Nasazení přes MDM (Intune)

Aplikace: ZbxView · Platí pro Microsoft Intune a další MDM podporující app configuration

ZbxView umí přijmout konfiguraci od správce. Uživatel pak po instalaci nemusí nic vyplňovat — server je předvyplněný. Pokud pošlete i API token, je aplikace rovnou přihlášená a uživatel se nepřihlašuje vůbec. Funguje to na Androidu (Managed configuration) i na iOS (Managed app configuration).

1. Co jde nastavit

Správce může předvyplnit připojení k serveru, poslat API token a vynutit biometrické odemčení. Nic dalšího se z aplikace vzdáleně neřídí. Hesla se konfigurací neposílají nikdy — ta zadává uživatel sám a zůstávají v úložišti zařízení.

Klíč	Typ	Význam
`server_url`	řetězec	Adresa Zabbix serveru nebo relay, např. `https://zabbix.example.com`
`server_name`	řetězec	Název, pod kterým se server v aplikaci zobrazí
`auth_type`	řetězec	`password` (uživatel se přihlásí jménem a heslem) nebo `token` (API token)
`api_token`	řetězec	Zabbix API token. Aplikace se s ním otevře přihlášená a nikoho se na nic neptá — vhodné pro nástěnky na zdi a sdílená zařízení. Přečtěte si upozornění pod tabulkou.
`allow_self_signed`	ano/ne	Povolí self-signed TLS certifikát na tomto serveru
`require_biometric`	ano/ne	Vynutí otisk/obličej (nebo PIN zařízení) při otevření aplikace. Přepínač v Nastavení se uživateli zamkne.
`client_cert`	řetězec	Klientský TLS certifikát pro bránu s mTLS (např. Cloudflare): PEM (i bez zalomení řádků), base64 DER nebo base64 PKCS#12. Klíč může být ve stejném PEM.
`client_key`	řetězec	Privátní klíč k certifikátu, pokud není v `client_cert` (PEM nebo base64 DER).
`client_cert_password`	řetězec	Heslo k PKCS#12, případně k zašifrovanému klíči.
`client_cert_hosts`	řetězec	Servery, kterým se certifikát posílá, oddělené čárkou (`*.example.com` pro subdomény). Prázdné = server z `server_url`. Jinému serveru se certifikát nikdy nepošle.
`client_cert_locked`	ano/ne	Certifikát serveru z této politiky si uživatel nemůže změnit ani odebrat. Pro servery, které si přidá sám, může dál nahrát vlastní.
`set_default`	ano/ne	Označí nasazený server hvězdičkou (výchozí server), takže se aplikace po spuštění otevře rovnou v něm místo seznamu serverů. Potřebuje přihlašovací údaje — `api_token` z této politiky, nebo přihlášení, které uživatel jednou provedl.
`push_api_key`	text	Push notifikace přes vlastní Firebase projekt firmy: `current_key` z `google-services.json` Android aplikace `app.zbxview` zaregistrované v tom projektu. Všechny čtyři klíče `push_*` spolu; relay a typ média popisuje návod Push.
`push_app_id`	text	`mobilesdk_app_id` z google-services.json (`1:<číslo>:android:<hex>`).
`push_sender_id`	text	`project_number` z google-services.json.
`push_project_id`	text	`project_id` z google-services.json.
`push_enabled`	ano/ne	Zapne push notifikace při prvním spuštění (uživatel povolí notifikace a zařízení se samo zaregistruje do Zabbixu). Uživatel je může v Nastavení vypnout.

K tokenu: managed configuration není trezor — hodnotu vidí každý, kdo má přístup do konzole MDM, a z rootnutého zařízení se dá vytáhnout. Vytvořte proto v Zabbixu vyhrazeného uživatele s právy jen ke čtení, omezeného na skupiny hostů a nástěnky, které mají tato zařízení vidět, a token vydejte jemu. Všechna zařízení pak sdílejí jednu identitu — tak je uvidíte i v auditním logu Zabbixu. A nechte require_biometric vypnuté, jinak uživatele stejně zastaví zámek.

2. Android — Intune krok za krokem

Přidání aplikace. Intune → Aplikace → Android → Přidat → typ Spravovaný Google Play. Najděte ZbxView (ID balíčku app.zbxview), schvalte ji a synchronizujte.
Přiřazení. U aplikace nastavte Přiřazení na skupinu uživatelů nebo zařízení. Pro firemní telefony doporučuji Povinné, aby se nainstalovala sama.
Konfigurace. Intune → Aplikace → Zásady konfigurace aplikací → Přidat → Spravovaná zařízení. Platforma Android Enterprise, cílová aplikace ZbxView.
Vyplnění hodnot. V Konfiguračním návrháři uvidíte klíče z tabulky výše jako hotová pole i s popisem — nemusíte psát žádné XML. Vyplňte aspoň server_url.
Přiřazení zásady na stejnou skupinu. Hotovo — po instalaci má uživatel server rovnou v seznamu.

Na zařízeních s pracovním profilem se aplikace nainstaluje do pracovní části a konfigurace platí jen tam. Soukromá instalace ze stejného telefonu si žádnou konfiguraci nevezme — jsou to dvě oddělené instance.

3. iOS

Postup je stejný, jen se aplikace přidává jako Aplikace z App Storu a zásada se dělá pro platformu iOS/iPadOS. Hodnoty se vyplňují ve Zprostředkovateli konfigurace — použijte stejné názvy klíčů jako v tabulce.

4. Jiné MDM

Klíče jsou standardní managed configuration, takže fungují i mimo Intune — VMware Workspace ONE, MobileIron, Miradore, Headwind a další. Pokud vaše MDM neumí načíst schéma z Google Play automaticky, zadejte klíče ručně přesně tak, jak jsou napsané v tabulce (malá písmena, podtržítka).

5. Obrazovky bez MDM (Android signage)

Profesionální displeje se SoC Androidem — Philips, Samsung, LG — zpravidla nemají Google Play services, a bez nich na nich Android Enterprise neexistuje: žádná politika se k nim nedoručí. Aplikace proto přijímá tytéž klíče i jako parametry spuštění (intent extras) — což je způsob, jakým ji signage přehrávač stejně startuje.

Intent i = pm.getLaunchIntentForPackage("app.zbxview");
i.putExtra("server_url", "https://zabbix.example.com");
i.putExtra("api_token", "<token>");
i.putExtra("kiosk_dashboard_id", "247");
startActivity(i);

Stačí tedy název balíčku, app.zbxview — třídu aktivity znát nemusíte. Pro ruční zkoušku z adb si komponentu vyžádejte systému:

adb shell cmd package resolve-activity --brief app.zbxview

Názvy klíčů jsou stejné jako v tabulce výše. Hodnoty si aplikace uloží, takže obrazovka spuštěná později bez parametrů naběhne nakonfigurovaná. Pokud zařízení managed configuration přece jen umí, má přednost.

Dejte každé obrazovce jiné kiosk_dashboard_id a celá stěna se přihlásí sama, každý panel na svůj dashboard. Stačí k tomu tři klíče: server_url, api_token a kiosk_dashboard_id.

6. Časté potíže

Server se nepředvyplnil. Konfigurace dorazí až se synchronizací zařízení. Zkuste v Portál společnosti vynutit synchronizaci a aplikaci zavřít a znovu otevřít.
Aplikace hlásí problém s certifikátem. U interního serveru s vlastní certifikační autoritou zapněte allow_self_signed, nebo lépe rozdistribuujte kořenový certifikát přes MDM.
Biometrika se nenabízí. Zařízení musí mít nastavený zámek obrazovky. V pracovním profilu se navíc používá zámek pracovního profilu, pokud je zavedený.
Změnili jsme token a aplikace ho nevzala. Konfigurace se čte při startu aplikace. Po rotaci tokenu v MDM je potřeba aplikaci zavřít a znovu otevřít; pak se nový token uloží místo starého.
Instalace hlásí „Parse error“. To se týká ručně instalovaného APK na starých zařízeních — aplikace vyžaduje Android 7.0 a novější.

7. Co aplikace neposílá

ZbxView komunikuje výhradně s Zabbix serverem, který zadáte vy. Vývojář nesbírá žádná vaše data — podrobně to popisují zásady ochrany osobních údajů.

← zpět na hlavní stránku