MAM 和應用程式保護的常見問題集

MAM 概觀

應用程式防護原則是確保組織資料保持安全或包含在受管理應用程式中的規則。 原則是當使用者嘗試存取或移動公司資料時，Intune 強制執行的規則。 它也可以定義當使用者在應用程式中時 Intune 封鎖或監視的動作。

如需每個應用程式防護原則設定的詳細資訊，請參閱 Android 應用程式防護原則設定 和 iOS/iPadOS 應用程式防護原則設定。

如果您將 MAM 原則套用至使用者而未設定裝置管理狀態，使用者會在個人裝置 （也稱為攜帶您自己的裝置 (BYOD) ） 和 Intune管理裝置上取得 MAM 原則。 您也可以根據裝置管理狀態來套用 MAM 原則。 因此，當您建立應用程式保護原則時，請選取 [鎖定所有裝置類型上的應用程式] 旁邊的 [否]。 然後選擇下列其中一個選項：

• 將較不嚴格的 MAM 原則套用至 Intune 受管理的裝置，並將更嚴格的 MAM 原則套用至未註冊 MDM 的裝置。
• 將同樣嚴格的 MAM 原則套用至 Intune 管理的裝置和非 Microsoft 管理的裝置。
• 僅將 MAM 原則套用至未註冊的裝置。

如需詳細資訊，請參閱 如何監視應用程式防護原則。

任何與 Intune App SDK 整合或由 Intune App Wrapping Tool 包裝的應用程式，都可以使用Intune應用程式保護原則進行管理。 請參閱可公開使用的 Intune 管理的應用程式官方清單。

• 使用者必須擁有 Microsoft Entra 帳戶。 如需如何在 Microsoft Entra ID 中建立 Intune 使用者的詳細資訊，請參閱新增使用者並授與 Intune 系統管理權限。

• 使用者必須將指派給其 Microsoft Entra 帳戶的 Microsoft Intune 授權。 如需如何將 Intune 授權指派給使用者的詳細資訊，請參閱管理 Intune 授權。

• 使用者必須屬於應用程式保護原則所鎖定的安全性群組。 相同的應用程式保護原則必須針對所使用的特定應用程式。 您可以在 Microsoft Intune 系統管理中心建立和部署應用程式防護原則。 您可以在 Microsoft 365 系統管理中心建立安全性群組。

• 使用者必須使用其 Microsoft Entra 帳戶登入應用程式。

Intune SDK 開發團隊會主動測試並維護以原生 Android、iOS/iPadOS (Obj-C、Swift) 、.NET 和 MAUI 平台建置應用程式的支援。 有些客戶已成功將 Intune SDK 與其他平台整合，例如 React Native 和 NativeScript。 除了支援的平台外，Microsoft 不提供其他平台的指引或外掛程式。

Intune App SDK 可以使用 Microsoft 驗證程式庫進行其驗證和條件式啟動案例。 它還依賴 MSAL 向 MAM 服務註冊使用者身分識別，以便在沒有裝置註冊案例的情況下進行管理。

• 使用者必須將 Outlook 行動裝置應用程式 安裝到他們的裝置上。

• 使用者必須擁有連結到其 Microsoft Entra 帳戶的 Microsoft 365 Exchange Online 信箱和授權。

  注意事項

  Outlook 行動裝置應用程式目前僅支援使用混合式新式驗證的 Intune 應用程式保護適用於 Microsoft Exchange Online 和 Exchange Server，且不支援專用的 Office 365 Dedicated 中的 Exchange。

• 使用者必須擁有連結至其 Microsoft Entra 帳戶的 Microsoft 365 Apps 商務版或企業版授權。 訂閱必須包含行動裝置上的 Office 應用程式，而且可以包含具有 OneDrive 雲端儲存空間和商務用檔案共用的雲端儲存空間帳戶。 您可以依照下列指示，在 Microsoft 365 系統管理中心指派 Microsoft 365 授權。

• 使用者必須使用「儲存組織資料複本」應用程式保護原則設定下的精細另存新檔功能，設定受管理的位置。 例如，如果受管理的位置是 OneDrive，則應該在使用者的 Word、Excel 或 PowerPoint 應用程式中設定 OneDrive 應用程式。

• 如果受管理的位置是 OneDrive，則該應用程式必須由部署到使用者的應用程式保護原則設定為目標。

  注意事項

  Office 行動裝置應用程式目前僅支援 SharePoint Online，不支援內部部署 SharePoint。

Intune 會將應用程式中的所有資料標示為公司或個人。 當資料源自營業地點時，則視為 公司 資料。 對於 Office 應用程式，Intune 會將 Exchange) (電子郵件與雲端儲存空間 (OneDrive) 視為商務位置。

請參閱商務用 Skype 授權要求。 如需商務用 Skype (SfB) 混合式和內部部署設定，請參閱 SfB 和 Exchange 的混合式新式驗證 正式發行 和 使用 Microsoft Entra ID 的 SfB 內部部署的新式驗證。

多重身分識別支援是 Intune App SDK 只將應用程式防護原則套用至登入應用程式的公司或學校帳戶的能力。 如果個人帳戶登入應用程式，則資料不會受影響。

多重身分識別支援可讓同時含公司與消費者對象的應用程式 (也就是說，Office 應用程式) 公開發行，並具有公司帳戶的Intune應用程式保護功能。

因為 Outlook 具有個人和公司電子郵件的合併電子郵件檢視，因此 Outlook 應用程式在啟動時會提示輸入 Intune PIN。

個人識別碼 (PIN) 是一組密碼，用來驗證正確的使用者正在存取應用程式中的組織資料。

當使用者即將存取公司資料時，Intune 會提示使用者輸入應用程式 PIN。 在 Word/Excel/PowerPoint 等多重身分識別應用程式中，當使用者嘗試開啟公司文件或檔案時，系統會提示使用者輸入 PIN。 在單一身分識別應用程式中，例如使用 Intune App Wrapping Tool 管理的企業營運應用程式，啟動時會提示輸入 PIN，因為 Intune App SDK 知道使用者在應用程式中的體驗一律為公司。

IT 系統管理員可以在 Microsoft Intune 系統管理中心定義 Intune 應用程式保護原則設定「) (分鐘後重新檢查存取需求」。 此設定會指定在裝置上檢查存取需求之前的時間量，並再次顯示應用程式 PIN 畫面。 以下是影響使用者收到提示頻率的 PIN 重要詳細資料：

• 為了改善使用性，會在相同發行者的應用程式之間共用 PIN：在 iOS/iPadOS 上，同一應用程式發行者的所有應用程式之間會共用一個應用程式 PIN。 在 Android 上，所有應用程式之間會共用一個應用程式 PIN。
• 裝置重新開機後的 [ (分鐘後重新檢查存取需求) ] 行為：「PIN 計時器」會追蹤閒置的分鐘數，以決定下次何時顯示 Intune 應用程式 PIN。 在 iOS/iPadOS 上，PIN 計時器不受裝置重新開機影響。 因此，裝置重新啟動對於使用者從具有 Intune PIN 原則的 iOS/iPadOS 應用程式非作用中的分鐘數沒有影響。 在 Android 上，PIN 計時器會在裝置重新開機時重設。 因此，無論裝置重新開機後的 [ (分鐘後重新檢查存取需求) ] 設定值為何，具有Intune PIN 原則的 Android 應用程式都可能會提示輸入應用程式 PIN。
• 與 PIN 相關聯之計時器的滾動性質： 輸入 PIN 以存取應用程式 (應用程式 A) 後，且應用程式離開前景 (裝置上的主要輸入焦點) ，則該 PIN 碼的 PIN 計時器將會重設。 任何共用此 PIN (的應用程式 B) 都不會提示使用者輸入 PIN，因為計時器已重設。 再次符合 [ (分鐘後重新檢查存取需求) ] 值後，系統會再次顯示該提示。

在 iOS/iPadOS 裝置上，來自不同發行者的應用程式可以共用相同的 PIN。 不過，當達到 (分鐘後重新檢查存取需求) 值時，如果應用程式不是主要的輸入焦點，Intune會提示使用者輸入 PIN。 舉例來說，使用者有來自發行者 X 的應用程式 A，以及來自發行者 Y 的應用程式 B，而這兩個應用程式會共用相同的 PIN。 使用者專注於前景) (應用程式 A ，而應用程式 B 已最小化。 符合 (分鐘後重新檢查存取需求) 值且使用者切換至應用程式 B 之後，就必須輸入 PIN。

Intune PIN 的運作依據非活動型計時器，其值為 (分鐘後重新檢查存取需求) 。 因此，Intune PIN 提示會獨立於 Outlook 和 OneDrive 的內建應用程式 PIN 提示顯示，而 Outlook 和 OneDrive 通常預設會與應用程式啟動綁定。 如果使用者同時收到兩個 PIN 提示，預期的行為應是 Intune PIN 優先。

PIN 的作用是只允許正確的使用者存取其組織在應用程式中的資料。 使用者必須先使用其公司或學校帳戶登入，才能設定或重設其 Intune 應用程式 PIN。 Microsoft Entra ID 透過安全的權杖交換處理此驗證，而且對 Intune App SDK 不透明。 從安全性的角度來看，保護公司或學校資料的最好方式就是加密。 加密與應用程式 PIN 無關，而是其自己的應用程式保護原則。

作為應用程式 PIN 原則的一部分，IT 系統管理員可以設定使用者在鎖定應用程式之前可以嘗試驗證其 PIN 的最大次數。 符合嘗試次數之後，Intune App SDK 可以抹除應用程式中的公司資料。

iOS/iPadOS 上的 MAM 支援具有英數字元和特殊字元的應用程式層級 PIN， (稱為密碼) 。 若要強制執行密碼設定，像是 Word、Excel、PowerPoint、Outlook、Managed Browser 和 Yammer 等應用程式必須整合適用於 iOS/iPadOS 的 Intune App SDK。 如果沒有此整合，Intune 無法強制執行這些應用程式的密碼設定。 Intune 在適用於 iOS/iPadOS 的 SDK 版本 7.1.12 中引進了此功能。

為了支援此功能並維持與舊版 iOS/iPadOS 版 Intune SDK 的相容性，版本 7.1.12 及更新版本會與舊版中使用的數字 PIN 碼分開處理所有 PIN (數字或密碼) 。 因此，如果裝置具有來自相同發行者的 7.1.12 之前和 7.1.12 之後的 Intune SDK for iOS/iPadOS 應用程式，則必須設定兩個 PIN。

話雖這麼說，每個應用程式 (的兩個 PIN) 沒有任何關聯。 他們必須遵守套用至應用程式的應用程式防護原則。 因此，只有當應用程式 A 和 B 對 PIN) 套用 (相同的原則時，使用者才能設定相同的 PIN 兩次。

此行為是啟用 Intune 行動裝置應用程式管理之 iOS/iPadOS 應用程式上的 PIN 特有。 一段時間後，隨著應用程式採用適用於 iOS/iPadOS 的 Intune SDK 較新版本，在相同發行者的應用程式上設定 PIN 兩次變得不成問題。

IT 系統管理員可以部署需要加密應用程式資料的應用程式保護原則。 作為原則的一部分，IT 系統管理員也可以指定何時加密內容。

Intune 會根據加密的應用程式保護原則設定來加密資料。 如需詳細資訊，請參閱 Android 應用程式防護原則設定 和 iOS/iPadOS 應用程式防護原則設定。

只有標示為 公司 的資料會根據 IT 系統管理員的應用程式保護原則進行加密。 當資料源自營業地點時，則視為公司資料。 對於 Office 應用程式，Intune 會將 Exchange) (電子郵件與雲端儲存空間 (OneDrive) 視為商務位置。 針對Intune App Wrapping Tool管理的企業營運應用程式，所有應用程式資料都視同公司。

Intune 可以使用三種不同的方式抹除應用程式資料：完整裝置抹除、MDM 的選擇性抹除和 MAM 選擇性抹除。 有關遠端抹除 MDM 的詳細資訊，請參閱 使用 抹除或淘汰來移除裝置。 如需使用 MAM 選擇性抹除的詳細資訊，請參閱 淘汰動作 和 如何只從應用程式抹除公司資料。

[抹除] 會將裝置還原為原廠預設設定，從裝置移除所有使用者資料和設定。 裝置會從 Intune 中移除。

MDM 的選擇性抹除只會從裝置移除公司資料，而不會影響個人資料。 如需詳細資訊，請參閱 移除裝置 - 淘汰。

MAM 的選擇性抹除只會從應用程式移除公司應用程式資料。 要求是使用 Microsoft Intune 系統管理中心啟動的。 若要瞭解如何起始抹除要求，請參閱 [如何 只從應用程式抹除公司資料]。

如果使用者在起始選擇性抹除時使用應用程式，則 Intune 應用程式 SDK 每隔 30 分鐘會檢查一次來自 Intune MAM 服務的選擇性抹除要求。 當使用者第一次啟動應用程式並使用其公司或學校帳戶登入時，它也會檢查是否選擇性抹除。

Intune 應用程式保護取決於使用者的身分識別，以確保應用程式與 Intune 應用程式 SDK 之間的一致性。 保證這一點的唯一方法是透過新式驗證。 在某些情況下，應用程式可能可以與內部部署設定一起使用，但它們不一致或沒有保證。

是！ IT 系統管理員可以部署和設定 Microsoft Edge 應用程式的應用程式保護原則。 IT 系統管理員可以要求使用 Microsoft Edge 應用程式開啟 Intune 管理應用程式中的所有網頁連結。

請參閱 公司入口網站應用程式與 Intune 應用程式保護。

當使用者嘗試從其公司帳戶存取目標應用程式時，存取的 Intune 應用程式防護原則會以特定順序套用在使用者裝置上。 一般而言，封鎖會優先，然後是可關閉的警告。 例如，如果適用於特定使用者/應用程式，則會在封鎖使用者存取的最低 Android 修補程式版本設定之後套用警告使用者進行修補程式升級的最低 Android 修補程式版本設定。 因此，在 IT 系統管理員將最小 Android 修補程式版本設定為 2018-03-01，而最小 Android 修補程式版本 (警告僅) 到 2018-02-01 的情況下，而嘗試存取應用程式的裝置在修補程式版本 2018-01-01 上，系統會根據針對最小 Android 修補程式版本的更嚴格設定來封鎖使用者，從而導致存取遭到封鎖。

在處理不同類型的設定時，應用程式版本需求會優先，其次是 Android 作業系統版本需求和 Android 修補程式版本需求。 然後，會以相同的順序檢查所有類型設定的任何警告。

Intune 服務會以服務負載所決定的無法設定的間隔連絡 Google Play。 任何 IT 系統管理員針對 Google Play 裝置完整性檢查設定設定的動作，都會根據條件式啟動時對 Intune 服務回報的上次結果來執行。 如果 Google 的裝置完整性結果符合規定，則不會採取任何動作。 如果 Google 的裝置完整性結果不符合規範，系統會立即採取 IT 系統管理員設定的動作。 如果對 Google Play 裝置完整性檢查的要求因任何原因而失敗，則上一個要求的快取結果最多會使用至 24 小時或在下一次裝置重新啟動時使用，以先發生者為準。 屆時，Intune 應用程式防護原則會封鎖存取，直到取得目前的結果為止。

如何執行這項操作的指示會因裝置而稍有不同。 一般過程包括轉到 Google Play 商店，然後單擊 “我的應用程序 & 遊戲”，單擊上次應用程序掃描的結果，這將帶您進入 “Play 保護” 菜單。 請確定 [掃描裝置以尋找安全性威脅] 的切換開關已開啟。

Intune 會套用 Google Play 完整性 API，以新增到我們現有的未註冊裝置根偵測檢查。 Google 開發並維護了這個 API 集，供 Android 應用程式在不希望其應用程式在有根權限的裝置上執行時採用。 例如，Android Pay 應用程序就融入了這一點。 雖然 Google 不會公開分享發生的所有 root 偵測檢查，但我們預期這些 API 能夠偵測到已 root 裝置的使用者。 接著，可以封鎖這些使用者的存取，或從啟用原則的應用程式中抹除其公司帳戶。 '檢查基本完整性' 告訴您裝置的整體完整性。 有根目錄的裝置、模擬器、虛擬裝置和有竄改跡象的裝置無法達到基本完整性。 [檢查經認證裝置 & 基本完整性] 可讓您了解裝置與 Google 服務的相容性。 只有經過 Google 認證的未經修改的裝置才能通過此檢查。 失敗的裝置包括：

• 無法達成基本完整性的裝置
• 具有未鎖定開機載入器的裝置
• 具有自訂系統映像/ROM 的裝置
• 製造商未申請或未通過 Google 認證的裝置
• 具有直接從 Android 開放原始碼計畫來源檔案建置的系統映像的裝置
• 具有 Beta/開發人員預覽系統映像的裝置

如需技術詳細資訊 ，請參閱 Google 關於 Play Integrity API 的文件 。

Google Play 完整性 API 檢查需要使用者至少在執行判斷證明結果的往返期間上線。 如果使用者為離線狀態，IT 系統管理員仍可預期會從 [越獄/root 化裝置] 設定強制執行結果。 也就是說，如果使用者離線太久，[離線寬限期] 值就會發揮作用，一旦達到該計時器值，系統就會封鎖所有對公司或學校資料的存取，直到網路存取可供使用為止。 開啟這兩個設定允許使用多層的方式來讓使用者裝置保持正常運作，這在使用者在行動裝置上存取工作或學校資料時非常重要。

[Play 完整性判定] 和 [對應用程式進行威脅掃描] 設定都需要 Google 判斷的 Google Play 服務版本才能正常運作。 由於這些設定屬於安全性範圍，因此如果使用者以這些設定為目標，但未符合適當的 Google Play 服務版本，或無法存取 Google Play 服務，則會封鎖使用者。

Intune 應用程式防護原則只允許 Intune 授權使用者控制應用程式存取權。 控制應用程式存取權限的方法之一是在支援的裝置上要求 Apple 的 Touch ID 或 Face ID。 Intune 會實施一種行為，如果裝置的生物特徵辨識資料庫有任何變更，Intune 會在下一個非使用中逾時值達到時，提示使用者輸入 PIN。 生物特徵辨識資料的變更包括新增或移除指紋或臉部。 如果 Intune 使用者尚未設定 PIN，系統會引導他們設定 Intune PIN。

這樣做的目的是繼續讓貴組織在應用程式中的資料保持安全，並在應用程式層級受到保護。 此功能僅適用於 iOS/iPadOS，並且需要整合 Intune APP SDK for iOS/iPadOS 版本 9.0.1 或更新版本的應用程式參與。 必須整合 SDK，才能在目標應用程式上強制執行行為。 此整合會以滾動方式進行，並取決於特定的應用程式團隊。 參與的一些應用程式包括 WXP、Outlook、Managed Browser 和 Yammer。

Intune 應用程式防護原則無法在未管理裝置的情況下控制 iOS 共用擴充功能。 Intune 會先 加密公司資料，再將其共用到應用程式外部。 您可以嘗試在受管理的應用程式之外開啟公司檔案來驗證這一點。 該檔案應該經過加密，且無法在受管理的應用程式之外開啟。

當使用者嘗試從其公司帳戶存取目標應用程式時，存取的 Intune 應用程式防護原則會以特定順序套用在使用者裝置上。 一般而言，清除會優先，後面接著區塊，然後是可關閉的警告。 例如，如果適用於特定使用者/應用程式，則會在封鎖使用者存取的最小 iOS/iPadOS 作業系統設定之後套用警告使用者更新其 iOS/iPadOS 版本的最小 iOS/iPadOS 作業系統設定。 因此，在 IT 系統管理員將最小 iOS/iPadOS 作業系統配置為 11.0.0.0 並將最小 iOS/iPadOS 作業系統 (警告) 為 11.1.0.0 的情況下，當嘗試存取應用程式的裝置在 iOS/iPadOS 10 上時，系統會根據針對最低 iOS/iPadOS 作業系統版本的更嚴格設定來封鎖使用者，從而導致存取被封鎖。

處理不同類型的設定時，Intune App SDK 版本需求會優先，然後是應用程式版本需求，最後還是 iOS/iPadOS 作業系統版本需求。 然後，會以相同的順序檢查所有類型設定的任何警告。 我們建議只在 Intune 產品小組針對基本封鎖案例的指導下，才設定 Intune App SDK 版本需求。

相關內容

• 部署 Intune
• 建立推出計畫
• Microsoft Intune 中的 Android 行動裝置應用程式管理原則設定
• iOS/iPadOS 行動裝置應用程式管理原則設定
• 應用程式防護原則原則重新整理
• 驗證您的應用程式防護原則
• 為未注冊裝置的受管理應用程式新增應用程式設定原則
• 如何在 Microsoft Intune 中取得支援