iOS 应用保护策略设置

• 所有应用：允许传输到任何应用。 接收应用能够读取和编辑数据。
• 无：不允许将数据传输到任何应用，包括其他策略托管的应用。 如果用户执行托管打开功能并传输文档，则数据已加密且不可读。
• 策略托管的应用: 仅允许传输到其他策略托管的应用。

  注意：用户可能能够通过 Open-in 或 Share 扩展将内容传输到未注册设备或允许共享到非托管应用的注册设备上的非托管应用。Intune加密传输的数据，因此非托管应用无法读取它。

• 具有 OS 共享的策略托管应用：仅允许将数据传输到其他策略托管应用，以及将文件传输到已注册设备上的其他 MDM 托管应用。

  注意：具有 OS 共享值的策略托管应用仅适用于 MDM 注册的设备。 如果此设置面向未注册设备上的用户，则会应用策略托管应用值的行为。在未注册的设备上，当策略托管应用值生效时，打开/共享筛选可确保只有其他策略托管应用可以接受数据传输。例如，如果用户尝试通过自定义共享扩展) (将内容传输到非托管应用，则数据Intune加密且不可读，除非接收应用支持Intune的专用数据类型。用户能够通过 Open-in 或 Share 扩展将未加密的内容传输到 iOS MDM allowOpenFromManagedtoUnmanaged 设置允许的任何应用程序，前提是发送应用具有 IntuneMAMUPN 和 IntuneMAMOID 配置;有关详细信息，请参阅如何在 Microsoft Intune 中管理 iOS 应用之间的数据传输。有关此 iOS/iPadOS MDM 设置的详细信息，请参阅 https://developer.apple.com/business/documentation/Configuration-Profile-Reference.pdf 。

• 具有“打开方式/共享”筛选的策略托管的应用: 仅允许传输到其他策略托管的应用，并筛选“OS 打开方式/共享”对话框以仅显示策略托管的应用。 要配置 打开方式/共享 对话框的筛选，其需要充当文件/文档源的应用和可打开此文件/文档的应用，以具有适用于 iOS 版本 8.1.1 或更高版本的 Intune SDK。

  注意：如果应用支持Intune私有数据类型，则用户可以使用 Open-in 或 Share 扩展将内容传输到非托管应用。Intune加密传输的数据，因此非托管应用无法读取数据。

此策略也适用于 iOS/iPadOS 通用链接。

默认情况下，某些豁免应用和服务Intune可能允许数据传输。 此外，如果需要允许将数据传输到不支持 Intune 应用 的应用，则可以创建自己的豁免项。 有关详细信息，请参阅 数据传输豁免。

选择要豁免的应用

选择要豁免的通用链接

选择托管通用链接

保存组织数据的副本

• Microsoft Excel、OneNote、Outlook、PowerPoint、Word 和 Microsoft Edge 支持此设置。 非Microsoft和业务线 (LOB) 应用也可以支持它。
• 只有“将组织数据发送到其他应用”设置设为“策略托管应用”、“具有 OS 共享功能的策略托管应用”或“具有‘打开方式/共享’筛选功能的策略托管应用”时，此设置才可配置。
• 将“ 将组织数据发送到其他应用 ”设置为“ 所有应用”时，此设置为“允许”。
• 将“ 将组织数据发送到其他应用 ”设置为“ 无”时，此设置为“阻止”，不允许使用服务位置。

允许用户将副本保存到所选的服务

将电信数据传输到

• 无，请勿在应用之间传输此数据：检测到电话号码时不传输通信数据。
• 特定拨号程序应用：允许特定托管拨号程序应用在检测到电话号码时启动联系人。
• 任何拨号程序应用：允许在检测到电话号码时使用任何托管拨号程序应用启动联系人。

注意：此设置需要Intune SDK 12.7.0 及更高版本。如果你的应用依赖于拨号器功能，并且未使用正确的 Intune SDK 版本，作为解决方法，请考虑添加“tel;telprompt“作为数据传输豁免。应用支持正确的Intune SDK 版本后，可以删除豁免。

拨号器应用 URL 方案

将消息传递数据传输到

• 无，请勿在应用之间传输此数据：检测到电话号码时不传输通信数据。
• 特定消息传递应用：允许特定托管消息应用在检测到电话号码时启动联系。
• 任何消息传递应用：允许在检测到电话号码时使用任何托管消息应用发起联系。

注意：此设置需要Intune SDK 19.0.0 及更高版本。

消息传递应用 URL 方案

• 所有应用：允许从任何应用传输数据。
• 无：不允许从任何应用（包括其他策略管理的应用）传输数据。
• 策略托管的应用: 仅允许从其他策略托管的应用进行传输。
• 所有具有传入组织数据的应用: 允许从任何应用传输数据。 将所有不带用户标识的传入数据视为组织中的数据。 数据标有设置定义的 IntuneMAMUPN MDM 注册用户的标识。

  注意：具有传入组织数据的所有应用值仅适用于已注册 MDM 的设备。如果此设置面向未注册设备上的用户，则应用“任何应用”值的行为。

在组织文档中打开数据

• 仅当“从其他应用接收数据”设置设为“策略托管应用”时，此设置才可配置。
• 将“ 从其他应用接收数据 ”设置为“ 所有应用” 或“ 包含传入组织数据的所有应用”时，此设置为“允许”。
• 将“ 从其他应用接收数据 ”设置为“ 无”时，此设置为“阻止”，不允许服务位置。
• 以下应用支持此设置:
  • OneDrive 11.45.3 或更高版本。
  • iOS 版 Outlook 4.60.0 或更高版本。
  • iOS 版 Teams 3.17.0 或更高版本。

允许用户从选定服务打开数据

• OneDrive
• SharePoint
• 照相机
• 照片库

• 已阻止：不允许在此应用与任何其他应用之间执行剪切、复制和粘贴作。
• 策略托管的应用: 允许在此应用和其他策略托管的应用之间执行剪切、复制和粘贴操作。
• 带粘贴的策略托管应用：允许在此应用和其他策略托管应用间进行剪切或复制。 允许将任何应用中的数据粘贴到此应用。
• 任何应用: 不限制从此应用进行剪切、复制和粘贴，或剪切、复制和粘贴到此应用。

剪切和复制任何应用的字符限制

默认值 = 0

注意: 要求应用具有 Intune SDK 版本 9.0.14 或更高版本。

注意： 有关支持的屏幕捕获方案的详细信息，请参阅 数据保护。

• Outlook for iOS 请参阅 部署 Outlook for iOS 和 Android 应用配置设置

• 任何应用: 允许任何应用中的 Web 链接。
• Microsoft Edge: 仅允许在 Microsoft Edge 中打开 Web 内容。 此浏览器为策略托管的浏览器。
• 非托管浏览器: 仅允许在 非托管浏览器协议 设置定义的非托管浏览器中打开 Web 内容。 Web 内容在目标浏览器中不受管理。
  注意: 要求应用具有 Intune SDK 版本 11.0.9 或更高版本。

如果需要策略托管浏览器，则 iOS/iPadOS 通用链接由 “将组织数据发送到其他应用” 策略设置进行管理。

Intune 设备注册
如果正在使用 Intune 管理设备，请参阅 通过 Microsoft Intune 使用托管浏览器策略管理 Internet 访问。

策略托管的 Microsoft Edge
移动设备（iOS/iPadOS 和 Android）的 Microsoft Edge 浏览器支持 Intune 应用保护策略。 在 Microsoft Edge 浏览器应用程序中使用公司Microsoft Entra帐户登录的用户受Intune保护。 Microsoft Edge 浏览器集成了 Intune SDK 并支持其所有数据保护策略，但防止：

• 另存为：Microsoft Edge 浏览器不允许用户将直接的应用内连接添加到云存储提供程序 (，例如 OneDrive) 。
• 联系人同步：Microsoft Edge 浏览器不会保存到本机联系人列表。

非托管浏览器协议

• http://www.microsoft.com > mybrowser://www.microsoft.com
• https://www.microsoft.com > mybrowsers://www.microsoft.com

• 已阻止：不共享通知。
• 如果应用程序不支持，则允许通知。
• 阻止组织数据：例如，不要在通知中共享组织数据。
• “你有新邮件”;“你有一个会议。”
• 如果应用程序不支持，则允许通知。
• 允许: 在通知中共享“组织”数据。

注意：
此设置需要以下应用支持：

• Outlook for iOS 4.34.0 或更高版本
• 适用于 iOS 2.0.22 或更高版本的 Teams
• Microsoft 365 (Office) for iOS 2.72 或更高版本

PIN 类型

简单 PIN

选择最小 PIN 长度

使用 Touch ID，而不是 PIN 进行访问 (iOS 8 +)

超时后使用 PIN 覆盖 Touch ID

超时(非活动状态的分钟数)

使用 Face ID 而非 PIN 进行访问(iOS 11+)

数天后重置 PIN

天数

设置设备 PIN 时的应用 PIN

操作 包括:

• 警告 - 如果设备上的 iOS/iPadOS 版本不符合要求，用户会看到通知。 可消除此通知。
• 阻止访问 - 如果设备上的 iOS/iPadOS 版本不符合此要求，则阻止用户访问。
• 擦除数据 - 从设备中擦除与应用程序关联的用户帐户。

操作 包括:

• 警告 - 如果设备上的 iOS/iPadOS 版本不符合要求，用户会看到通知。 可消除此通知。
• 阻止访问 - 如果设备上的 iOS/iPadOS 版本不符合此要求，则阻止用户访问。
• 擦除数据 - 从设备中擦除与应用程序关联的用户帐户。

操作 包括:

• 重置 PIN - 用户必须重置其 PIN。
• 擦除数据 - 从设备中擦除与应用程序关联的用户帐户。

操作 包括:

• 阻止访问(分钟数) - 策略托管的应用可以脱机运行的分钟数。 指定重新检查应用访问要求前的时间(以分钟为单位)。 在已配置的期限过期后，应用会阻止对工作或学校数据进行访问，直到网络访问可用。 阻止数据访问的脱机宽限期计时器根据Intune服务的最后一个检查为每个应用单独计算。 此策略设置格式支持正整数。
  
  默认值 = 1440 分钟 (24 小时)
  
  注意： 将阻止访问的脱机宽限期计时器配置为小于默认值可能会导致在刷新策略时出现更频繁的用户中断。 不建议选择小于 30 分钟的值，因为这可能会导致每次应用程序启动或恢复时出现用户中断。
  
  注意： 停止脱机宽限期策略刷新（包括关闭或挂起应用程序）将导致用户在下一次应用启动或恢复时中断。

• 擦除数据(天数) - 在脱机运行这么多天(由管理员定义)后，应用将要求用户连接到网络并重新进行身份验证。 如果用户成功进行身份验证，他们可以继续访问其数据，并且脱机间隔将重置。 如果用户未能进行身份验证，应用会选择性地擦除用户的帐户和数据。 有关使用选择性擦除删除哪些数据的详细信息，请参阅如何仅从Intune托管的应用擦除公司数据。 根据上次使用 Intune 服务进行的签入，分别为每个应用计算用于擦除数据的脱机宽限期计时器。 此策略设置格式支持正整数。
  
  默认值 = 90 天

操作 包括:

• 阻止访问 - 阻止在已越狱或取得 root 权限的设备上运行此应用。 用户仍能够将此应用用于个人任务，但必须使用其他设备才能访问此应用中的工作或学校数据。
• 擦除数据 - 从设备中擦除与应用程序关联的用户帐户。

操作 包括:

• 阻止访问 - 当我们确认用户已在Microsoft Entra ID中被禁用时，应用将阻止访问工作或学校数据。
• 擦除数据 - 确认用户已在Microsoft Entra ID中禁用时，应用会选择性地擦除用户的帐户和数据。

操作 包括:

• 警告 - 如果设备上的应用版本不符合要求，则用户会看到一条通知。 可消除此通知。
• 阻止访问 - 如果设备上的应用版本不符合要求，则会阻止用户访问。
• 擦除数据 - 从设备中擦除与应用程序关联的用户帐户。

操作 包括:

• 阻止访问 - 如果应用的 Intune 应用保护策略 SDK 版本不符合此要求，将阻止用户访问。
  
• 擦除数据 - 从设备中擦除与应用程序关联的用户帐户。
  
• 警告 - 如果应用的 iOS/iPadOS SDK 版本不符合最低 SDK 要求，则用户会看到通知。 指示用户升级到应用的最新版本。 可消除此通知。

操作 包括:

• 允许指定项（阻止非指定项） - 仅与指定设备型号匹配的设备才能使用该应用。 所有其他设备型号将被阻止。
• 允许指定项(擦除非指定项) - 从设备中擦除与应用程序关联的用户帐户。

操作 包括:

• 阻止访问 - 如果最终用户设备上的所选移动威胁防御 (MTD) 供应商应用确定的威胁级别不符合此要求，则阻止用户访问。
• 擦除数据 - 从设备中擦除与应用程序关联的用户帐户。

值 包括：

• Microsoft Defender for Endpoint - 如果配置了 MTD 连接器，请指定Microsoft Defender for Endpoint提供设备威胁级别信息。
• 移动威胁防御 (非Microsoft) - 如果配置了 MTD 连接器，请指定 MTD 提供设备威胁级别信息的非Microsoft MTD。

必须配置“允许的最大设备威胁级别”设置才能使用此设置。

此设置没有 作 。

操作 包括:

• 阻止访问 - 阻止用户访问，因为与应用程序关联的用户帐户处于非工作时间。
• 警告 - 如果与应用程序关联的用户帐户处于非工作时间，则用户会看到通知。 通知可以消除。

以下应用支持此功能：

• 适用于 iOS v6.9.2 或更高版本的 Teams
• Microsoft Edge for iOS v126.2592.56 或更高版本