关于 intune-app-protection
用于配置 Microsoft Intune 应用保护策略的指导技能，可在支持的移动应用内保护组织数据，无论设备是否注册。重点涵盖 BYOD、仅擦除企业数据，以及通过 Conditional Access 执行策略。
主要功能
- 01保护托管应用内的数据
- 02支持无需注册的 MAM
- 03限制复制、粘贴、备份和保存
- 04要求应用 PIN 或生物识别
- 05选择性擦除企业数据
- 06将策略与 Conditional Access 配合
适用场景
- 01保护个人手机上的工作数据
- 02设置应用访问和数据传输限制
- 03移除离职用户设备上的企业数据
- 04为云服务强制执行应用保护
安装
复制下面的命令，在终端中运行。
npx skills add https:/安装后在 Claude Code 中输入/intune-app-protection确认已加载。
详细介绍
Microsoft Intune - 应用保护策略（MAM）
Intune 应用保护策略（APP / MAM） 在应用层保护应用内部的组织数据，无论设备是否注册均适用。这些策略通过将公司数据隔离在受管理的应用中，并支持有选择地擦除组织数据而不影响个人内容，让 BYOD 更安全。
适用场景
保护移动设备上的 Microsoft 365 和启用了 Intune SDK 的应用数据，尤其是未受管理的个人设备（无需注册的 MAM，MAM-WE）。如果不希望或不便进行完整的设备注册，请使用此技能。
完整设备管理（intune-device-mgmt）或磁盘加密（bitlocker-design）请勿使用此技能。
选择保护模型
| 场景 | 模型 | 说明 |
|---|---|---|
| BYOD - 无需注册 | 无需注册的 MAM（MAM-WE） | 个人设备的默认选项 |
| 公司所有、受管理 | 受管理设备上的 APP | 构建在 MDM 之上 |
| 公司设备与 BYOD 混用 | 两者 | 同一 APP，不同的部署范围 |
| 一线员工 / 共享设备 | 应用保护 + 共享设备模式 | 按用户隔离数据 |
| 严格监管数据 | APP + 条件访问应用筛选器 | 由 CA 强制实施准入 |
**经验法则：**如果你希望用户保留个人数据和设备，而公司保留公司数据，请使用 MAM-WE。无需 CA 强制实施的 APP 是可选项；配合 CA“要求应用保护策略”的 APP 则会强制实施。
方法
-
选择模型和目标受众 — BYOD 使用 MAM-WE，公司设备使用受管理设备上的 APP。两者都面向用户和组，而不是设备。按平台分别配置：iOS/iPadOS 和 Android。 验证：APP 分配显示了正确的用户组；状态报告显示策略已下发到目标用户。
-
数据保护设置 — 将剪切 / 复制 / 粘贴限制在受管理的应用内；禁止“另存为”到个人位置；限制备份到 iCloud/Google Drive；要求应用在静态时对组织数据进行加密。 验证：在个人设备上测试，从 Outlook 粘贴到个人 Notes 会被阻止。
-
访问要求 — 打开受管理的应用时，要求输入应用 PIN（至少 6 位）或使用生物识别；设置离线宽限期（通常为 12-48 小时）；阻止已越狱 / 已取得 root 权限的设备；设置最低 OS 版本。
-
有选择地擦除 — 使用“仅擦除公司数据”，从应用中移除组织数据，同时保留个人数据。对于 BYOD 设备离职人员，此功能至关重要。 验证：在个人设备上试点擦除，移除 Outlook/OneDrive 中的公司数据，同时不影响照片和个人应用。
-
与条件访问结合以强制实施 — APP 本身不会限制登录。为目标云应用（Exchange Online、SharePoint、Teams）创建 CA 策略，并设置授予控制 要求应用保护策略。此步骤用于强制实施。 验证：针对 Exchange 执行 CA What If，结果显示从未受保护的应用访问会被阻止。
-
应用配置 — 将 APP 与应用配置策略搭配使用，以设置受管理应用的选项（Outlook 签名、允许的帐户类型）。
防护措施
- MAM-WE 仅保护受支持应用中的数据。 请确认该应用列在 Intune-SDK / 批准的应用列表中。不受支持的应用 = 无保护。
- 在推出前说明用户体验（PIN、限制），以减少摩擦。 如果 BYOD 用户突然遇到新的 PIN 提示，他们会卸载应用。
- 结合 Conditional Access 进行强制执行；APP 本身不会限制登录。 如果没有 CA，用户可以使用未托管的 Outlook 并绕过 APP。
- 离线宽限期是一种权衡。 时间太短 = 用户乘机时被锁定；时间太 长 = 丢失设备上的过期数据会继续留存。通常为 24-48 小时。
- 选择性擦除会排队等待执行。 用户下次在线打开应用时才会启动擦除。不是 即时的——对于高风险离职情况，应同时撤销会话。
- 不要在没有应用配置的情况下运行 APP。 BYOD 上的 Outlook 默认允许个人 账户；APP 无法阻止这一点。配置策略会限制为仅使用公司账户。
常见反模式
- “部署 APP，就能保护数据”——如果没有 CA 强制执行，用户会登录未托管版 Outlook，完全绕过 APP。
- “阻止越狱设备，但不做说明”——首次使用的 Root 设备用户会导致工单激增。请在强制执行前进行说明。
- “不设离线宽限期”——信号不佳的第一天就会导致大规模锁定。
- “iOS 和 Android 使用相同策略”——平台特定选项（例如 iOS 托管式“打开方式”、 Android 工作资料交互）需要针对各个平台进行调整。
- BYOD 上的“擦除 = 擦除设备”——这会擦除个人数据，带来法律风险。BYOD 上仅使用选择性擦除。
- “跳过应用配置策略”——Outlook 使用个人账户会导致数据泄漏到 APP 范围之外。
示例提示词
Create an Intune app protection policy for BYOD without enrollment (MAM-WE).Restrict copy/paste and enable selective wipe in mobile apps for iOS and Android.Set up Conditional Access "Require app protection policy" for Exchange Online and SharePoint.Configure Outlook app configuration policy alongside APP.Plan offline grace period and PIN requirements for our mobile workforce.Wipe corporate data from a departing contractor's personal phone without touching personal data.
Microsoft Learn
- APP 概述：https://learn.microsoft.com/mem/intune/apps/app-protection-policy
- APP 设置 - iOS：https://learn.microsoft.com/mem/intune/apps/app-protection-policy-settings-ios
- APP 设置 - Android：https://learn.microsoft.com/mem/intune/apps/app-protection-policy-settings-android
- 无需注册的 MAM：https://learn.microsoft.com/mem/intune/apps/app-protection-policies
- 受支持的应用：https://learn.microsoft.com/mem/intune/apps/apps-supported-intune-apps
- CA - 要求应用保护策略：https://learn.microsoft.com/entra/identity/conditional-access/concept-conditional-access-grant
- 选择性擦除：https://learn.microsoft.com/mem/intune/apps/apps-selective-wipe