesso Condicional dependente do Intune não estão disponíveis. Documente essas concessões antes de iniciar a implantação.

Próximos passos: crie sua planilha de mapeamento, configure um dispositivo de teste e apresente seu registro de decisões juntamente com o resultado. Para testar isso no Nomid, comece pelo plano gratuito em nomidmdm.com e abra as páginas do diretório de aplicativos vinculadas acima.