Zarządzanie środowiskami współpracy w usłudze Microsoft 365 (Office) dla systemów iOS i Android przy użyciu Microsoft Intune

  • Artykuł

Platforma Microsoft 365 (Office) dla systemów iOS i Android zapewnia kilka kluczowych korzyści, w tym:

  • Łączenie Word, programu Excel i programu PowerPoint w taki sposób, aby uprościć środowisko pracy z mniejszą liczbą aplikacji do pobrania lub przełączenia się między nimi. Wymaga znacznie mniej miejsca na telefon niż instalowanie poszczególnych aplikacji przy zachowaniu praktycznie wszystkich możliwości istniejących aplikacji mobilnych, które już znają i używają.
  • Integrowanie technologii Microsoft Lens w celu odblokowania możliwości aparatu za pomocą funkcji, takich jak konwertowanie obrazów na edytowalne dokumenty Word i Excel, skanowanie plików PDF i przechwytywanie tablic z automatycznymi ulepszeniami cyfrowymi, aby ułatwić odczytywanie zawartości.
  • Dodawanie nowych funkcji do typowych zadań, które ludzie często napotykają podczas pracy na telefonie — takie rzeczy jak szybkie notatki, podpisywanie plików PDF, skanowanie kodów QR i przesyłanie plików między urządzeniami.

Najbogatsze i najszersze możliwości ochrony danych platformy Microsoft 365 są dostępne podczas subskrybowania pakietu Enterprise Mobility + Security, który obejmuje funkcje usług Microsoft Intune i Tożsamość Microsoft Entra w warstwie P1 i P2, takie jak dostęp warunkowy. Co najmniej należy wdrożyć zasady dostępu warunkowego, które umożliwiają łączność z usługą Microsoft 365 (Office) dla systemów iOS i Android z urządzeń przenośnych oraz zasady ochrony aplikacji usługi Intune, które zapewniają ochronę środowiska współpracy.

Zastosuj dostęp warunkowy

Organizacje mogą używać Microsoft Entra zasad dostępu warunkowego, aby zapewnić użytkownikom dostęp tylko do zawartości służbowej przy użyciu platformy Microsoft 365 (Office) dla systemów iOS i Android. W tym celu potrzebne są zasady dostępu warunkowego, które dotyczą wszystkich potencjalnych użytkowników. Te zasady zostały opisane w artykule Dostęp warunkowy: Wymagaj zatwierdzonych aplikacji klienckich lub zasad ochrony aplikacji.

  1. Wykonaj kroki opisane w temacie Wymagaj zatwierdzonych aplikacji klienckich lub zasad ochrony aplikacji z urządzeniami przenośnymi, co umożliwia platformie Microsoft 365 (Office) dla systemów iOS i Android, ale blokuje klientom urządzeń przenośnych z obsługą protokołu OAuth innych firm łączenie się z punktami końcowymi platformy Microsoft 365.

    Uwaga

    Te zasady zapewniają użytkownikom mobilnym dostęp do wszystkich punktów końcowych platformy Microsoft 365 przy użyciu odpowiednich aplikacji.

Uwaga

Aby korzystać z zasad dostępu warunkowego opartego na aplikacji, aplikacja Microsoft Authenticator musi być zainstalowana na urządzeniach z systemem iOS. W przypadku urządzeń z systemem Android wymagana jest aplikacja Intune — Portal firmy. Aby uzyskać więcej informacji, zobacz Dostęp warunkowy oparty na aplikacji przy użyciu usługi Intune.

Utwórz zasady ochrony aplikacji usługi Intune

Zasady ochrony aplikacji (zasady APP) definiują, które aplikacje są dozwolone, oraz akcje, jakie mogą wykonywać na danych Twojej organizacji. Opcje dostępne w zasadach APP umożliwiają organizacjom dostosowanie ochrony do ich konkretnych potrzeb. Dla niektórych może nie być oczywiste, które ustawienia zasad są wymagane do wdrożenia pełnego scenariusza. Aby ułatwić organizacjom ustalanie priorytetów zabezpieczeń punktów końcowych klientów na urządzeniach przenośnych, firma Microsoft wprowadziła taksonomię dla struktury ochrony danych aplikacji na potrzeby zarządzania aplikacjami na urządzeniach przenośnych dla systemów iOS i Android.

Struktura ochrony danych zasad APP jest podzielona na trzy różne poziomy konfiguracji, przy czym każdy poziom opiera się na poziomie poprzednim:

  • Podstawowa ochrona danych w przedsiębiorstwie (poziom 1) zapewnia, że aplikacje są chronione przy użyciu kodu PIN i szyfrowane, a także wykonuje selektywne operacje czyszczenia. W przypadku urządzeń z systemem Android ten poziom weryfikuje zaświadczanie urządzenia z systemem Android. Jest to konfiguracja na poziomie podstawowym, która zapewnia podobną kontrolę ochrony danych w zasadach skrzynek pocztowych usługi Exchange Online oraz wprowadza specjalistów IT i populację użytkowników do aplikacji.
  • Rozszerzona ochrona danych w przedsiębiorstwie (poziom 2) wprowadza mechanizmy zapobiegania wyciekom danych aplikacji i minimalne wymagania dotyczące systemu operacyjnego. Jest to konfiguracja, która ma zastosowanie w przypadku większości użytkowników na urządzeniach przenośnych uzyskujących dostęp do danych służbowych.
  • Wysoka ochrona danych w przedsiębiorstwie (poziom 3) wprowadza zaawansowane mechanizmy ochrony danych, rozszerzoną konfigurację kodu PIN i zasady APP dotyczące obrony przed zagrożeniami mobilnymi. Ta konfiguracja jest pożądana dla użytkowników uzyskujących dostęp do danych wysokiego ryzyka.

Aby zobaczyć specyficzne zalecenia dotyczące każdego poziomu konfiguracji i minimalną liczbę aplikacji, które muszą być chronione, zapoznaj się z artykułem Struktura ochrony danych przy użyciu zasad ochrony aplikacji.

Niezależnie od tego, czy urządzenie jest zarejestrowane w rozwiązaniu do ujednoliconego zarządzania punktami końcowymi (rozwiązanie UEM), należy utworzyć zasady ochrony aplikacji usługi Intune dla aplikacji dla systemów iOS i Android, wykonując kroki opisane w artykule Jak utworzyć i przypisać zasady ochrony aplikacji. Te zasady muszą spełniać co najmniej następujące warunki:

  1. Obejmują one wszystkie aplikacje mobilne platformy Microsoft 365, takie jak Edge, Outlook, OneDrive, Microsoft 365 (Office) lub Teams, ponieważ zapewnia to użytkownikom dostęp do danych służbowych i manipulowanie nimi w dowolnej aplikacji firmy Microsoft w bezpieczny sposób.

  2. Są one przypisane do wszystkich użytkowników. Dzięki temu wszyscy użytkownicy są chronieni niezależnie od tego, czy korzystają z usługi Microsoft 365 (Office) dla systemu iOS, czy Android.

  3. Określ, który poziom struktury spełnia Twoje wymagania. Większość organizacji powinna wdrożyć ustawienia zdefiniowane w artykule Rozszerzona ochrona danych przedsiębiorstwa (poziom 2), ponieważ umożliwiają one kontrolę wymagań dotyczących ochrony danych i dostępu.

Aby uzyskać więcej informacji na temat dostępnych ustawień, zobacz Ustawienia zasad ochrony aplikacji dla systemu Android i Ustawienia zasad ochrony aplikacji dla systemu iOS.

Ważna

Aby zastosować zasady ochrony aplikacji usługi Intune wobec aplikacji na urządzeniach z systemem Android, które nie są zarejestrowane w usłudze Intune, użytkownik musi również zainstalować usługę Intune — Portal firmy.

Korzystanie z konfiguracji aplikacji

Usługa Microsoft 365 (Office) dla systemów iOS i Android obsługuje ustawienia aplikacji, które umożliwiają ujednolicone zarządzanie punktami końcowymi, takie jak Microsoft Intune, administratorom dostosowywanie zachowania aplikacji.

Konfigurację aplikacji można dostarczać za pośrednictwem kanału zarządzania urządzeniami przenośnymi (MDM) na zarejestrowanych urządzeniach (zarządzany kanał App Configuration dla systemu iOS lub Android w kanale Enterprise dla systemu Android) lub za pośrednictwem kanału Zasady ochrony aplikacji (APP) usługi Intune. Usługa Microsoft 365 (Office) dla systemów iOS i Android obsługuje następujące scenariusze konfiguracji:

  • Zezwalaj tylko na konta służbowe
  • Ogólna konfiguracja aplikacji
  • Ustawienia ochrony danych

Ważna

W przypadku scenariuszy konfiguracji, które wymagają rejestracji urządzeń w systemie Android, urządzenia muszą być zarejestrowane w systemie Android Enterprise, a platforma Microsoft 365 (Office) dla systemu Android musi zostać wdrożona za pośrednictwem zarządzanego sklepu Google Play. Aby uzyskać więcej informacji, zobacz Konfigurowanie rejestracji osobistych urządzeń z profilem służbowym dla systemu Android Enterprise i Dodawanie zasad konfiguracji aplikacji dla zarządzanych urządzeń z systemem Android Enterprise.

Każdy scenariusz konfiguracji wyróżnia jego specyficzne wymagania. Na przykład czy scenariusz konfiguracji wymaga rejestracji urządzenia, a tym samym współpracuje z dowolnym dostawcą rozwiązania UEM, czy też wymaga zasad ochrony aplikacji usługi Intune.

Ważna

W kluczach konfiguracji aplikacji rozróżniana jest wielkość liter. Użyj odpowiedniej wielkości liter, aby mieć pewność, że konfiguracja przyniesie efekt.

Uwaga

W przypadku Microsoft Intune konfiguracja aplikacji dostarczana za pośrednictwem kanału mdm os jest określana jako zasady App Configuration urządzeń zarządzanych (ACP); konfiguracja aplikacji dostarczana za pośrednictwem kanału zasad ochrony aplikacji jest określana jako zasady App Configuration aplikacje zarządzane.

Zezwalaj tylko na konta służbowe

Poszanowanie zasad zabezpieczeń danych i zgodności naszych największych klientów podlegających ścisłym regulacjom jest kluczowym filarem wartości platformy Microsoft 365. Niektóre firmy muszą przechwytywać wszystkie informacje komunikacyjne w swoim środowisku firmowym, a także upewnić się, że urządzenia są używane wyłącznie do celów komunikacji firmowej. Aby spełnić te wymagania, można skonfigurować usługę Microsoft 365 (Office) dla systemu Android na zarejestrowanych urządzeniach tak, aby zezwalała na aprowizowanie tylko jednego konta firmowego w aplikacji.

Więcej informacji na temat konfigurowania ustawienia trybu kont dozwolonych dla organizacji można znaleźć tutaj:

Ten scenariusz konfiguracji działa tylko z zarejestrowanymi urządzeniami. Obsługiwany jest jednak każdy dostawca rozwiązania UEM. Jeśli nie korzystasz z usługi Microsoft Intune, musisz zapoznać się z dokumentacją rozwiązania UEM, aby dowiedzieć się, jak wdrożyć te klucze konfiguracyjne.

Ogólne scenariusze konfiguracji aplikacji

Usługa Microsoft 365 (Office) dla systemów iOS/iPadOS i Android oferuje administratorom możliwość dostosowywania konfiguracji domyślnej dla kilku ustawień w aplikacji przy użyciu zasad konfiguracji aplikacji systemu iOS/iPadOS lub Android . Ta funkcja jest oferowana zarówno dla zarejestrowanych urządzeń za pośrednictwem dowolnego dostawcy UEM, jak i dla urządzeń, które nie są zarejestrowane, gdy usługa Microsoft 365 (Office) dla systemów iOS i Android ma zastosowane zasady ochrony aplikacji usługi Intune.

Uwaga

Jeśli zasady ochrony aplikacji są przeznaczone dla użytkowników, zaleca się wdrożenie ogólnych ustawień konfiguracji aplikacji w modelu rejestracji aplikacji zarządzanych . Dzięki temu zasady App Configuration są wdrażane zarówno na zarejestrowanych urządzeniach, jak i na niezarejestrowanych urządzeniach.

Platforma Microsoft 365 (Office) obsługuje następujące ustawienia konfiguracji:

Zarządzanie tworzeniem Sticky Notes

Domyślnie usługa Microsoft 365 (Office) dla systemów iOS i Android umożliwia użytkownikom tworzenie Sticky Notes. W przypadku użytkowników z Exchange Online skrzynkami pocztowymi notatki są synchronizowane ze skrzynką pocztową użytkownika. W przypadku użytkowników z lokalnymi skrzynkami pocztowymi te notatki są przechowywane tylko na urządzeniu lokalnym.

Klucz Value
com.microsoft.office.NotesCreationEnabled Wartość true (wartość domyślna) umożliwia tworzenie Sticky Notes dla konta służbowego
Wartość false wyłącza tworzenie Sticky Notes dla konta służbowego

Ustawianie preferencji dodatków

W przypadku urządzeń z systemem iOS/iPadOS z pakietem Office możesz (jako administrator) określić, czy dodatki platformy Microsoft 365 (Office) są włączone. Te ustawienia aplikacji można wdrożyć przy użyciu zasad konfiguracji aplikacji w usłudze Intune.

Klucz Value
com.microsoft.office.OfficeWebAddinDisableAllCatalogs Wartość true (wartość domyślna) wyłącza całą platformę dodatków
Wartość false włącza platformę dodatków

Jeśli musisz włączyć lub wyłączyć część sklepu Microsoft 365 (Office) na platformie dla urządzeń z systemem iOS, możesz użyć następującego klucza.

Klucz Value
com.microsoft.office.OfficeWebAddinDisableOMEXCatalog Wartość true (wartość domyślna) wyłącza tylko część sklepu Microsoft 365 (Office) na platformie
Wartość false umożliwia korzystanie ze sklepu Microsoft 365 (Office) Na platformie
UWAGA: Ładowanie bezpośrednie będzie nadal działać.

Aby uzyskać więcej informacji na temat dodawania kluczy konfiguracji, zobacz Dodawanie zasad konfiguracji aplikacji dla zarządzanych urządzeń z systemem iOS/iPadOS.

Zarządzanie aplikacjami usługi Teams działającymi na platformie Microsoft 365 (Office) dla systemów iOS i Android

Administratorzy IT mogą zarządzać dostępem do aplikacji Teams, tworząc niestandardowe zasady uprawnień i przypisując te zasady użytkownikom przy użyciu centrum administracyjnego usługi Teams. Teraz możesz również uruchamiać aplikacje osobiste aplikacji Teams na platformie Microsoft 365 (Office) dla systemów iOS i Android. Aplikacje osobiste aplikacji Teams tabulatora utworzone przy użyciu zestawu SDK klienta JavaScript usługi Microsoft Teams w wersji 2 (wersja 2.0.0) i manifestu aplikacji Teams (wersja 1.13) są wyświetlane na platformie Microsoft 365 (Office) dla systemów iOS i Android w menu "Aplikacje".

Mogą istnieć dodatkowe wymagania dotyczące zarządzania specyficzne dla platformy Microsoft 365 (Office) dla systemów iOS i Android. Możesz chcieć:

  • Zezwalaj tylko określonym użytkownikom w organizacji na wypróbowanie rozszerzonych aplikacji Teams na platformie Microsoft 365 (Office) dla systemów iOS i Android lub
  • Zablokuj wszystkim użytkownikom w organizacji możliwość używania rozszerzonych aplikacji Teams na platformie Microsoft 365 (Office) dla systemów iOS i Android.

Aby nimi zarządzać, możesz użyć następującego klucza:

Klucz Value
com.microsoft.office.officemobile.TeamsApps.IsAllowed True (wartość domyślna) włącza aplikacje usługi Teams na platformie Microsoft 365 (Office) dla systemów iOS i Android
False wyłącza aplikacje usługi Teams na platformie Microsoft 365 (Office) dla systemów iOS i Android

Ten klucz może być używany zarówno przez urządzenia zarządzane, jak i aplikacje zarządzane.

Ustawienia ochrony danych w usłudze Microsoft 365 (Office)

Buforowanie w trybie offline można włączyć lub wyłączyć, gdy zasady ochrony aplikacji blokują zapisywanie jako w magazynie lokalnym.

Ważna

To ustawienie ma zastosowanie tylko do aplikacji platformy Microsoft 365 (Office) w systemie Android. Aby skonfigurować to ustawienie, możesz użyć następującego klucza:

Klucz Value
com.microsoft.intune.mam.IntuneMAMOnly.AllowOfflineCachingWhenSaveAsBlocked Wartość false (domyślna) wyłącza buforowanie w trybie offline, gdy opcja Zapisz jako w magazynie lokalnym jest zablokowana
Wartość true włącza buforowanie w trybie offline, gdy opcja Zapisz jako w magazynie lokalnym jest zablokowana

Włączanie lub wyłączanie kanału informacyjnego platformy Microsoft 365 dla systemów iOS i Android

Administratorzy mogą teraz włączać lub wyłączać kanał informacyjny platformy Microsoft 365, konfigurując następujące ustawienie w centrum administracyjnym usługi Intune. Aby wdrożyć to ustawienie aplikacji, użyj zasad konfiguracji aplikacji w usłudze Intune.

Aby zarządzać kanałem informacyjnym platformy Microsoft 365, możesz użyć następującego klucza:

Klucz Value
com.microsoft.office.officemobile.Feed.IsAllowed Źródło danych true (domyślne) jest włączone dla dzierżawy
Wartość false wyłącza źródło danych dla dzierżawy

Ten klucz może być używany przez zarządzane urządzenia i aplikacje zarządzane.

Copilot z komercyjną ochroną danych

Administratorzy mogą teraz włączać lub wyłączać rozwiązanie Copilot w aplikacji platformy Microsoft 365, konfigurując następujące ustawienie w centrum administracyjnym usługi Intune. Aby wdrożyć to ustawienie aplikacji, użyj zasad konfiguracji aplikacji w usłudze Intune.

Aby zarządzać rozwiązaniem Copilot w aplikacji Platformy Microsoft 365, możesz użyć następującego klucza:

Klucz Value
com.microsoft.office.officemobile.BingChatEnterprise.IsAllowed true (wartość domyślna) Copilot jest włączony dla dzierżawy
False wyłącza copilot dla dzierżawy

Ten klucz może być używany przez zarządzane urządzenia i aplikacje zarządzane.

Następne kroki