implementing-mobile-application-management

实施移动应用管理

何时使用

在以下情况下使用本技能：

• 在没有完整设备管理（MDM）的情况下部署企业移动应用保护
• 实施 BYOD 策略，在保护企业数据的同时尊重个人隐私
• 为 iOS 和 Android 配置 Microsoft Intune 应用保护策略
• 对受管理的移动应用强制执行数据丢失防护控制

不要使用：当完整设备管理（MDM）已部署且已足够时——如果 MDM 已提供所需控制，MAM 会增加复杂性。

先决条件

• Microsoft Intune 或同等 MAM 平台（VMware Workspace ONE、MobileIron）
• 用于身份和条件访问策略的 Azure AD
• 已集成到目标应用程序中的 Intune App SDK（或 Intune App Wrapping Tool）
• 测试设备（Android 10+ 和 iOS 15+）
• 用于条件访问的 Azure AD Premium P1 或 P2 许可证

工作流

步骤 1：定义应用保护策略要求

对数据敏感性进行分类并定义保护层级：

层级	数据类型	控制措施
第 1 层 - 基本	一般企业电子邮件	要求 PIN、阻止屏幕截图
第 2 层 - 增强	财务数据、HR 记录	加密应用数据、限制剪切/复制/粘贴
第 3 层 - 高	PII、医疗、法律	选择性擦除、离线访问限制、DLP

步骤 2：配置 Intune 应用保护策略

Android 应用保护策略：

{
    "displayName": "Corporate App Protection - Tier 2",
    "platform": "android",
    "dataProtectionSettings": {
        "allowedDataStorageLocations": ["oneDriveForBusiness", "sharePoint"],
        "blockDataTransferToOtherApps": "managedApps",
        "blockDataTransferFromOtherApps": "managedApps",
        "saveAsBlocked": true,
        "clipboardSharingLevel": "managedAppsWithPasteIn",
        "screenCaptureBlocked": true,
        "encryptAppData": true,
        "backupBlocked": true
    },
    "accessSettings": {
        "pinRequired": true,
        "minimumPinLength": 6,
        "biometricEnabled": true,
        "offlineGracePeriod": 720,
        "offlineWipeInterval": 90
    },
    "conditionalLaunchSettings": {
        "maxOsVersion": "15.0",
        "minOsVersion": "12.0",
        "jailbreakBlocked": true,
        "maxPinRetries": 5
    }
}

步骤 3：实施应用配置策略

部署托管应用配置以自动设置终结点：

{
    "displayName": "Email App Configuration",
    "targetedManagedApps": ["com.microsoft.outlooklite"],
    "settings": [
        {"key": "com.microsoft.outlook.EmailProfile.AccountType", "value": "ModernAuth"},
        {"key": "com.microsoft.outlook.EmailProfile.ServerName", "value": "outlook.office365.com"},
        {"key": "com.microsoft.outlook.EmailProfile.AllowedDomains", "value": "corporate.com"}
    ]
}

步骤 4：部署条件访问集成

Azure AD > Conditional Access > New Policy:
- Users: All users with corporate apps
- Cloud apps: Office 365, custom LOB apps
- Conditions: All platforms
- Grant: Require app protection policy
- Session: App enforced restrictions

步骤 5：测试并验证 MAM 控制

在两个平台上测试每项策略控制：

# Verify data transfer restrictions
1. Open managed app (Outlook)
2. Copy text from email body
3. Attempt paste in unmanaged app (Notes) -- should be blocked
4. Attempt paste in managed app (Teams) -- should work

# Verify selective wipe
1. Enroll test device with MAM
2. Access corporate data in managed apps
3. Trigger selective wipe from Intune portal
4. Verify corporate data removed, personal data intact

# Verify offline grace period
1. Access managed app while connected
2. Disconnect from network
3. After grace period expires, verify app access blocked

步骤 6：监控与响应

配置 MAM 监控仪表板：

• 应用保护策略分配状态
• 不合规设备/用户报告
• 选择性擦除执行日志
• 越狱/root 检测警报
• PIN 尝试失败跟踪

关键概念

术语	定义
MAM	移动应用管理 - 无需完整设备注册的应用级策略
应用保护策略	在应用级别强制执行数据保护的一组规则（加密、DLP、访问控制）
选择性擦除	仅从受管理应用中移除企业数据，同时保留个人数据
应用包装	在构建后将 MAM SDK 策略应用到应用而不修改源代码的过程
容器化	将企业应用数据隔离在独立于个人应用的加密容器中

工具与系统

• Microsoft Intune：基于云的 MAM/MDM 平台，具有应用保护策略
• Intune App SDK：用于将 MAM 控制集成到自定义 iOS/Android 应用的 SDK
• Intune App Wrapping Tool：用于在不更改代码的情况下应用 MAM 策略的编译后工具
• VMware Workspace ONE：具有应用容器化的替代 MAM 平台
• Azure AD Conditional Access：用于强制将 MAM 注册作为访问条件的策略引擎

常见陷阱

• SDK 版本不匹配：Intune App SDK 版本必须与策略版本匹配。过时的 SDK 版本可能会静默地无法强制执行较新的策略。
• iOS 托管剪贴板：iOS 通过托管剪贴板强制执行粘贴限制，这要求应用通过 Intune SDK 集成选择加入。
• 应用包装限制：包装后的应用无法使用某些功能（某些平台上的推送通知）。为实现完整功能，首选 SDK 集成。
• 用户体验摩擦：过于严格的策略会导致用户不满和影子 IT。从第 1 层开始，并根据数据敏感性逐步升级。