Pontos principais
- O Intune oferece dois modelos de gerenciamento: Mobile Device Management (MDM), para controle total do dispositivo, e Mobile Application Management (MAM), para proteção em nível de aplicativo em dispositivos BYOD.
- As Políticas de Proteção de Aplicativo do Intune protegem os dados corporativos dentro dos aplicativos com criptografia, controles de acesso e regras de inicialização condicional, com ou sem registro do dispositivo.
- A APP do Intune protege os dados corporativos nos aplicativos compatíveis sem gerenciar o dispositivo inteiro.
- Em dispositivos corporativos, o Intune combina políticas de proteção de aplicativo, perfis de configuração e Acesso Condicional.
O Microsoft Intune oferece dois modelos principais de gerenciamento de segurança para endpoints e aplicativos:
- Mobile Device Management (MDM): abordagem em nível de dispositivo, que exige o registro completo no Intune.
- Mobile Application Management (MAM): abordagem em nível de aplicativo, que protege os dados corporativos sem exigir o registro do dispositivo.
O Intune usa Políticas de Proteção de Aplicativo (APPs) para definir e aplicar regras de segurança nos aplicativos. Isso inclui criptografia de dados, controles de copiar/colar e salvar, inicialização condicional e exigências de autenticação do usuário para aplicativos específicos (sobretudo os do Microsoft 365).
Este guia mostra como configurar e aplicar a Política de Proteção de Aplicativo do Intune em cenários somente MAM (BYOD) e em dispositivos registrados no MDM (corporativos). Também explica como o Intune permite a coexistência dos dois modelos, em que um mesmo dispositivo pode ser gerenciado por MDM e MAM para criar camadas de aplicação de políticas.
Se preferir assistir em vez de ler, veja nosso vídeo Políticas de Proteção de Aplicativo no Intune: cenários de MAM vs MDM.
Estratégias de implantação recomendadas:
Guia da Política de Proteção de Aplicativo (APP) do Microsoft Intune
Este guia ensina a aplicar Políticas de Proteção de Aplicativo (APPs) no Microsoft Intune em cenários somente MAM e com registro no MDM. Também explica a integração com o Acesso Condicional, os métodos de validação e os principais pontos de atenção na implantação.
Pré-requisitos gerais:
- Licenças Premium P1 do Microsoft Intune e do Microsoft Entra ID (Azure AD)
- Os aplicativos precisam ter suporte ao SDK do Intune (por exemplo, Outlook, Teams, OneDrive).
- Para MAM: não é preciso registrar o dispositivo.
- Para MDM: o dispositivo precisa estar registrado no Intune.
- Acesso ao centro de administração do Microsoft Intune
- Os usuários precisam estar em grupos de segurança do Microsoft Entra ID definidos como destino da política.
Aplicar políticas de proteção de aplicativo: somente MAM (para BYOD)
As políticas somente MAM protegem os dados da organização dentro dos aplicativos sem registrar o dispositivo no MDM.
Casos de uso: é o cenário ideal para usuários de Bring Your Own Device (BYOD), quando a organização quer proteger os dados corporativos dentro dos aplicativos sem gerenciar o dispositivo inteiro.
Pré-requisitos:
- Os dispositivos precisam ter suporte ao SDK do Intune ou os aplicativos devem ser empacotados com a Ferramenta de Empacotamento de Aplicativos do Intune.
- Os usuários precisam de licença do Intune + Entra ID Premium P1/P2.
Passo a passo:
- Abra o centro de administração do Microsoft Intune.
- Acesse Aplicativos > Políticas de proteção de aplicativo > Criar política.
- Escolha a plataforma: iOS/iPadOS/Android/Windows
- Em Aplicativos de destino, selecione os aplicativos da Microsoft e os aplicativos de terceiros compatíveis.
- Clique em Avançar e configure as opções de proteção de aplicativo:
- Proteção de dados: defina como os usuários podem interagir com os dados nos aplicativos (recortar/copiar/colar/salvar e criptografar dados).
- Requisitos de acesso: defina o que os usuários precisam cumprir para acessar os aplicativos (PIN, biometria ou inicialização condicional).
- Inicialização condicional: defina os requisitos de segurança de entrada da política de proteção de acesso (bloquear o acesso ou apagar os dados após um intervalo offline, por exemplo).
- Clique em Avançar e atribua a política a grupos de usuários (não a dispositivos) na página Atribuições. (Leia o item 1 em ⚠️ Pontos de atenção.)
- Clique em Avançar, revise as configurações e clique em Criar.
- Acompanhe em Monitorar > Status de proteção de aplicativo.
Essa política vale mesmo que o dispositivo não seja gerenciado (cenário MAM sem registro, ou MAM-WE).
Aplicar políticas de proteção de aplicativo: dispositivos registrados no MDM
Em dispositivos registrados no MDM, os passos são os mesmos, mas as políticas costumam ser combinadas com:
- Políticas de conformidade
- Perfis de configuração de dispositivo
- Políticas de acesso condicional
Isso cria uma camada extra de proteção junto das configurações em nível de dispositivo.
Casos de uso: ideal para dispositivos corporativos com gerenciamento completo.
Pré-requisitos:
- Os dispositivos precisam estar registrados no Intune MDM
- Os usuários precisam de licença do Microsoft Intune
- Os aplicativos de destino precisam ter suporte às Políticas de Proteção de Aplicativo do Intune
Passo a passo:
- Abra o centro de administração do Microsoft Intune.
- Acesse Aplicativos > Políticas de proteção de aplicativo > Criar política.
- Escolha a plataforma: iOS/iPadOS/Android/Windows
- Na página Aplicativos, selecione os aplicativos da Microsoft e os aplicativos de terceiros compatíveis.
- Clique em Avançar e configure as opções de proteção de aplicativo:
- Proteção de dados: defina como os usuários podem interagir com os dados nos aplicativos (recortar/copiar/colar/salvar e criptografar dados do aplicativo).
- Requisitos de acesso: defina o que os usuários precisam cumprir para acessar os aplicativos (PIN, biometria ou inicialização condicional).
- Inicialização condicional: defina os requisitos de segurança de entrada da política de proteção de acesso (bloquear o acesso ou apagar os dados após um intervalo offline, por exemplo).
- Clique em Avançar e atribua a política a grupos de usuários com dispositivos registrados no MDM. (Leia o item 1 em ⚠️ Pontos de atenção.)
- Clique em Avançar, revise tudo e clique em Criar para implantar a política.
- Acompanhe em Monitorar > Status de proteção de aplicativo.
Qual é a diferença entre MDM e MAM?
As políticas de MDM controlam a postura do dispositivo. Já as políticas de MAM protegem os dados dentro dos aplicativos gerenciados.
Observação: quando MDM e MAM são usados juntos, o MDM define a base da segurança do dispositivo e o MAM acrescenta proteções mais granulares no nível do aplicativo. Se houver conflito entre as políticas, a política de MDM, em nível de dispositivo, prevalece.
Aplicar controle de acesso com base na proteção de aplicativo
As organizações podem aplicar políticas de Acesso Condicional (CA) baseadas em aplicativo para garantir que só aplicativos protegidos acessem os dados corporativos.
Casos de uso: use este método para:
- Bloquear o acesso de aplicativos ou dispositivos não gerenciados
- Exigir conformidade de dados no nível do aplicativo (somente MAM ou híbrido)
- Implementar segurança de confiança zero.
Pré-requisitos:
- Licenças do Intune e do Entra ID Premium P1/P2
- Licenciamento válido de usuário do Microsoft 365
- Os aplicativos precisam estar protegidos por uma Política de Proteção de Aplicativo já existente
Passo a passo: (Leia o item 2 em ⚠️ Pontos de atenção.)
- Entre no centro de administração do Microsoft Entra.
- Acesse: Entra ID > Proteção > Acesso Condicional > Políticas > Nova política.
- Em Atribuições, selecione os usuários ou grupos de destino. (Leia o item 1 em ⚠️ Pontos de atenção.)
- Escolha os aplicativos de destino (por exemplo, Exchange Online, SharePoint).
- Em Controles de acesso > Conceder:
- Selecione Exigir política de proteção de aplicativo.
- Opcional: Exigir MFA
- Ative a política e clique em Criar.
Essas políticas funcionam em conjunto com as Políticas de Proteção de Aplicativo (APP) do Intune.
Leia também Como configurar políticas de acesso condicional no Azure AD.
Método de validação 1: usar o PowerShell para consultar a conformidade de usuários/aplicativos
O PowerShell pode ser usado com a Graph API para recuperar atribuições de política e avaliar o status de aplicação em dispositivos e aplicativos.
Casos de uso: use este método para:
- Validar atribuições de APP entre os usuários do tenant
- Auditar quais dispositivos ou usuários são gerenciados por MAM
- Gerar relatórios de conformidade para ambientes de MSP ou corporativos
Pré-requisitos:
- Direitos de administrador com as funções Administrador do Intune, Administrador Global ou Leitor de Segurança
- O Microsoft Graph PowerShell SDK precisa estar instalado.
Veja como fazer:
- Instale o Graph SDK (se ainda não tiver):
Install-Module Microsoft.Graph -Scope CurrentUser
- Conecte-se ao Microsoft Graph:
Connect-MgGraph -Scopes "DeviceManagementApps.Read.All","Policy.Read.All"
Será solicitado que entre com uma conta de administrador.
- Liste todas as políticas de proteção de aplicativo e suas atribuições:
Get-MgDeviceAppManagementTargetedManagedAppPolicy
- Consulte a atribuição de um usuário específico:
Get-MgDeviceAppManagementManagedAppRegistration -UserId <[email protected]>
Observação: é possível exportar os resultados para CSV com | Export-Csv -Path "filename.csv" para fins de relatório.
Método de validação 2: usar o CMD para verificar o status de registro no MDM
Esse método dá um retrato rápido do registro no MDM e do status de ingresso no Entra ID.
Casos de uso: use este método para:
- Confirmar se um dispositivo está corretamente registrado no Intune MDM
- Resolver falhas de registro automático
Pré-requisitos:
- É preciso estar conectado como administrador.
Veja como fazer:
- Pressione Win + X e selecione Prompt de Comando (Admin) ou Terminal do Windows (Admin).
- Execute este comando para verificar o registro do dispositivo no MDM:
dsregcmd /status
Procure por:
- MDMUrl: confirma o endpoint do MDM
- DeviceCompliancePolicyReceived: YES
- WIPEnabled: YES (só se usar o Windows Information Protection)
O CMD não mostra indicadores diretos de MAM, mas ajuda a validar os pré-requisitos do MDM.
⚠️ Pontos de atenção
| Riscos | Possíveis consequências | Como reverter |
| 1. Atribuir uma APP ao grupo de usuários errado | Os usuários podem ficar sem acesso aos aplicativos corporativos ou sujeitos a restrições desnecessárias. | Remova o grupo das atribuições da política no Intune e implante novamente com o grupo de destino correto. |
| 2. Acesso Condicional mal configurado | Os usuários podem acessar dados por aplicativos não gerenciados ou desprotegidos | Atualize a política de Acesso Condicional para incluir Exigir política de proteção de aplicativo e teste de novo. |
| 3. Editar o registro sem backup | Pode causar mau funcionamento do dispositivo, falha no registro ou perda da conexão com o MDM. | Faça backup do registro antes de qualquer alteração, use um dispositivo de teste e restaure as chaves anteriores se precisar. |
Considerações adicionais
Conheça algumas limitações de plataforma, requisitos de usuário e como MAM e Acesso Condicional trabalham juntos na aplicação de APP com o Intune:
Aplicativos compatíveis
As políticas de Mobile Application Management (MAM) valem apenas para aplicativos compatíveis:
- Aplicativos integrados ao Intune App SDK
- Aplicativos empacotados com a Ferramenta de Empacotamento de Aplicativos do Intune
Gerenciamento baseado no usuário
O MAM é baseado no usuário, não no dispositivo. Ou seja, os usuários precisam ter uma licença do Intune atribuída à conta do Microsoft Entra ID.
Limitações no Windows
No Windows, o suporte a MAM está limitado hoje ao Microsoft Edge. Para controle completo de dispositivo e aplicativos, registre o usuário no MDM via Intune.
Controle de acesso
As políticas de Acesso Condicional (CA) precisam ser aplicadas em camadas para restringir o acesso conforme o estado e a proteção do aplicativo. Sem elas, os usuários podem driblar as proteções acessando dados corporativos por aplicativos não gerenciados.
Solução de problemas
Veja problemas comuns e soluções que podem aparecer nas Políticas de Proteção de Aplicativo (APP) do Microsoft Intune em cenários de MAM e MDM:
A política não é aplicada
Verifique se o usuário está no grupo de destino e se usa um aplicativo compatível.
- Abra o centro de administração do Intune > Aplicativos > Políticas de proteção de aplicativo.
- Abra a política afetada e vá para Atribuições.
- Confirme se o usuário faz parte de um grupo do Entra ID incluído.
Dica: consulte a lista de aplicativos protegidos do Microsoft Intune para confirmar a compatibilidade.
O aplicativo não está protegido
Verifique se o aplicativo foi empacotado ou tem suporte ao SDK. Como fazer:
- Para aplicativos públicos, consulte a lista de aplicativos protegidos do Microsoft Intune e pesquise o nome do aplicativo.
- Para aplicativos LOB (de linha de negócios) personalizados, pergunte à equipe de desenvolvimento se o Intune App SDK foi adicionado.
- Confirme se o aplicativo passou pela Ferramenta de Empacotamento de Aplicativos do Intune.
( Leia Como empacotar aplicativos Android com a Ferramenta de Empacotamento do Intune.)
Falhas no MAM-WE
Se o MAM sem registro não estiver funcionando, confirme se o usuário afetado tem licença do Intune.
- Abra o centro de administração do Microsoft 365 > Usuários > selecione o usuário > Licenças.
- Verifique se há uma licença do Intune atribuída a ele.
Depois, confirme se o usuário está no grupo atribuído à Política de Proteção de Aplicativo. Verifique se a política tem o aplicativo afetado como destino e se o usuário entrou no aplicativo com a conta corporativa ou de estudante correta. Confirme também se o aplicativo e o sistema operacional são compatíveis e estão atualizados, e se o aplicativo agente (broker) necessário está instalado.
Erros de acesso negado
Revise o Acesso Condicional e o estado de conformidade nos logs do Azure:
- Acesse portal do Azure > Entra ID > Segurança > Acesso Condicional > Insights e relatórios. Depois, filtre por usuário, aplicativo e falha.
Para verificar o estado de conformidade:
- Acesse centro de administração do Intune > Dispositivos > selecione o dispositivo > Conformidade do dispositivo.
- Veja o estado de conformidade e o horário do último check-in.
Diagnóstico
Onde encontrar os logs:
- Logs do console do Intune (iOS/Android)
- Logs do Portal da Empresa
- Endpoint.microsoft.com > Monitorar > Status de proteção de aplicativo
Serviços NinjaOne
NinjaOne reforça a proteção em nível de aplicativo e de dispositivo com:
| Serviço NinjaOne | Como NinjaOne reforça a proteção de aplicativos e dispositivos |
| Monitoramento de aplicativos | Monitora o status de instalação e a integridade dos aplicativos em dispositivos registrados no MDM |
| Automação por scripts | Automatiza a verificação de pré-requisitos e garante a conformidade com as políticas de MDM e de proteção de aplicativo |
| Visibilidade do registro | Mostra os diferentes tipos de registro dos dispositivos móveis |
| Marcação de dispositivos | Usa campos personalizados para classificar dispositivos BYOD, corporativos ou híbridos |
| Alertas de comportamento | Sinaliza problemas como aplicativos fora de conformidade, agentes ausentes e erros de registro |
Com isso, equipes de TI e MSPs conseguem gerenciar e proteger frotas de dispositivos variadas, não importa o tipo de gerenciamento.
Configure a Política de Proteção de Aplicativo do Intune para cenários de BYOD e de registro no MDM
As Políticas de Proteção de Aplicativo são uma forma flexível e poderosa de proteger os dados corporativos, com ou sem registro do dispositivo em uma plataforma de gerenciamento. Elas permitem que MSPs e equipes de TI apliquem segurança consistente em nível de aplicativo tanto em ambientes somente MAM (BYOD) quanto em dispositivos registrados no MDM (corporativos).
Este guia traz passos claros para criar, configurar e atribuir APPs nos dois cenários. Também inclui ferramentas práticas para validar a implantação pelo registro, pelo CMD e por GPO. Além disso, apresenta boas práticas de integração com o Acesso Condicional e mostra como NinjaOne ajuda MSPs e equipes de TI a simplificar a aplicação de políticas em escala.
Temas relacionados:
- MDM vs MAM: 8 diferenças principais
- Entenda o Enterprise Mobility Management (EMM)
- Guia completo do gerenciamento unificado de endpoints
- Como implantar aplicativos pelo centro de administração do Microsoft Intune
- Como escolher a ferramenta certa de implantação de software: Intune vs. NinjaOne – a perspectiva de quem usa
