如何使用 Microsoft Intune 在 Windows 上为 Edge 设置 MAM

MAM for Windows on Edge 允许管理员在访问组织的数据之前确保设备健康且安全，同时设备不受管理（不通过 Microsoft Intune 管理）。这意味着某些策略（类似于 Android 和 IOS 已支持的策略）也可以应用于使用 Microsoft Edge 浏览器的 Windows 设备。通过将适用于 Windows 的 MAM 与条件访问相结合，您可以创建一个简单且安全的解决方案来访问个人（非托管）Windows 设备上的数据。

注意：此功能目前处于公共预览版

在本教程中，我将向您展示如何在 Microsoft Intune 中为 Windows 上的 Edge 设置 MAM 并演示用户体验。

为什么使用适用于 Windows 的 MAM？

适用于 Windows 的 MAM（或更具体地说，适用于 Windows 上的 Microsoft Edge 的 MAM）将使管理员能够确保用户可以安全地访问不属于公司的设备上的组织数据。这有助于确保公司可以降低成本，但不必向承包商提供硬件（例如），同时使现有员工能够灵活地访问相关资源以完成工作。

适用于 Windows 的 MAM 与适用于云应用程序的 Microsoft Defender

通过结合适用于 Windows 的 MAM 和适用于云应用的 Microsoft Defender，您可以创建更完整的安全解决方案，以防止通过非托管设备访问公司数据。使用条件访问，您还可以使用 Defender for Cloud 应用程序为最终用户创建类似的体验，就像使用 MAM for Windows 一样，因此我认为解释这些差异以及它们应如何协同工作会很有用。

虽然 Windows 上的 MAM for Edge 允许你控制对公司数据的访问，而无需通过 Intune 管理设备，但 Microsoft Defender for Cloud Apps 提供了不同级别的安全性。

为了解决这个问题，MAM 管理设备上的应用程序，并且可以通过应用程序检索信号，以确保设备满足一定程度的基本合规性，例如操作系统是最新的。 Defender for Cloud Apps 是一个访问代理（作为会话代理有效运行），用于保护您的数据，但实际上并不代理来自您设备的流量。还可以应用类似的策略，例如防止会话内的复制和粘贴以及数据泄露。

使用 Intune 门户配置 Windows 应用程序保护策略

1. 首先登录 Microsoft Intune 管理中心。

2. 选择应用 > 应用保护策略 > 创建策略> Windows，创建新的应用保护策略。

3. 当新的应用程序保护策略向导启动时，在第一页上输入有意义的名称，然后单击下一步。

4. 在应用页面上，单击选择应用，然后选择Microsoft Edge。在撰写本文时，Microsoft Edge 是唯一可用的应用程序。

5. 在数据保护选项卡上，定义数据传输和功能设置。在下面的屏幕截图中，我选择了当时可用的最严格的设置。这将阻止用户将数据传入和传出组织的上下文，并阻止复制和粘贴功能以及打印。

6. 在运行状况检查选项卡上配置应用程序和设备条件以满足您的需求。离线宽限期设置定义在访问被撤销或从设备中删除离线公司数据之前，应用管理的设备可以保持“离线”或不签入的时间长度。您还可以配置受支持的最低 Windows 操作系统，以确保只有受支持的 Windows 版本才能访问公司数据。

7. 最后，在作业选项卡上，添加包含的组，然后单击下一步。

8. 最后，在查看+创建选项卡上，确保您的配置正确，然后单击创建。

通过条件访问策略确保安全

条件访问策略用于强制执行使用 Microsoft Edge 浏览器访问 Microsoft 365 服务时所需的 MAM 应用程序保护策略。按照以下步骤为 Windows 的 MAM 创建条件访问策略。

1. 登录到 Microsoft Entra，导航到条件访问策略边栏选项卡并启动新策略向导。 https://entra.microsoft.com/ > 保护 > 有条件访问 > 策略 > 新政策

2. 使用以下设置创建新策略：

• 名称： 适用于 Windows 的 MAM
• 用户：所有用户或特定组
• 目标资源：云应用 - Office 365
• 条件：
• • 设备平台：包括 - Windows
• 客户端应用程序：浏览器
• 设备过滤器：排除 - isCompliant 等于 True

Windows 版 MAM 的最终用户体验

部署 MAM 后，当最终用户下次尝试使用其公司帐户登录 Microsoft 365 时，系统将自动引导他们完成一些步骤。

首先，如果用户尝试在 Microsoft Edge 以外的 Web 浏览器中在线登录 Microsoft 365，他们将看到以下消息：

一旦他们被重定向到 Microsoft Edge，他们将需要在 Microsoft 365 登录页面上再次输入用户名和密码，然后他们将收到以下通知，并且需要单击切换 Edge 配置文件。

浏览器页面顶部将出现一个小弹出窗口，提示他们登录其工作或学校帐户。他们的用户名可能已在上面列出，也可能尚未列出，但这并不重要，请点击登录以同步数据并使用您的工作电子邮件地址和密码登录。

此时还值得一提的是，必须为用户启用 MAM 注册，并且不得应用任何基于设备合规性的条件访问策略，因为这可能会阻止他们登录。

最终登录时，取消选中允许我的组织管理我的设备选项，然后单击确定。这样做将确保您的设备已在 Microsoft Entra 中注册。请勿单击“否，仅登录此应用程序”，因为您的设备将不会被注册。

执行此步骤后，您将被重定向到 Microsoft Edge 中的工作配置文件，并且 Microsoft 365 网页将自动登录。根据 Windows MAM 策略中配置的运行状况检查设置，登录后可能会立即显示一些警告。

如果您的应用保护策略中的最低操作系统配置高于您当前的操作系统，并且该策略设置为阻止。在问题得到解决之前，您将无法使用您的公司 Edge 配置文件。

如果该策略仅设置为警告，您将收到以下警告，您可以清除该警告，然后您可以继续使用您的企业 Edge 配置文件。

如果您启用了阻止复制和粘贴的设置，那么当您尝试从 Edge 中复制文件时，您还会看到以下警告。

如果您尝试打印也是如此。