| name | implementing-mobile-application-management |
| description | 实施移动应用管理（MAM）策略，通过应用级控制（包括数据防泄漏、选择性擦除、应用配置和容器化） 在托管和非托管移动设备上保护企业数据。适用于保护 BYOD 设备上的企业应用、实施 Intune 应用保护策略，或强制执行个人与工作应用之间的数据隔离。针对 MAM 部署、应用保护策略、 移动容器化或 BYOD 安全请求激活。
|
| domain | cybersecurity |
| subdomain | mobile-security |
| author | mahipal |
| tags | ["mobile-security","android","ios","mam","enterprise-security","owasp-mobile"] |
| version | 1.0.0 |
| license | Apache-2.0 |
实施移动应用管理（MAM）
适用场景
适用于以下情况：
- 在不进行完整设备管理（MDM）的情况下部署企业移动应用保护
- 实施 BYOD 策略，在保护企业数据的同时尊重个人隐私
- 为 iOS 和 Android 配置 Microsoft Intune 应用保护策略
- 对托管移动应用强制执行数据防泄漏（DLP）控制
不适用于已部署完整设备管理（MDM）且已满足需求的情况——当 MDM 已提供所需控制时，MAM 会增加不必要的复杂性。
前置条件
- Microsoft Intune 或同等 MAM 平台（VMware Workspace ONE、MobileIron）
- 用于身份和条件访问策略的 Azure AD
- 目标应用已集成 Intune App SDK（或使用 Intune App Wrapping Tool）
- 测试设备（Android 10+ 和 iOS 15+）
- 用于条件访问的 Azure AD Premium P1 或 P2 许可证
工作流程
步骤 1：定义应用保护策略需求
对数据敏感性进行分类并定义保护等级：
| 等级 | 数据类型 | 控制措施 |
|---|
| 等级 1 - 基础 | 通用企业邮件 | 要求 PIN、禁止截图 |
| 等级 2 - 增强 | 财务数据、HR 记录 | 加密应用数据、限制剪切/复制/粘贴 |
| 等级 3 - 高级 | PII、医疗、法律 | 选择性擦除、离线访问限制、DLP |
步骤 2：配置 Intune 应用保护策略
Android 应用保护策略：
{
"displayName": "Corporate App Protection - Tier 2",
"platform": "android",
"dataProtectionSettings": {
"allowedDataStorageLocations": ["oneDriveForBusiness", "sharePoint"],
"blockDataTransferToOtherApps": "managedApps",
"blockDataTransferFromOtherApps": "managedApps",
"saveAsBlocked": true,
"clipboardSharingLevel": "managedAppsWithPasteIn",
"screenCaptureBlocked": true,
"encryptAppData": true,
"backupBlocked": true
},
"accessSettings":
步骤 3：实施应用配置策略
部署托管应用配置以实现端点自动化设置：
{
"displayName": "Email App Configuration",
"targetedManagedApps": ["com.microsoft.outlooklite"],
"settings": [
{"key": "com.microsoft.outlook.EmailProfile.AccountType", "value": "ModernAuth"},
{"key": "com.microsoft.outlook.EmailProfile.ServerName", "value": "outlook.office365.com"},
{"key": "com.microsoft.outlook.EmailProfile.AllowedDomains", "value": "corporate.com"}
]
}
步骤 4：部署条件访问集成
Azure AD > 条件访问 > 新建策略：
- 用户：所有使用企业应用的用户
- 云应用：Office 365、自定义 LOB 应用
- 条件：所有平台
- 授予：要求应用保护策略
- 会话：应用强制限制
步骤 5：测试并验证 MAM 控制
在两个平台上测试每项策略控制：
1. 打开托管应用（Outlook）
2. 复制邮件正文中的文本
3. 尝试粘贴到非托管应用（备忘录）-- 应被阻断
4. 尝试粘贴到托管应用（Teams）-- 应可以粘贴
1. 使用 MAM 注册测试设备
2. 在托管应用中访问企业数据
3. 从 Intune 门户触发选择性擦除
4. 验证企业数据已删除，个人数据完好无损
1. 联网状态下访问托管应用
2. 断开网络连接
3. 宽限期到期后，验证应用访问被阻断
步骤 6：监控与响应
配置 MAM 监控仪表板：
- 应用保护策略分配状态
- 不合规设备/用户报告
- 选择性擦除执行日志
- 越狱/Root 检测告警
- PIN 尝试失败追踪
核心概念
| 术语 | 定义 |
|---|
| MAM（移动应用管理） | 无需完整设备注册的应用级策略，即 Mobile Application Management |
| 应用保护策略（App Protection Policy） | 在应用级别强制执行数据保护的规则集（加密、DLP、访问控制） |
| 选择性擦除（Selective Wipe） | 从托管应用中仅删除企业数据，同时保留个人数据 |
| 应用包装（App Wrapping） | 在不修改源代码的情况下，在构建后对应用应用 MAM SDK 策略的过程 |
| 容器化（Containerization） | 将企业应用数据隔离在独立于个人应用的加密容器中 |
工具与系统
- Microsoft Intune：基于云的 MAM/MDM 平台，具有应用保护策略功能
- Intune App SDK：用于将 MAM 控制集成到自定义 iOS/Android 应用的 SDK
- Intune App Wrapping Tool：无需代码更改即可应用 MAM 策略的编译后工具
- VMware Workspace ONE：具有应用容器化功能的替代 MAM 平台
- Azure AD Conditional Access：将 MAM 注册作为访问条件强制执行的策略引擎
常见陷阱
- SDK 版本不匹配：Intune App SDK 版本必须与策略版本匹配。过时的 SDK 版本可能会静默失败，无法执行新策略。
- iOS 托管剪贴板：iOS 通过托管剪贴板强制执行粘贴限制，需要应用通过 Intune SDK 集成选择启用。
- 应用包装限制：已包装的应用无法使用某些功能（某些平台上的推送通知）。对于完整功能，首选 SDK 集成。
- 用户体验摩擦：过度限制的策略会导致用户不满和影子 IT。从等级 1 开始，根据数据敏感性逐步升级。
