Krok 2. Dodawanie, konfigurowanie i ochrona aplikacji za pomocą usługi Intune

Następnym krokiem podczas wdrażania usługi Intune jest dodanie i ochrona aplikacji uzyskujących dostęp do danych organizacji.

Zarządzanie aplikacjami na urządzeniach w organizacji jest centralnym elementem bezpiecznego i wydajnego ekosystemu przedsiębiorstwa. Za pomocą usługi Microsoft Intune możesz zarządzać aplikacjami używanymi przez pracowników Twojej firmy. Zarządzając aplikacjami, pomagasz kontrolować, z których aplikacji korzysta Twoja firma, a także konfigurować i chronić aplikacje. Ta funkcja nosi nazwę zarządzania aplikacjami mobilnymi (MAM). Zarządzanie aplikacjami mobilnymi w usłudze Intune służy do ochrony danych organizacji na poziomie aplikacji, w tym aplikacji niestandardowych i aplikacji ze sklepu. Z zarządzania aplikacjami można korzystać na urządzeniach należących do organizacji i na urządzeniach osobistych. Gdy jest używany z urządzeniami osobistymi, zarządzany jest tylko dostęp i dane związane z organizacją. Ten rodzaj zarządzania aplikacjami nazywa się MAM bez rejestracji lub z perspektywy użytkownika końcowego przynieś własne urządzenie (BYOD).

Konfiguracje zarządzania aplikacjami mobilnymi

Gdy aplikacje są używane bez ograniczeń, może dojść do przemieszania danych firmowych i osobistych. Dane firmowe mogą trafiać do lokalizacji takich jak magazyn osobisty lub przenoszone do aplikacji znajdujących się poza Twoimi kompetencjami i powodować utratę danych. Jednym z głównych powodów, dla których warto używać zarządzania aplikacjami mobilnymi bez rejestracji urządzeń lub usługi Intune MDM + MAM, jest ochrona danych organizacji.

Usługa Microsoft Intune obsługuje dwie konfiguracje zarządzania aplikacjami mobilnymi:

• Zarządzanie aplikacjami mobilnymi bez zarządzania urządzeniami
• Zarządzanie aplikacjami mobilnymi z zarządzaniem urządzeniami

Zarządzanie aplikacjami mobilnymi bez zarządzania urządzeniami

Ta konfiguracja zezwala na zarządzanie aplikacjami organizacji przez usługę Intune, ale nie rejestruje urządzeń, które mają być zarządzane przez usługę Intune. Ta konfiguracja jest często nazywana zarządzaniem aplikacjami mobilnymi bez rejestracji urządzenia. Administratorzy IT mogą zarządzać aplikacjami za pomocą zarządzania aplikacjami przy użyciu zarządzania aplikacjami mobilnymi przy użyciu zasad ochrony i konfiguracji usługi Intune na urządzeniach niezarejestrowanych w usłudze zarządzania urządzeniami przenośnymi (MDM) usługi Intune).

Zarządzanie aplikacjami mobilnymi (MAM) to idealne rozwiązanie do ochrony danych organizacji na urządzeniach przenośnych używanych przez członków organizacji zarówno do zadań osobistych, jak i służbowych. Upewniając się, że członkowie organizacji mogą być produktywni, chcesz zapobiegać zamierzonej i niezamierzonej utracie danych. Chcesz również chronić dane firmowe, do których dostęp uzyskuje się z urządzeń, które nie są zarządzane przez Ciebie. Zarządzanie aplikacjami mobilnymi umożliwia zarządzanie danymi organizacji i ich ochronę w aplikacji.

W przypadku urządzeń BYOD, które nie są zarejestrowane w żadnym rozwiązaniu MDM, zasady ochrony aplikacji mogą pomóc w ochronie danych firmowych na poziomie aplikacji. Istnieją jednak pewne ograniczenia, o których należy pamiętać, na przykład:

• Nie można wdrażać aplikacji na urządzeniu. Użytkownik końcowy musi pobrać aplikacje ze sklepu.
• Nie można aprowizować profilów certyfikatów na tych urządzeniach.
• Na tych urządzeniach nie można aprowizować firmowych ustawień Wi-Fi i VPN.

Aby uzyskać więcej informacji na temat ochrony aplikacji w usłudze Intune, zobacz Omówienie zasad ochrony aplikacji).

Zarządzanie aplikacjami mobilnymi z zarządzaniem urządzeniami

Ta konfiguracja umożliwia zarządzanie aplikacjami i urządzeniami Twojej organizacji. Ta konfiguracja jest powszechnie nazywana MAM + MDM. Administratorzy IT mogą zarządzać aplikacjami za pomocą zarządzania aplikacjami na urządzeniach zarejestrowanych w usłudze MDM usługi Intune.

MDM, oprócz MAM, zapewnia ochronę urządzenia. Możesz na przykład wymagać podania numeru PIN, aby uzyskać dostęp do urządzenia, lub wdrożyć aplikacje zarządzane na urządzeniu. Możesz także wdrażać aplikacje na urządzeniach za pomocą rozwiązania MDM, aby zapewnić większą kontrolę nad zarządzaniem aplikacjami.

Istnieją dodatkowe korzyści z używania usługi MDM z zasadami ochrony aplikacji, a firmy mogą korzystać z zasad ochrony aplikacji z usługą MDM i bez niej w tym samym czasie. Na przykład członek organizacji może mieć zarówno telefon wydany przez firmę, jak i swój osobisty tablet. Telefon służbowy może być zarejestrowany w usłudze MDM i chroniony przez zasady ochrony aplikacji, natomiast urządzenie osobiste może być chronione tylko przez zasady ochrony aplikacji.

Na zarejestrowanych urządzeniach, które korzystają z usługi MDM, zasady ochrony aplikacji mogą dodać dodatkową warstwę ochrony. Na przykład użytkownik loguje się na urządzeniu przy użyciu poświadczeń swojej organizacji. Gdy te dane organizacji są używane, zasady ochrony aplikacji sterują sposobem zapisywania i udostępniania danych. Gdy użytkownicy logują się przy użyciu swoich tożsamości osobistych, te same zabezpieczenia (dostęp i ograniczenia) nie są stosowane. W ten sposób dział informatyczny ma kontrolę nad danymi organizacji, a użytkownicy końcowi zachowują kontrolę i prywatność swoich danych osobowych.

Rozwiązanie MDM stanowi wartość dodaną dzięki zapewnieniu:

• Rejestruje urządzenie
• Wdraża aplikacje na urządzeniu
• Bieżąca zgodność urządzenia i zarządzanie nim

Zasady ochrony aplikacji zapewniają wartość dodaną, zapewniając następujące funkcje:

• Pomóż chronić dane firmowe przed wyciekiem do aplikacji i usług konsumenckich
• Stosowanie ograniczeń, takich jak zapisz jako, schowek lub numer PIN, do aplikacji klienckich
• W razie potrzeby wyczyść firmowe dane z aplikacji bez usuwania ich z urządzenia

Zalety zarządzania aplikacjami mobilnymi w usłudze Intune

Gdy aplikacje są zarządzane w usłudze Intune, administratorzy mogą wykonywać następujące czynności:

• Ochrona danych firmowych na poziomie aplikacji. Możesz dodawać i przypisywać aplikacje mobilne do grup użytkowników i urządzeń. Pozwala to na ochronę danych firmowych na poziomie aplikacji. Możesz chronić dane firmowe zarówno na urządzeniach zarządzanych, jak i niezarządzanych, ponieważ zarządzanie aplikacjami mobilnymi nie wymaga zarządzania urządzeniami. Zarządzanie koncentruje się na tożsamości użytkownika, co eliminuje konieczność zarządzania urządzeniami.
• Skonfiguruj aplikacje tak, aby były uruchamiane lub uruchamiane z włączonymi określonymi ustawieniami. Ponadto możesz zaktualizować istniejące aplikacje znajdujące się już na urządzeniu.
• Przypisz zasady w celu ograniczenia dostępu i zapobieżenia używaniu danych poza organizacją. Ustawienie tych zasad należy wybrać na podstawie wymagań organizacji. Możesz na przykład:
  • Wymaganie numeru PIN do otwarcia aplikacji w kontekście służbowym.
  • Blokuj uruchamianie aplikacji zarządzanych na urządzeniach ze zdjętymi zabezpieczeniami systemu lub odblokowanym dostępem do konta administratora
  • Kontrolowanie udostępniania danych między aplikacjami.
  • Zapobiegaj zapisywaniu danych aplikacji firmowych w osobistej lokalizacji przechowywania, korzystając z zasad relokacji danych, takich jak Zapisz kopie danych organizacji i Ogranicz wycinanie, kopiowanie i wklejanie.
• Obsługuje aplikacje na różnych platformach i systemach operacyjnych. Każda platforma jest inna. Usługa Intune udostępnia ustawienia dostępne specjalnie dla każdej obsługiwanej platformy.
• Zobacz raporty o tym, które aplikacje są używane, i śledź ich użycie. Ponadto usługa Intune udostępnia analizę punktów końcowych ułatwiającą ocenę i rozwiązywanie problemów.
• Wykonaj selektywne czyszczenie, usuwając z aplikacji tylko dane organizacji.
• Upewnij się, że dane osobowe są przechowywane oddzielnie od danych zarządzanych. Nie ma to wpływu na produktywność użytkowników końcowych, a zasady nie mają zastosowania podczas korzystania z aplikacji w kontekście osobistym. Zasady są stosowane tylko w kontekście służbowym, co daje możliwość ochrony danych firmowych bez dotykania danych osobowych.

Dodawanie aplikacji do usługi Intune

Pierwszym krokiem podczas udostępniania aplikacji organizacji jest dodanie aplikacji do usługi Intune przed przypisaniem ich do urządzeń lub użytkowników z usługi Intune. Chociaż można pracować z wieloma różnymi typami aplikacji, podstawowe procedury są takie same. Przy użyciu usługi Intune możesz dodawać różne typy aplikacji, w tym aplikacje napisane wewnętrznie (liniowe), aplikacje ze sklepu, aplikacje wbudowane i aplikacje w sieci Web.

Użytkownicy aplikacji i urządzeń w Twojej firmie (pracownicy Twojej firmy) mogą mieć kilka wymagań dotyczących aplikacji. Przed dodaniem aplikacji do usługi Intune i udostępnieniem ich pracownikom może okazać się pomocna ocena i zrozumienie kilku podstawowych aspektów aplikacji. Istnieją różne typy aplikacji, które są dostępne dla usługi Intune. Musisz określić wymagania dotyczące aplikacji, których potrzebują użytkownicy w firmie, na przykład platformy i możliwości potrzebne pracownikom. Musisz określić, czy do zarządzania urządzeniami (w tym aplikacjami) ma być używana usługa Intune, czy też usługa Intune ma zarządzać aplikacjami bez zarządzania urządzeniami. Ponadto musisz określić, jakich aplikacji i funkcji potrzebują Twoi pracownicy, oraz kto ich potrzebuje. Informacje zawarte w tym artykule ułatwiają rozpoczęcie pracy.

Przed dodaniem aplikacji do usługi Intune rozważ przejrzenie typów aplikacji pomocy technicznej i ocenę wymagań dotyczących aplikacji. Aby uzyskać więcej informacji, zobacz Dodawanie aplikacji do usługi Microsoft Intune.

Dodawanie aplikacji firmy Microsoft

Usługa Intune obejmuje szereg aplikacji firmy Microsoft opartych na licencji firmy Microsoft używanej dla usługi Intune. Aby dowiedzieć się więcej o różnych dostępnych licencjach Microsoft Enterprise, które obejmują usługę Intune, zobacz licencjonowanie usługi Microsoft Intune. Aby porównać różne aplikacje firmy Microsoft, które są dostępne w ramach platformy Microsoft 365, zobacz opcje licencjonowania dostępne w ramach platformy Microsoft 365. Aby wyświetlić wszystkie opcje dla każdego planu (w tym dostępne aplikacje firmy Microsoft), pobierz pełną tabelę porównawczą subskrypcji firmy Microsoft i znajdź plany zawierające usługę Microsoft Intune.

Jednym z dostępnych typów aplikacji są aplikacje platformy Microsoft 365 dla urządzeń z systemem Windows. Wybierając ten typ aplikacji w usłudze Intune, możesz przypisać i zainstalować aplikacje platformy Microsoft 365 na zarządzanych urządzeniach z systemem Windows. Możesz także przypisać i zainstalować aplikacje dla klienta klasycznego usługi Microsoft Project Online i aplikacji Microsoft Visio Online Plan 2, jeśli posiadasz na nie licencje. Dostępne aplikacje platformy Microsoft 365 są wyświetlane jako pojedynczy wpis na liście aplikacji w konsoli usługi Intune w obrębie platformy Azure.

Dodaj następujące podstawowe aplikacje firmy Microsoft do usługi Intune:

• Microsoft Edge
• Microsoft Excel
• Microsoft Office
• Microsoft OneDrive
• Microsoft OneNote
• Microsoft Outlook
• Microsoft PowerPoint
• Microsoft SharePoint
• Microsoft Teams
• Microsoft To Do
• Microsoft Word

Aby uzyskać więcej informacji na temat dodawania aplikacji firmy Microsoft do usługi Intune, przejdź do następujących tematów:

• Dodawanie aplikacji do usługi Microsoft Intune
• Dodawanie Aplikacji Microsoft 365 do urządzeń z systemem Windows za pomocą usługi Microsoft Intune

Dodaj aplikacje ze sklepu (opcjonalnie)

Wiele standardowych aplikacji ze sklepu wyświetlanych w konsoli usługi Intune jest swobodnie dostępnych do dodawania i wdrażania dla członków organizacji. Ponadto możesz kupić aplikacje ze sklepu dla każdej platformy urządzenia.

W poniższej tabeli przedstawiono różne kategorie dostępne dla aplikacji ze sklepu:

Aby uzyskać więcej informacji na temat dodawania aplikacji firmy Microsoft do usługi Intune, przejdź do następujących tematów:

• Dodawanie aplikacji ze sklepu Microsoft Store do usługi Microsoft Intune
• Dodawanie aplikacji ze sklepu iOS do usługi Microsoft Intune
• Dodawanie aplikacji ze sklepu Android do usługi Microsoft Intune

Konfigurowanie aplikacji przy użyciu usługi Intune

Zasady konfiguracji aplikacji mogą pomóc w wyeliminowaniu problemów z konfiguracją aplikacji, umożliwiając wybieranie ustawień konfiguracji zasad. Te zasady są następnie przypisywane do użytkowników końcowych przed uruchomieniem przez nich określonej aplikacji. Ustawienia są następnie dostarczane automatycznie podczas konfigurowania aplikacji na urządzeniu użytkownika końcowego. Użytkownicy końcowi nie muszą podejmować żadnych działań. Ustawienia konfiguracji są unikatowe dla każdej aplikacji.

Zasady konfiguracji aplikacji można tworzyć i używać ich, aby udostępniać ustawienia konfiguracji zarówno dla aplikacji iOS/iPadOS, jak i Android. Te ustawienia konfiguracji umożliwiają dostosowywanie aplikacji przy użyciu funkcji zarządzania konfiguracją i konfiguracją aplikacji. Ustawienia zasad konfiguracji są używane podczas sprawdzania tych ustawień przez aplikację, zazwyczaj przy pierwszym uruchomieniu aplikacji.

Ustawienie konfiguracji aplikacji może na przykład wymagać podania dowolnego z następujących szczegółów:

• Niestandardowy numer portu
• Ustawienia języka
• Ustawienia zabezpieczeń
• Ustawienia znakowania, na przykład logo firmy

Jeśli zamiast tego użytkownicy końcowi wprowadzą te ustawienia, mogą to zrobić nieprawidłowo. Zasady konfiguracji aplikacji mogą pomóc w zapewnieniu spójności w całym przedsiębiorstwie i zmniejszyć liczbę zgłoszeń pomocy technicznej od użytkowników końcowych próbujących samodzielnie skonfigurować ustawienia. Dzięki zasadom konfiguracji aplikacji wdrażanie nowych aplikacji może być łatwiejsze i szybsze.

O dostępnych parametrach konfiguracyjnych decydują ostatecznie twórcy aplikacji. Należy przejrzeć dokumentację od dostawcy aplikacji, aby sprawdzić, czy aplikacja obsługuje konfigurację i jakie konfiguracje są dostępne. W przypadku niektórych aplikacji usługa Intune wypełni dostępne ustawienia konfiguracji.

Aby uzyskać więcej informacji na temat konfiguracji aplikacji, zobacz następujące tematy:

• Zasady dotyczące konfiguracji aplikacji dla usługi Microsoft Intune
• Dodawanie zasad konfiguracji aplikacji dla zarządzanych urządzeń z systemem iOS/iPadOS
• Dodaj zasady konfiguracji aplikacji dla zarządzanych urządzeń z systemem Android

Konfigurowanie aplikacji Microsoft Outlook

Aplikacja Outlook dla systemów iOS i Android została zaprojektowana tak, aby umożliwić użytkownikom w organizacji wykonywanie dodatkowych czynności z urządzeń przenośnych przez połączenie wiadomości e-mail, kalendarza, kontaktów i innych plików.

Największe i najszersze możliwości ochrony danych platformy Microsoft 365 są dostępne po wykupieniu subskrypcji pakietu Enterprise Mobility + Security, który obejmuje funkcje Microsoft Intune i Microsoft Entra ID P1 lub P2, takie jak dostęp warunkowy. Konieczne będzie co najmniej wdrożenie zasad dostępu warunkowego umożliwiających łączność z programem Outlook dla systemów iOS i Android z urządzeń przenośnych oraz zasad ochrony aplikacji usługi Intune zapewniających ochronę środowiska współpracy.

Aby uzyskać więcej informacji o konfigurowaniu programu Microsoft Outlook, zobacz następujący temat:

• Zarządzanie dostępem do współpracy przy użyciu wiadomości przy użyciu programu Outlook dla systemów iOS i Android z usługą Microsoft Intune

Konfigurowanie usługi Microsoft Edge

Przeglądarka Microsoft Edge dla systemów iOS i Android została zaprojektowana tak, aby umożliwić użytkownikom przeglądanie sieci web i obsługę wielu tożsamości. Użytkownicy mogą dodawać konto służbowe, a także konto osobiste do przeglądania. Istnieje całkowite rozdzielenie między tymi dwiema tożsamościami, podobnie jak w przypadku innych aplikacji mobilnych firmy Microsoft.

Aby uzyskać więcej informacji na temat konfigurowania przeglądarki Microsoft Edge, zobacz następujący temat:

• Zarządzaj przeglądarką Microsoft Edge w systemach iOS i Android przy użyciu usługi Intune

Konfigurowanie sieci VPN

Wirtualne sieci prywatne (VPN) umożliwiają użytkownikom zdalny dostęp do zasobów organizacji, w tym z domu, hotelu, kawiarni i nie tylko. W usłudze Microsoft Intune można skonfigurować aplikacje klienckie VPN na urządzeniach z systemem Android Enterprise przy użyciu zasad konfiguracji aplikacji. Następnie wdróż te zasady z konfiguracją VPN na urządzeniach w Twojej organizacji.

Można też tworzyć zasady VPN, które są używane przez konkretne aplikacje. Ta funkcja jest nazywana VPN dla aplikacji. Gdy aplikacja jest aktywna, może łączyć się z siecią VPN i uzyskiwać dostęp do zasobów za pośrednictwem sieci VPN. Gdy aplikacja nie jest aktywna, sieć VPN nie jest używana.

Aby uzyskać więcej informacji o konfigurowaniu poczty e-mail, zobacz następujący temat:

• Korzystanie z zasad VPN i VPN dla poszczególnych aplikacji na urządzeniach z systemem Android Enterprise w usłudze Microsoft Intune

Ochrona aplikacji przy użyciu usługi Intune

Zasady ochrony aplikacji to reguły, które zapewniają, że dane organizacji pozostają bezpieczne lub zawarte w aplikacji zarządzanej. Zasady mogą być regułą wymuszaną, gdy użytkownik próbuje uzyskać dostęp do danych "firmowych" lub je przenieść, albo zestawem działań, które są zabronione lub monitorowane, gdy użytkownik znajduje się wewnątrz aplikacji. Aplikacja zarządzana to aplikacja, do której zastosowano zasady ochrony aplikacji, i może być zarządzana przez usługę Intune.

Zasady ochrony aplikacji zarządzania aplikacjami mobilnymi (MAM) umożliwiają zarządzanie danymi organizacji i ich ochronę w aplikacji. Wiele aplikacji zwiększających produktywność, takich jak aplikacje pakietu Microsoft Office, może być zarządzanych przez funkcję zarządzania aplikacjami mobilnymi usługi Intune. Zobacz oficjalną listę aplikacji chronionych przez usługę Microsoft Intune dostępnych do użytku publicznego.

Jednym z podstawowych sposobów, w jaki usługa Intune zapewnia zabezpieczenia aplikacji mobilnych, są zasady. Zasady ochrony aplikacji umożliwiają wykonywanie następujących czynności:

• Użyj tożsamości usługi Microsoft Entra, aby odizolować dane organizacji od danych osobowych. Tak więc informacje osobiste są odizolowane od świadomości informatycznej organizacji. Dane uzyskane przy użyciu poświadczeń organizacji są dodatkowo chronione.
• Pomóż zabezpieczyć dostęp na urządzeniach osobistych, ograniczając akcje, które użytkownicy mogą wykonywać na danych organizacji, takie jak kopiowanie i wklejanie, zapisywanie i wyświetlanie.
• Twórz i wdrażaj na urządzeniach, które są zarejestrowane w usłudze Intune, zarejestrowane w innej usłudze zarządzania urządzeniami przenośnymi (MDM) lub niezarejestrowane w żadnej usłudze MDM.

Organizacje mogą używać zasad ochrony aplikacji z funkcją zarządzania urządzeniami przenośnymi (MDM) i bez niej jednocześnie. Załóżmy na przykład, że pracownik korzysta zarówno z tabletu wydanego przez firmę, jak i z własnego telefonu osobistego. Tablet firmowy jest zarejestrowany w usłudze MDM i chroniony przez zasady ochrony aplikacji, natomiast jego telefon osobisty jest chroniony tylko przez zasady ochrony aplikacji.

Aby uzyskać więcej informacji na temat ochrony aplikacji w usłudze Intune, przejdź do następujących tematów:

• Przegląd zasad ochrony aplikacji
• Jak tworzyć i przypisywać zasady ochrony aplikacji.

Poziomy ochrony aplikacji

W miarę jak coraz więcej organizacji wdraża strategie dotyczące urządzeń przenośnych w celu uzyskiwania dostępu do danych służbowych i szkolnych, ochrona przed wyciekiem danych staje się sprawą najwyższej wagi. Rozwiązaniem do zarządzania aplikacjami mobilnymi w usłudze Intune służącym do ochrony przed wyciekiem danych są zasady ochrony aplikacji. Zasady ochrony aplikacji to reguły, które zapewniają, że dane organizacji pozostają bezpieczne lub zawarte w aplikacji zarządzanej, niezależnie od tego, czy urządzenie jest zarejestrowane.

Podczas konfigurowania zasad ochrony aplikacji różne dostępne ustawienia i opcje umożliwiają organizacjom dostosowanie ochrony do określonych potrzeb. Ze względu na tę elastyczność może nie być oczywiste, które permutacje ustawień zasad są wymagane do zaimplementowania kompletnego scenariusza. Aby pomóc organizacjom w ustaleniu priorytetów działań związanych ze wzmacnianiem punktów końcowych klientów, firma Microsoft wprowadziła nową taksonomię dla konfiguracji zabezpieczeń w systemie Windows, a usługa Intune wykorzystuje podobną taksonomię dla swojej struktury ochrony danych aplikacji na potrzeby zarządzania aplikacjami mobilnymi.

Struktura konfiguracji ochrony danych aplikacji jest podzielona na trzy odrębne scenariusze konfiguracji:

• Podstawowa ochrona danych przedsiębiorstwa na poziomie 1 — firma Microsoft zaleca tę konfigurację jako minimalną konfigurację ochrony danych dla urządzenia firmowego.

• Poziom 2 rozszerzonej ochrony danych przedsiębiorstwa — firma Microsoft zaleca tę konfigurację dla urządzeń, na których użytkownicy uzyskują dostęp do informacji poufnych. Ta konfiguracja dotyczy większości użytkowników mobilnych uzyskujących dostęp do danych służbowych. Niektóre kontrolki mogą mieć wpływ na środowisko użytkownika.

• Wysoki poziom ochrony danych w przedsiębiorstwie 3 — firma Microsoft zaleca tę konfigurację dla urządzeń uruchamianych przez organizację z większym lub bardziej zaawansowanym zespołem ds. zabezpieczeń, bądź dla określonych użytkowników bądź grup, które są wyjątkowo narażone na wyjątkowo wysokie ryzyko (użytkownicy obsługujący bardzo wrażliwe dane, których nieautoryzowane ujawnienie powoduje znaczne straty materialne w organizacji). Organizacja, która może stać się celem dobrze finansowanych i wyrafinowanych przeciwników, powinna aspirować do takiej konfiguracji.

Podstawowa ochrona aplikacji (poziom 1)

Podstawowa ochrona aplikacji w usłudze Intune (poziom 1) to minimalna konfiguracja ochrony danych dla urządzenia przenośnego przedsiębiorstwa. Ta konfiguracja zastępuje konieczność stosowania podstawowych zasad dostępu do urządzeń z usługą Exchange Online, wymagając numeru PIN w celu uzyskania dostępu do danych służbowych, szyfrując dane konta służbowego i udostępniając możliwość selektywnego czyszczenia danych szkolnych. Jednak w przeciwieństwie do zasad dostępu do urządzeń w usłudze Exchange Online poniższe ustawienia zasad ochrony aplikacji mają zastosowanie do wszystkich aplikacji wybranych w zasadach, zapewniając tym samym ochronę dostępu do danych poza scenariuszami wiadomości mobilnych.

Zasady na poziomie 1 wymuszają rozsądny poziom dostępu do danych przy jednoczesnym zminimalizowaniu wpływu na użytkowników i odzwierciedlają domyślne ustawienia ochrony danych i wymagań dostępu podczas tworzenia zasad ochrony aplikacji w usłudze Microsoft Intune.

Aby zapoznać się ze szczegółowymi wymaganiami dotyczącymi ochrony danych, dostępem i ustawieniami uruchamiania warunkowego w zakresie podstawowej ochrony aplikacji, przejdź do następującego tematu:

• Poziom 1 — podstawowa ochrona danych w przedsiębiorstwie.

Ulepszona ochrona aplikacji (poziom 2)

Rozszerzona ochrona aplikacji w usłudze Intune (poziom 2) to konfiguracja ochrony danych zalecana standardowo dla urządzeń, na których użytkownicy uzyskują dostęp do bardziej poufnych informacji. Urządzenia te są dziś naturalnym celem w przedsiębiorstwach. Te zalecenia nie zakładają dużego personelu wysoko wykwalifikowanych specjalistów ds. zabezpieczeń, dlatego powinny być dostępne dla większości organizacji przedsiębiorstwa. Ta konfiguracja rozszerza konfigurację na poziomie 1, ograniczając scenariusze transferu danych i wymagając minimalnej wersji systemu operacyjnego.

Ustawienia zasad wymuszane na poziomie 2 zawierają wszystkie ustawienia zasad zalecane dla poziomu 1, ale poniżej znajdują się tylko te ustawienia, które zostały dodane lub zmienione w celu wdrożenia większej liczby mechanizmów kontroli i bardziej zaawansowanej konfiguracji niż ustawienia poziomu 1. Ustawienia te mogą mieć nieco większy wpływ na użytkowników lub aplikacje, ale wymuszają poziom ochrony danych bardziej współmierny do ryzyka, na jakie narażeni są użytkownicy mający dostęp do informacji poufnych na urządzeniach przenośnych.

Aby zapoznać się ze szczegółowymi ustawieniami ochrony danych i uruchamiania warunkowego w celu zwiększenia ochrony aplikacji, przejdź do następującego tematu:

• Poziom 2 klasy korporacyjnej — rozszerzona ochrona danych.

Wysoki poziom ochrony aplikacji (poziom 3)

Wysoki poziom ochrony aplikacji dla usługi Intune (poziom 3) to konfiguracja ochrony danych zalecana jako standard dla organizacji z dużymi i zaawansowanymi organizacjami zabezpieczeń lub dla określonych użytkowników i grup, które będą unikatowym celem przeciwników. Takie organizacje są zazwyczaj atakowane przez dobrze finansowanych i wyrafinowanych przeciwników i jako takie zasługują na dodatkowe ograniczenia i kontrole, o których wspomnieliśmy. Ta konfiguracja rozszerza konfigurację na poziomie 2, ograniczając dodatkowe scenariusze transferu danych, zwiększając złożoność konfiguracji numeru PIN i dodając wykrywanie zagrożeń mobilnych.

Ustawienia zasad wymuszane na poziomie 3 obejmują wszystkie ustawienia zasad zalecane dla poziomu 2, ale poniżej znajdują się tylko te ustawienia, które zostały dodane lub zmienione w celu wdrożenia większej liczby mechanizmów kontroli i bardziej zaawansowanej konfiguracji niż na poziomie 2. Te ustawienia zasad mogą mieć potencjalnie znaczący wpływ na użytkowników lub aplikacje, wymuszając poziom zabezpieczeń współmierny do ryzyka, na jakie narażone są docelowe organizacje.

Aby zapoznać się ze szczegółowymi wymaganiami dotyczącymi ochrony danych, dostępem i ustawieniami uruchamiania warunkowego w zakresie podstawowej ochrony aplikacji, przejdź do następującego tematu:

• Wysoki poziom ochrony danych klasy korporacyjnej 3.

Chronienie poczty e-mail usługi Exchange Online na urządzeniach zarządzanych

Możesz użyć zasad zgodności urządzeń z dostępem warunkowym, aby upewnić się, że urządzenia w Twojej organizacji mogą uzyskiwać dostęp do poczty e-mail usługi Exchange Online tylko wtedy, gdy są zarządzane przez usługę Intune i używają zatwierdzonej aplikacji poczty e-mail. Możesz utworzyć zasady zgodności urządzeń z usługą Intune, aby ustawić warunki, które urządzenie musi spełnić, aby zostało uznane za zgodne. Możesz również utworzyć zasady dostępu warunkowego usługi Microsoft Entra, które wymagają, aby urządzenia zarejestrowały się w usłudze Intune, były zgodne z zasadami usługi Intune i używały zatwierdzonej aplikacji mobilnej Outlook w celu uzyskania dostępu do poczty e-mail usługi Exchange Online.

Aby uzyskać więcej informacji dotyczących ochrony usługi Exchange Online, zobacz następujący temat:

• Samouczek: chronienie poczty e-mail usługi Exchange Online na urządzeniach zarządzanych

Wymagania użytkownika końcowego dotyczące korzystania z zasad ochrony aplikacji

Poniższa lista zawiera wymagania użytkowników końcowych dotyczące korzystania z zasad ochrony aplikacji w aplikacjach zarządzanych przez usługę Intune, w tym:

• Użytkownik końcowy musi mieć konto usługi Microsoft Entra. Zobacz Dodawanie użytkowników i nadawanie uprawnień administracyjnych do Intune, aby dowiedzieć się, jak tworzyć Intune użytkowników w Microsoft Entra ID.
• Użytkownik końcowy musi mieć licencję na usługę Microsoft Intune przypisaną do konta usługi Microsoft Entra. Zobacz Zarządzanie licencjami usługi Intune, aby dowiedzieć się, jak przypisać licencje usługi Intune do użytkowników końcowych.
• Użytkownik końcowy musi należeć do grupy zabezpieczeń, której dotyczą zasady ochrony aplikacji. Te same zasady ochrony aplikacji muszą być ukierunkowane na konkretną używaną aplikację. Zasady ochrony aplikacji można tworzyć i wdrażać w centrum administracyjnym usługi Microsoft Intune. Grupy zabezpieczeń można obecnie tworzyć w Centrum administracyjne platformy Microsoft 365.
• Użytkownik końcowy musi zalogować się do aplikacji przy użyciu konta usługi Microsoft Entra.

Postępuj zgodnie z minimalnymi zalecanymi zasadami planu bazowego

Ten artykuł jest częścią pięcioetapowej serii opisującej sposób wdrażania usługi Microsoft Intune. Seria obejmuje następujące artykuły w następującej kolejności:

1. Konfigurowanie usługi Microsoft Intune
2. 🡺 Dodawanie, konfigurowanie i ochrona aplikacji (ten artykuł)
3. Planowanie zasad zgodności
4. Konfigurowanie funkcji urządzenia
5. Rejestrowanie urządzeń