M365 Intune部署APK至MDM Kiosk平板遇0xC7D24FBC兼容性错误求助

一、0xC7D24FBC权限兼容错误修复方案 #

1. 重新打包APK移除冲突权限 #

• 解压目标APK文件，找到AndroidManifest.xml文件
• 删除其中<uses-permission android:name="android.permission.CALL_PHONE" />相关条目
• 用原证书重新签名APK，命令示例：

  apksigner sign --ks your-keystore.jks --ks-key-alias your-key-alias re-signed-app.apk
  

• 注意：签名证书必须与原APK一致，否则Intune会判定为不同应用

2. 配置Intune应用权限豁免 #

• 进入Intune控制台，找到目标应用的应用配置页面
• 添加自定义XML配置，针对权限做豁免设置：

  <restrictions xmlns:android="http://schemas.android.com/apk/res/android">
    <restriction
      android:key="call_phone_permission_exempt"
      android:title="豁免CALL_PHONE权限"
      android:restrictionType="bool"
      android:defaultValue="true" />
  </restrictions>
  

• 保存配置后重新推送应用至设备

二、Kiosk模式批量注册与APK部署优化 #

1. Kiosk设备批量注册 #

• 企业自有设备：在Azure AD中配置自动注册规则，将Kiosk专用设备组设为目标，启用公司门户自动注册，设备开机后自动完成MDM注册
• 自带设备（BYOD）：生成统一注册二维码，批量打印后让设备扫码完成注册流程

2. APK批量部署高效操作 #

• 创建应用组：将需部署的所有APK加入同一应用组，设置部署目标为Kiosk设备组
• 强制安装配置：在应用部署设置中，将安装行为设为Required，确保设备必须完成安装
• PowerShell脚本批量管理：

  # 获取所有Kiosk分类设备
  $kioskDevices = Get-IntuneManagedDevice -Filter "deviceCategoryDisplayName eq 'Kiosk'"
  # 批量分配指定应用
  foreach ($device in $kioskDevices) {
      Add-IntuneMobileAppAssignment -MobileAppId "目标应用ID" -DeviceId $device.id
  }
  

三、验证与排查要点 #

• 设备兼容性检查：在Intune控制台查看设备硬件信息，确认是否支持目标权限
• 安装日志分析：通过设备端公司门户或Intune控制台的设备状态页面，获取详细安装错误日志
• 单设备测试：先在一台测试平板验证修复后的应用安装正常，再批量推送

内容的提问来源于stack exchange，提问作者Juan Carlos Osovnikar