Microsoft Intune 中的 Android 應用程式防護原則設定

• 原則管理的應用程式： 只允許傳輸到其他原則管理的應用程式。
• 所有應用程式： 允許傳輸到任何應用程式。
• 無：不允許將資料傳輸至任何應用程式，包括其他受原則管理的應用程式。

有一些豁免應用程式和服務 Intune 預設可以允許資料傳輸。 此外，如果您需要允許資料傳輸到不支援 Intune APP 的應用程式，您可以建立自己的豁免。 如需詳細資訊，請參閱 資料轉送豁免。

此原則也適用於 Android 應用程式連結。

選取要豁免的應用程式

儲存組織資料複本

• 此設定支援 Microsoft Excel、OneNote、PowerPoint、Word 和 Microsoft Edge。 非 Microsoft 和 LOB 應用程式也可能支援它。
• 只有當 [將組織資料傳送至其他應用程式] 設定為 [ 原則管理的應用程式] 時，才能設定此設定。
• 當 [將組織資料傳送給其他應用程式] 設定為 [ 所有應用程式] 時，此設定為 [允許]。
• 當 [將組織資料傳送到其他應用程式] 設定為 [無] 時，此設定為 [封鎖]，不允許服務位置。
• 如果 [加密組織資料 ] 設為 [需要]，此設定會將檔案儲存為加密。

允許使用者將複本儲存至選取的服務

將電信資料傳輸至

• 無，請勿在應用程式之間傳輸此資料： 偵測到電話號碼時，請勿傳輸通訊資料。
• 特定撥號程式應用程式：允許特定撥號程式應用程式在偵測到電話號碼時啟動聯絡。
• 任何原則管理的撥號程式應用程式：允許任何原則管理的撥號程式應用程式在偵測到電話號碼時啟動聯繫。
• 任何撥號程式應用程式：允許使用任何撥號程式應用程式在偵測到電話號碼時啟動聯絡。

撥號器應用程式套件識別碼

撥號器應用程式名稱

將訊息資料傳輸至

• 無，請勿在應用程式之間傳輸此資料： 偵測到電話號碼時，請勿傳輸通訊資料。
• 特定的訊息應用程式： 允許使用特定的訊息應用程式在偵測到電話號碼時主動聯繫。
• 任何原則管理的訊息應用程式：允許在偵測到電話號碼時使用任何原則管理的訊息應用程式來啟動聯繫。
• 任何訊息中心應用程式： 允許使用任何訊息中心應用程式在偵測到電話號碼時主動聯繫。

訊息中心應用程式套件識別碼

訊息中心應用程式名稱

• 原則管理的應用程式：只允許從其他原則管理的應用程式傳輸。
• 所有應用程式：允許從任何應用程式傳輸資料。
• 無：不允許來自任何應用程式的資料傳輸，包括其他受原則管理的應用程式。

有一些豁免應用程式和服務 Intune 可以允許資料傳輸。 如需應用程式和服務的完整清單，請參閱 資料轉移豁免 。

將資料開啟至組織文件

• 只有當 [從其他應用程式接收資料] 設定為 [ 原則管理的應用程式] 時，才能設定此設定。
• 當 [從其他應用程式接收資料] 設定為 [所有應用程式] 時，此設定為 [允許]。
• 當 [從其他應用程式接收資料] 設定為 [無] 時，此設定為 [封鎖]，不允許服務位置。
• 下列應用程式支援此設定：
  • OneDrive 6.14.1 或更新版本。
  • Android 版 Outlook 4.2039.2 或更新版本。
  • Android 版 Teams 1416/1.0.0.2021173701 或更新版本。

允許使用者從選取的服務開啟資料

• OneDrive
• SharePoint Online
• 相機
• 相片庫

• 已封鎖：不允許此應用程式與任何其他應用程式之間的剪下、複製和貼上動作。
• 受原則管理的應用程式：允許此應用程式與其他受原則管理的應用程式之間的剪下、複製和貼上動作。
• 使用貼入管理的原則：允許在此應用程式與其他原則管理的應用程式之間剪下或複製。 允許將任何應用程式的資料貼到此應用程式。
• 任何應用程式：在此應用程式之間剪下、複製和貼上沒有限制。

• 使用非 Microsoft 鍵盤時，使用者可能會在複製動作期間，在鍵盤的剪貼簿預覽中看到「無法在這裡貼上您組織的資料」訊息。 如果鍵盤應用程式未與 Intune 整合，因此無法解密編碼的剪貼簿文字，就會發生這種情況。 如果組織允許，使用者仍然可以使用受管理應用程式中的貼上文字動作來複製並貼上資料。
• 某些非 Microsoft 鍵盤提供自己的剪貼簿或文字建議功能，可將文字直接插入應用程式中。 發生這種情況時，應用程式會接收文字做為標準使用者輸入，而貼上限制不適用於這些鍵盤啟動的插入。

剪下和複製任何應用程式的字元限制

預設值 = 0

注意：需要 Intune 公司入口網站 5.0.4364.0 版或更新版本。

注意：在無法存取組織資料的情況下，使用者可能會存取 Google 助理。

未使用核准鍵盤的使用者，在使用受保護的應用程式之前，會先收到下載並安裝核准鍵盤的提示。 此設定需要應用程式具有 Android 版 Intune SDK 6.2.0 版或更新版本。

選取要核准的鍵盤

若要新增鍵盤，請指定：

• 名稱：可識別鍵盤且使用者可見的易記名稱。
• 套件識別碼：應用程式在 Google Play 商店中的套件識別碼。 例如，如果應用程式在 Play 商店中的 URL 是 https://play.google.com/store/details?id=com.contosokeyboard.android.prod，則套件識別碼為 com.contosokeyboard.android.prod。 此套件識別碼會以從 Google Play 下載鍵盤的簡單連結形式呈現給使用者。

注意： 指派多個應用程式保護原則的使用者只能使用所有原則通用的已核准鍵盤。

加密已註冊裝置上的組織資料

• Android 版 Outlook，請參閱 部署 iOS 版和 Android 版 Outlook 應用程式組態設定

• 任何應用程式： 允許在任何應用程式中使用網頁連結。
• Microsoft Edge：允許僅在 Microsoft Edge 中開啟網頁內容。 此瀏覽器是受原則管理的瀏覽器。
• 未受管理的瀏覽器：只允許 Web 內容在 未受管理瀏覽器通訊協定 設定所定義的未受管理瀏覽器中開啟。 Web 內容在目標瀏覽器中未受管理。
  注意：需要 Intune 公司入口網站 5.0.4415.0 版或更新版本。



Android 應用程式連結是由 [ 允許應用程式將資料傳輸到其他應用程式 ] 原則設定所管理。

Intune 裝置註冊
如果您使用 Intune 來管理裝置，請參閱使用受管理的瀏覽器原則搭配 Microsoft Intune 管理網際網路存取。

原則管理的 Microsoft Edge
適用於 iOS/iPadOS 和 Android) (行動裝置的 Microsoft Edge 瀏覽器支援Intune應用程式防護原則。 在 Microsoft Edge 瀏覽器應用程式中使用其公司 Microsoft Entra 帳戶登入的使用者會受到 Intune 的保護。 Microsoft Edge 瀏覽器整合了 APP SDK，並支援其所有資料保護原則，但防止以下事項除外：


• 另存新檔：Microsoft Edge 瀏覽器不允許使用者新增與雲端儲存空間提供者的直接應用程式內連線， (例如 OneDrive) 。
• 連絡人同步處理：Microsoft Edge 瀏覽器不會儲存至原生連絡人清單。
注意：APP SDK無法判斷目標應用程式是否為瀏覽器。在 Android 裝置上，允許支援 http/https 意圖的其他受管理瀏覽器應用程式。

未受管理的瀏覽器識別碼

未受管理的瀏覽器名稱

• 封鎖：不要共用通知。
• 如果應用程式不支援，則允許通知。
• 封鎖組織資料：不要在通知中共用組織資料。 例如，「您有新郵件」;「你們開會了。」
• 如果應用程式不支援，則會封鎖通知。
• 允許：在通知中共用組織資料

注意：此設定需要 App 支援：

• Android 版 Outlook 4.0.95 或更新版本
• Android 版 Teams 1416/1.0.0.2020092202 或更新版本。

PIN 類型

簡單 PIN

選取最小 PIN 碼長度

以生物特徵辨識而非 PIN 進行存取

逾時後使用 PIN 覆寫生物特徵辨識

閒置時間逾時 (分鐘)

第 3 類生物特徵辨識技術 (Android 9.0+)

生物特徵辨識更新後使用 PIN 覆寫生物特徵辨識

注意事項:
只有在使用生物特徵辨識來存取應用程式後，這項設定才會生效。 視 Android 裝置製造商而定，並非所有形式的生物特徵辨識技術可能都支援加密作業。 目前，任何符合或超過 Android 文件中定義之類別 3 生物特徵辨識需求的裝置上的生物特徵辨識 (，例如指紋、虹膜或臉部) ，都支援加密作業。 請參閱 BIOMETRIC_STRONGBiometricManager.Authenticators 介面的常數和 authenticateBiometricPrompt 類別的方法。 您可能需要連絡裝置製造商，以了解裝置特定的限制。

天數後 PIN 重設

天數

選取要維持的先前 PIN 值的數目

設定裝置 PIN 時的應用程式 PIN

• 逾時：此設定是 (先前在原則中定義的存取需求) 重新核取之前的分鐘數。 例如，系統管理員開啟 PIN 並封鎖原則中的 Root 裝置，使用者開啟受 Intune 管理的應用程式、必須輸入 PIN，並且必須在非 Root 裝置上使用該應用程式。 使用此設定時，使用者不需要輸入 PIN，或在任何受 Intune 管理的應用程式上進行其他根偵測檢查，時間時間相等於設定值。
  
  此原則設定格式支援正整數。
  
  預設值 = 30 分鐘
  
  注意：在 Android 上，PIN 會與所有受 Intune 管理的應用程式共用。 當應用程式離開裝置上的前景時，就會重設 PIN 計時器。 在此設定定義的逾時期間，使用者不需要在任何共用其 PIN 的 Intune 管理應用程式上輸入 PIN。
  
  

動作 包括：

• 重設 PIN - 使用者必須重設 PIN。
• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

動作 包括：

• 封鎖存取 (分鐘) - 受管理應用程式可以離線執行的分鐘數。 指定重新檢查應用程式存取需求之前) 以分鐘為單位的時間 (。 在此期間到期後，應用程式需要向 Microsoft Entra ID 進行使用者驗證，應用程式才能繼續執行。
  
  此原則設定格式支援正整數。
  
  預設值 = 1440 分鐘 (24 小時)
  
  注意： 將封鎖存取的離線寬限期計時器設定為小於預設值，可能會導致在重新整理原則時更頻繁地中斷使用者。 不建議選擇小於 30 分鐘的值，因為這可能會導致使用者在每次應用程式啟動或繼續時中斷。
• 抹除資料 (天) - 在系統管理員定義的離線執行) (此天數之後，應用程式會要求使用者連線到網路並重新驗證。 如果使用者成功驗證，他們可以繼續存取其資料，而離線間隔將會重設。 如果使用者無法驗證，應用程式會對使用者的帳戶和資料執行選擇性抹除。 如需詳細資訊，請參閱 如何只從 Intune 託管應用程式抹除公司資料。 此原則設定格式支援正整數。
  
  預設值 = 90 天

注意：離線寬限期計時器會在應用程式處於作用中狀態並偵測到它離線時啟動。

動作 包括：

• 警告 - 如果裝置上的應用程式版本不符合需求，使用者會看到通知。 您可以關閉此通知。
• 封鎖存取 - 如果裝置上的應用程式版本不符合需求，則會封鎖使用者的存取。
• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

動作 包括：

• 封鎖存取 - 使用者被封鎖而無法存取，因為其帳戶已被停用。
• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

動作 包括：

• 封鎖存取 - 因為與應用程式相關聯的使用者帳戶處於非工作時間，因此使用者被封鎖而無法存取。
• 警告 - 如果與應用程式相關聯的使用者帳戶處於非工作時間，使用者會看到通知。 可以關閉通知。

下列應用程式支援公司入口網站 v5.0.5849.0 或更新版本中的此功能：

• Android 版 Teams v1416/1.0.0.2023226005 (2023226050) 或更新版本
• Android 版 Microsoft Edge v125.0.2535.96 或更新版本

• 封鎖存取 - 防止此應用程式在已越獄或取得 root 權限的裝置上執行。 使用者仍可繼續使用此應用程式執行個人工作，但必須使用不同的裝置才能存取此應用程式中的工作或學校資料。

• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

• 警告 - 如果裝置上的 Android 版本不符合需求，使用者會看到通知。 您可以關閉此通知。

• 封鎖存取 - 如果裝置上的 Android 版本不符合此需求，則會封鎖使用者的存取。

• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

此原則設定格式支援 major 和 major.minor。 例如，對於 Android 16 等主要 Android 作業系統版本，建議您使用「16.0」。針對次要版本，例如 Android 16 的 CY25Q4 (也稱為季度平台發行 2 (Android 16) 的 QPR2) ，請使用「16.1」。

• 警告 - 如果裝置上的 Android 版本不符合需求，使用者會看到通知。 您可以關閉此通知。

• 封鎖存取 - 如果裝置上的 Android 版本不符合此需求，則會封鎖使用者的存取。

• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

此原則設定格式支援 major 和 major.minor。 例如，對於 Android 16 等主要 Android 作業系統版本，建議您使用「16.0」。針對次要版本，例如 Android 16 的 CY25Q4 (也稱為季度平台發行 2 (Android 16) 的 QPR2) ，請使用「16.1」。

• 警告 - 如果裝置上的 Android 版本不符合需求，使用者會看到通知。 您可以關閉此通知。

• 封鎖存取 - 如果裝置上的 Android 版本不符合此需求，則會封鎖使用者的存取。

• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

• 允許指定 (封鎖非指定) - 只有符合指定製造商的裝置才能使用該應用程式。 所有其他裝置都會遭到封鎖。

• 允許指定 (抹除非指定) - 與應用程式相關聯的使用者帳戶會從裝置抹除。

[基本完整性 ] 會告訴您裝置的整體完整性。 有根目錄的裝置、模擬器、虛擬裝置和有竄改跡象的裝置無法達到基本完整性。 基本完整性 & 認證裝置 會告訴您裝置與 Google 服務的相容性。 只有經過 Google 認證的未經修改的裝置才能通過此檢查。

如果您選取 [ 播放完整性判定 ] 作為條件啟動的必要，您可以指定使用強式完整性檢查作為評估類型。 作為評估類型，存在強式完整性檢查表示裝置的完整性較高。 如果裝置是此設定的目標，MAM 原則會封鎖不支援強式完整性檢查的裝置。 強完整性檢查提供更強大的根探測，以回應無法始終偵測純軟體解決方案的新型生根工具和方法。 在 APP 內，硬體證明的啟用方式為：一旦設定了播放完整性判定，將 [播放完整性判定類型] 設定為 [檢查強完整性]，以及一旦設定了裝置完整性檢查，將 [必要的 SafetyNet 評估類型] 設定為 [強完整性檢查]。 硬體支援的證明使用隨附於安裝 Android 8.1 和更新版本的裝置的硬體型元件。 從舊版 Android 升級至 Android 8.1 的裝置不太可能擁有硬體支援證明所需的硬體型元件。 雖然從出貨 Android 8.1 的裝置開始，此設定應該得到廣泛支援，但 Microsoft 強烈建議您先個別測試裝置，然後才廣泛啟用此原則設定。

重要： 不支援此評估類型的裝置會根據裝置完整性檢查動作進行封鎖或抹除。 想要使用此功能的組織需要確保使用者擁有支援的裝置。 如需 Google 建議裝置的詳細資訊，請參閱 Android 企業版建議的需求。

動作 包括：

• 警告 - 如果裝置不符合 Google 根據設定的值進行裝置完整性檢查，使用者會看到通知。 您可以關閉此通知。

• 封鎖存取 - 如果裝置不符合 Google 根據設定值的裝置完整性檢查，則使用者被封鎖而無法存取。

• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

• 警告 - 如果裝置上的 Google 驗證應用程式掃描未開啟，使用者會看到通知。 您可以關閉此通知。

• 封鎖存取 - 如果裝置上的 Google 驗證應用程式掃描未開啟，則使用者會被封鎖而無法存取。

值 包括：

• 低複雜性
• 中等複雜度
• 高複雜性

此複雜度值以 Android 12+ 為目標。 對於在 Android 11 及更早版本上執行的裝置，將複雜度值設定為低、中或高，預設為 低複雜度的預期行為。 如需詳細資訊，請參閱 Google 的開發人員文件 getPasswordComplexity、 PASSWORD_COMPLEXITY_LOW、 PASSWORD_COMPLEXITY_MEDIUM 和 PASSWORD_COMPLEXITY_HIGH。

動作 包括：

• 警告 - 如果裝置鎖定不符合最低密碼需求，使用者會看到通知。 可以關閉通知。
• 封鎖存取 - 如果裝置鎖定不符合最低密碼需求，則會封鎖使用者存取。

• 抹除資料 - 如果裝置鎖定不符合最低密碼需求，則會從裝置中抹除與應用程式相關聯的使用者帳戶。

注意：對 Android 公司入口網站 5.0.5421.0 之前版本的支援已於 2025 年 10 月 1 日終止。

鑑於某些最終用戶可能不喜歡當場強制更新應用程序，在配置此設置時，“警告”選項可能是理想的選擇。 Google Play 商店在只傳送應用程式更新的差異位元組方面做得很好，但如果使用者在更新時使用資料，這仍可能是使用者可能不想使用的資料量。 強制更新並因此下載更新的應用程式可能會導致在更新時產生非預期的數據費用。 如需詳細資訊，請參閱 Android 原則設定。

• 警告 - 如果裝置不符合 Samsung Knox 裝置證明檢查，使用者會看到通知。 此通知可以在支援的 Samsung 裝置上關閉。
• 封鎖存取 - 如果裝置不符合 Samsung 的 Knox 裝置證明檢查，則使用者帳戶會被封鎖而無法存取。
• 抹除資料 - 如果裝置不符合 Samsung Knox 裝置證明檢查，則會從裝置中抹除與應用程式相關聯的使用者帳戶。
• 封鎖對支援裝置的存取 - 如果執行 Android 15 且搭配 One UI 7.0 或更新版本的 Samsung 裝置不符合 Samsung 的 Knox 裝置證明檢查，則使用者帳戶會被封鎖存取。 在舊版作業系統上執行的 Samsung 裝置或其他製造商的裝置則不受此選擇影響。

注意： 選取 [警告]、[封鎖存取] 和 [抹除資料] 動作時，請特別小心：

• 這些設定適用於所有目標裝置，包括 Samsung 和其他製造商。
• 在非 Samsung 裝置上，使用者無法接受 Knox 服務條款並遭到封鎖。 使用 [受管理的應用程式] 指派篩選僅以支援的 Samsung 裝置為目標。 如需指派篩選的詳細資訊，請參閱在 Microsoft Intune 中指派應用程式、原則和設定檔時使用篩選。
• 執行 One UI 7.0 或更早版本的 Samsung 裝置會要求使用者先接受 Samsung Knox 條款，才能執行裝置證明檢查。 如果未接受，則會執行指定的動作。

動作 包括：

• 封鎖存取 - 如果使用者裝置上由您選擇的行動裝置威脅防禦 (MTD) 廠商應用程式判斷的威脅等級不符合此需求，則會封鎖使用者存取。
• 抹除資料 - 與應用程式相關聯的使用者帳戶會從裝置中抹除。

值 包括：

• 適用於端點的 Microsoft Defender - 如果已設定 MTD 連接器，請指定適用於端點的 Microsoft Defender 提供裝置威脅等級資訊。
• 行動裝置威脅防禦 (非Microsoft) - 如果已設定 MTD 連接器，請指定非Microsoft MTD 提供裝置威脅等級資訊。

您必須設定 [允許的最大裝置威脅等級] 設定才能使用此設定。

此設定沒有 動作 。