implementing-mobile-application-management

name	implementing-mobile-application-management
description	实施移动应用管理（MAM）策略，通过应用级控制（包括数据防泄漏、选择性擦除、应用配置和容器化） 在托管和非托管移动设备上保护企业数据。适用于保护 BYOD 设备上的企业应用、实施 Intune 应用保护策略，或强制执行个人与工作应用之间的数据隔离。针对 MAM 部署、应用保护策略、 移动容器化或 BYOD 安全请求激活。
domain	cybersecurity
subdomain	mobile-security
author	mahipal
tags	["mobile-security","android","ios","mam","enterprise-security","owasp-mobile"]
version	1.0.0
license	Apache-2.0

实施移动应用管理（MAM）

适用场景

适用于以下情况：

• 在不进行完整设备管理（MDM）的情况下部署企业移动应用保护
• 实施 BYOD 策略，在保护企业数据的同时尊重个人隐私
• 为 iOS 和 Android 配置 Microsoft Intune 应用保护策略
• 对托管移动应用强制执行数据防泄漏（DLP）控制

不适用于已部署完整设备管理（MDM）且已满足需求的情况——当 MDM 已提供所需控制时，MAM 会增加不必要的复杂性。

前置条件

• Microsoft Intune 或同等 MAM 平台（VMware Workspace ONE、MobileIron）
• 用于身份和条件访问策略的 Azure AD
• 目标应用已集成 Intune App SDK（或使用 Intune App Wrapping Tool）
• 测试设备（Android 10+ 和 iOS 15+）
• 用于条件访问的 Azure AD Premium P1 或 P2 许可证

工作流程

步骤 1：定义应用保护策略需求

对数据敏感性进行分类并定义保护等级：

等级	数据类型	控制措施
等级 1 - 基础	通用企业邮件	要求 PIN、禁止截图
等级 2 - 增强	财务数据、HR 记录	加密应用数据、限制剪切/复制/粘贴
等级 3 - 高级	PII、医疗、法律	选择性擦除、离线访问限制、DLP

步骤 2：配置 Intune 应用保护策略

Android 应用保护策略：

{
    "displayName": "Corporate App Protection - Tier 2",
    "platform": "android",
    "dataProtectionSettings": {
        "allowedDataStorageLocations": ["oneDriveForBusiness", "sharePoint"],
        "blockDataTransferToOtherApps": "managedApps",
        "blockDataTransferFromOtherApps": "managedApps",
        "saveAsBlocked": true,
        "clipboardSharingLevel": "managedAppsWithPasteIn",
        "screenCaptureBlocked": true,
        "encryptAppData": true,
        "backupBlocked": true
    },
    "accessSettings": 
         
         
         
         
         
    
     
         
         
         
         
    

步骤 3：实施应用配置策略

部署托管应用配置以实现端点自动化设置：

{
    "displayName": "Email App Configuration",
    "targetedManagedApps": ["com.microsoft.outlooklite"],
    "settings": [
        {"key": "com.microsoft.outlook.EmailProfile.AccountType", "value": "ModernAuth"},
        {"key": "com.microsoft.outlook.EmailProfile.ServerName", "value": "outlook.office365.com"},
        {"key": "com.microsoft.outlook.EmailProfile.AllowedDomains", "value": "corporate.com"}
    ]
}

步骤 4：部署条件访问集成

Azure AD > 条件访问 > 新建策略：
- 用户：所有使用企业应用的用户
- 云应用：Office 365、自定义 LOB 应用
- 条件：所有平台
- 授予：要求应用保护策略
- 会话：应用强制限制

步骤 5：测试并验证 MAM 控制

在两个平台上测试每项策略控制：

# 验证数据传输限制
1. 打开托管应用（Outlook）
2. 复制邮件正文中的文本
3. 尝试粘贴到非托管应用（备忘录）-- 应被阻断
4. 尝试粘贴到托管应用（Teams）-- 应可以粘贴

# 验证选择性擦除
1. 使用 MAM 注册测试设备
2. 在托管应用中访问企业数据
3. 从 Intune 门户触发选择性擦除
4. 验证企业数据已删除，个人数据完好无损

# 验证离线宽限期
1. 联网状态下访问托管应用
2. 断开网络连接
3. 宽限期到期后，验证应用访问被阻断

步骤 6：监控与响应

配置 MAM 监控仪表板：

• 应用保护策略分配状态
• 不合规设备/用户报告
• 选择性擦除执行日志
• 越狱/Root 检测告警
• PIN 尝试失败追踪

核心概念

术语	定义
MAM（移动应用管理）	无需完整设备注册的应用级策略，即 Mobile Application Management
应用保护策略（App Protection Policy）	在应用级别强制执行数据保护的规则集（加密、DLP、访问控制）
选择性擦除（Selective Wipe）	从托管应用中仅删除企业数据，同时保留个人数据
应用包装（App Wrapping）	在不修改源代码的情况下，在构建后对应用应用 MAM SDK 策略的过程
容器化（Containerization）	将企业应用数据隔离在独立于个人应用的加密容器中

工具与系统

• Microsoft Intune：基于云的 MAM/MDM 平台，具有应用保护策略功能
• Intune App SDK：用于将 MAM 控制集成到自定义 iOS/Android 应用的 SDK
• Intune App Wrapping Tool：无需代码更改即可应用 MAM 策略的编译后工具
• VMware Workspace ONE：具有应用容器化功能的替代 MAM 平台
• Azure AD Conditional Access：将 MAM 注册作为访问条件强制执行的策略引擎

常见陷阱

• SDK 版本不匹配：Intune App SDK 版本必须与策略版本匹配。过时的 SDK 版本可能会静默失败，无法执行新策略。
• iOS 托管剪贴板：iOS 通过托管剪贴板强制执行粘贴限制，需要应用通过 Intune SDK 集成选择启用。
• 应用包装限制：已包装的应用无法使用某些功能（某些平台上的推送通知）。对于完整功能，首选 SDK 集成。
• 用户体验摩擦：过度限制的策略会导致用户不满和影子 IT。从等级 1 开始，根据数据敏感性逐步升级。