Microsoft Intune 中的 Apple 设备限制设置

注意

Intune 支持的设置可能比本文中列出的设置更多。并非所有设置都已记录，也将不会记录。若要查看可配置的设置，请创建设备配置策略，然后选择“ 设置目录”。有关详细信息，请转到设置目录。

本文介绍了可在 iOS、iPadOS 和 macOS 设备上配置的不同设备限制设置。作为移动设备管理 (MDM) 解决方案的一部分，使用这些设置来允许或禁用功能、设置密码规则、允许或限制特定应用等。

将这些设置添加到 Intune 中的设备配置文件，然后将配置文件分配或部署到 iOS、iPadOS 和 macOS 设备。

这些设置使用 Apple 的限制设置。有关详细信息，请参阅 Apple 的移动设备管理设置站点 ( 打开 Apple 网站) 。

先决条件

设备平台要求

此功能支持以下平台：

iOS/iPadOS

macOS

角色要求

使用具有策略和配置文件管理器内置角色的帐户登录到 Microsoft Intune 管理中心。有关内置角色的详细信息，请转到 Microsoft Intune 的基于角色的访问控制。

设备配置要求

创建设备限制配置文件。

App Store、文档查看和游戏

设置适用于：所有注册类型

阻止在非托管应用中查看公司文档：是阻止在非托管应用中查看公司文档。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许在任何应用中查看公司文档。

例如，你希望阻止用户将 OneDrive 应用中的文件保存到 Dropbox。将此设置配置为 “是”。设备收到策略 (后，例如，在重启) 后，不再允许保存。

注意

如果阻止此设置 (设置为“是) ”，则还会阻止从 App Store 安装的第三方键盘。
- 允许非托管应用从托管联系人帐户读取：是，允许非托管应用（如内置的 iOS/iPadOS 联系人应用）从托管应用（包括 Outlook 移动应用）读取和访问联系人信息。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会阻止从设备上的内置“联系人”应用读取内容。
  
  此设置允许或阻止读取联系人信息。它无法控制在应用之间同步联系人。
  
  若要使用此设置，请将 阻止在非托管应用中查看公司文档 设置设置为 “是”。
有关这两个设置及其对 Outlook for iOS/iPadOS 联系人导出同步的影响的详细信息，请参阅支持提示：将 Intune 自定义配置文件设置与 iOS/iPadOS 本机联系人应用配合使用。
将 AirDrop 视为非托管目标：Yes 强制将 AirDrop 视为非托管的投放目标。它阻止托管应用程序使用 Airdrop 发送数据。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。
阻止在公司应用中查看非公司文档：是，阻止在公司应用中查看非公司文档。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许在公司托管的应用中查看任何文档。

“是 ”还会阻止 Outlook for iOS/iPadOS 中的联系人导出同步。有关详细信息，请参阅支持提示：使用 iOS12 MDM 控件启用 Outlook iOS/iPadOS 联系人同步。
允许复制/粘贴受到托管打开方式的影响：是，将根据你配置 “阻止在非托管应用中查看公司文档 ”和“ 阻止在公司应用中查看非公司文档”的方式强制执行复制/粘贴限制。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能不会强制实施任何复制/粘贴限制。

设置适用于：设备注册、自动设备注册 (受监督的)

要求所有购买项目均使用 iTunes Store 密码： 选择“是” ，则用户必须为每次 App 内或 iTunes 购买项目输入 Apple ID 密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许购买，而无需每次都提示输入密码。
阻止应用内购买：是，可阻止来自 Microsoft Store 的应用内购买。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在正在运行的应用内进行商店购买。

注意

当最终用户尝试使用 VPP) 、托管应用程序或托管 Apple 帐户 (批量购买计划进行应用程序内购买时，他们会看到应用程序 内购买已禁用。此消息是正常的，是正常的。有关更多信息，请参阅在 Apple 商务中获取 App 和图书的许可证简介。
阻止下载 Apple Books 中的露骨色情内容：“ 是” 会阻止用户从 iBook Store 下载标记为色情作品的媒体。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户下载具有“色情”类别的书籍。
允许托管应用将联系人写入非托管联系人帐户： Yes 允许托管应用（如 Outlook 移动应用）将联系人信息（包括企业和公司联系人）保存或同步到内置的 iOS/iPadOS 联系人应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会阻止托管应用将联系人信息保存或同步到设备上的内置 iOS/iPadOS 联系人应用。

若要使用此设置，请将 阻止在非托管应用中查看公司文档 设置设置为 “是”。
分级区域：选择要用于允许下载的分级区域。然后选择电影、 电视节目和应用的允许分级。

设置适用于：自动设备注册 (受监督的)

阻止应用商店：是阻止在受监督的设备上访问应用商店。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许访问。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
- 阻止使用 App Store 安装 App：设置为“是”时，App Store 不会显示在设备主屏幕上。用户可以继续使用 iTunes 或 Apple Configurator 来安装 App。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许在主屏幕上显示应用商店。
- 阻止自动应用下载：是，阻止自动下载在其他设备上购买的应用和自动更新新应用。它不会影响对现有应用的更新。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许在其他 iOS/iPadOS 设备上购买的应用在设备上下载和更新。
阻止播放露骨音乐、播客和 iTunes U：“ 是 ”可阻止播放露骨的 iTunes 音乐、播客或新闻内容。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许设备从应用商店访问分级为成人的内容。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
阻止添加 Game Center 好友： 选择“是 ”，则阻止用户添加 Game Center 好友。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户在 Game Center 中添加好友。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
阻止 Game Center：“ 是 ”将阻止使用 Game Center 应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在设备上使用 Game Center 应用。
在 Game Center 中阻止多人游戏：是，可阻止多人游戏。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户在设备上玩多人游戏。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
阻止访问 Files 应用中的网络驱动器：通过使用 SMB) 协议 (服务器消息块，设备可以访问网络服务器上的文件或其他资源。 “是 ”可阻止访问网络 SMB 驱动器上的文件。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许访问。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本

设置适用于：自动设备注册 (受监督的)

阻止添加 Game Center 好友： 选择“是” ，则阻止用户将好友添加到 Game Center。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户将好友添加到 Game Center。

此设置适用于：
- macOS 10.13 及更高版本
阻止 Game Center： 选择“是” 将禁用 Game Center，并且将从主屏幕上删除 Game Center 图标。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会向用户提供 Game Center。

此设置适用于：
- macOS 10.13 及更高版本
在 Game Center 中阻止多人游戏： 选择“是 ”可阻止在使用 Game Center 时玩多人游戏。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户玩多人游戏。

此设置适用于：
- macOS 10.13 及更高版本

ASAM) (自主单应用模式

使用这些设置将 iOS/iPadOS 设备配置为在 ASAM) (以自主单应用模式运行特定应用。当您配置 ASAM 并且用户启动其中一个配置的应用程序时，设备将锁定到该应用程序。在用户退出允许的应用之前，将禁用应用和任务切换。

要应用 ASAM 配置，用户必须手动打开特定应用。此任务也适用于公司门户。

例如，在学校或大学环境中，添加一个允许用户在设备上进行测试的应用。或者，在公司门户中锁定设备，直到用户进行身份验证。用户完成应用的操作或删除此策略后，设备将返回到其正常状态。
并非所有应用都支持自主单应用模式。要将应用置于 ASAM 中，通常需要应用配置策略提供的捆绑包 ID 或键值对。有关详细信息，请参阅 autonomousSingleAppModePermittedAppIDs Apple 的 MDM 文档中的限制。有关要配置的应用所需的特定设置的详细信息，请参阅供应商文档。

例如，若要在自主单应用模式下配置 Zoom Rooms，Zoom 建议使用 us.zoom.zpcontroller 捆绑包 ID。在此实例中，你还可以在 Zoom Web 门户中进行更改。有关详细信息，请参阅 Zoom 帮助中心。
在 iOS/iPadOS 设备上，公司门户支持 ASAM。当公司门户位于 ASAM 中时，用户必须手动打开公司门户。然后，设备将在公司门户中锁定，直到用户进行身份验证。当用户登录到公司门户时，他们可以使用设备上的其他应用和主屏幕按钮。当他们注销公司门户时，设备将返回到单应用模式，并锁定在公司门户上。

若要将公司门户转换为“登录/注销”应用 (启用 ASAM) ，请输入公司门户应用名称（例如 Microsoft Intune 公司门户），以及 (com.microsoft.CompanyPortal 在这些设置中) 的捆绑包 ID。分配此配置文件后，必须打开公司门户以锁定应用，以便用户可以登录和注销它。若要应用 ASAM 配置，用户必须手动打开公司门户。

删除设备配置文件且用户注销时，设备不会在公司门户中锁定。

设置适用于：自动设备注册 (受监督的)

应用名称：输入所需应用的名称。
应用程序包 ID：输入所需应用程序的捆绑包 ID 。若要获取添加到 Intune 的应用的捆绑包 ID，可以使用 Intune 管理中心。

还可以导入包含应用名称列表及其捆绑包 ID 的 CSV 文件。或者，导出包含应用的现有列表。

内置应用

设置适用于：所有注册类型

阻止 Siri：是阻止对 Siri 的访问。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在设备上使用 Siri 语音助手。
- 设备锁定时阻止 Siri：是，当设备锁定时阻止访问 Siri。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，当设备锁定时，OS 可能允许在设备上使用 Siri 语音助手。
需要 Safari 欺诈警告：是，要求在设备的 Web 浏览器中显示欺诈警告。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能不会显示这些警告。

设置适用于：设备注册和自动设备注册 (受监督的)

阻止来自聚焦的 Internet 搜索结果： 选择“是 ”可阻止聚焦返回任何 Internet 搜索结果。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许聚焦搜索连接到 Internet 以提供搜索结果。
Safari Cookie：默认情况下，Apple 允许所有 Cookie，并阻止跨站点跟踪。使用此设置允许用户启用或禁用这些功能。选项包括：
- 未配置 (默认) ：Intune不会更改或更新此设置。默认情况下，操作系统允许所有 Cookie 并阻止跨站点跟踪，并且可能允许用户启用和禁用这些功能。
- 允许所有 Cookie，并允许跨站点跟踪：允许使用 Cookie，用户可以禁用 Cookie。默认情况下，将阻止跨站点跟踪，用户可以启用跨站点跟踪。
- 阻止所有 Cookie，并阻止跨站点跟踪：Cookie 和跨站点跟踪都将被阻止。用户无法启用或禁用任一设置。
- 允许所有 Cookie，并阻止跨站点跟踪：允许 Cookie，用户可以禁用 Cookie。默认情况下，将阻止跨网站跟踪，用户无法启用或禁用跨网站跟踪。
阻止 Safari JavaScript： 选择“是” 可阻止浏览器中的 Java 脚本在设备上运行。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许 Java 脚本。
阻止 Safari 弹出窗口：“ 是 ”可阻止 Safari Web 浏览器中的所有弹出窗口。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许弹出窗口阻止程序。
阻止 Siri 进行听写：是阻止连接到 Siri 服务器。用户无法使用 Siri 听写文本。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 Siri 进行听写。也可用于用户注册。

此设置适用于：
- iOS/iPadOS 14.5 及更高版本
阻止 Siri 进行翻译： 选择“是” ，将阻止连接到 Siri 服务器，以便用户无法使用 Siri 翻译文本。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 Siri 进行翻译。也可用于用户注册。

此设置适用于：
- iOS/iPadOS 15.0 及更高版本

设置适用于：自动设备注册 (受监督的)

阻止相机：是，阻止访问设备上的相机。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许访问设备的相机。

Intune 仅管理对设备相机的访问。它无权访问图片或视频。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
- 阻止 FaceTime： “是” 会阻止访问 FaceTime 通话应用程序。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在设备上访问 FaceTime 通话应用。
  
  从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
需要 Siri 脏话筛选器： 选择“是” 可打开筛选器，并阻止 Siri 听写或说脏话。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。

若要使用此设置，请将 “阻止 Siri” 设置为“ 未配置”。

此设置适用于：
- iOS 11.0 及更高版本
在 Siri 中阻止用户生成的内容：“是” 会阻止 Siri 访问网站以回答问题。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许 Siri 从 Internet 访问用户生成的内容。

若要使用此设置，请将 “阻止 Siri” 设置为“ 未配置”。
阻止 Apple News：“ 是 ”会阻止在设备上访问 Apple News 应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 Apple News 应用。
阻止 Apple Books： “是” 会阻止访问 iBooks Store。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户浏览和购买 iBooks Store 中的书籍。
阻止 iMessage： “是” 会阻止使用 iMessage 上的“信息”应用。如果设备支持短信，则用户仍可以使用短信发送和接收短信。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 Messages 应用通过 Internet 发送和阅读消息。
阻止播客： Yes 阻止使用播客应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许使用播客应用。
音乐服务： Yes 禁用音乐服务，并将 Music 应用还原到经典模式。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 Apple Music 应用。
阻止 iTunes 收音机：“ 是” 会阻止使用 iTunes 收音机 App。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 iTunes Radio 应用。
阻止 iTunes 存储：是阻止在设备上使用 iTunes。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许 iTunes。

此设置适用于：
- iOS 4.0 及更高版本
- iPadOS 13.0 及更高版本
阻止查找我的 iPhone：在“查找我的”应用中，“ 是 ”会禁用/隐藏 “设备 ”选项卡。 “是” 也可能阻止 AirTag 配对。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用“查找我的”应用中的 “设备 ”选项卡获取设备的大致位置。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本
阻止查找我的朋友：是阻止“查找我的”应用程序中的此功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用此“查找我的”应用功能从 Apple 设备或 iCloud.com 查找家人和朋友。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本
阻止用户修改“查找我的好友”设置：“ 是”可 阻止更改“查找我的好友”应用设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改“查找我的朋友”应用的设置。
阻止从设备中删除系统应用：是阻止从设备中删除系统应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户删除系统应用。
阻止 Safari：是阻止在设备上使用 Safari 浏览器。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用 Safari 浏览器。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
阻止 Safari 自动填充： 选择“是 ”可在设备上禁用 Safari 中的自动填充功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改 Web 浏览器中的自动完成设置。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。

设置适用于：所有注册类型

阻止 Safari 自动填充： 选择“是 ”可在设备上禁用 Safari 中的自动填充功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改 Web 浏览器中的自动完成设置。
阻止使用摄像头：是，阻止访问设备上的摄像头。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许访问设备相机。

Intune 仅管理对设备相机的访问。它无权访问图片或视频。
阻止 Apple Music： 选择“是” 会将“音乐”应用还原到经典模式，并禁用“音乐”服务。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 Apple Music 应用。
阻止聚焦建议： 选择“是 ”可阻止聚焦返回任何 Internet 搜索结果。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许聚焦搜索连接到 Internet 并获取搜索结果。
阻止使用 Finder 或 iTunes 传输文件：是，禁用应用程序文件共享服务。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许应用程序文件共享服务。

此设置适用于：
- macOS 10.13 及更高版本

云和存储

设置适用于：所有注册类型

强制加密备份：是要求对设备备份进行加密。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。
阻止托管应用在 iCloud 中存储数据：选择“是”会阻止 Intune 托管应用将数据同步到用户的 iCloud 帐户。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许此数据同步到 iCloud。
阻止备份企业账簿：是阻止备份企业账簿。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户备份这些书籍。
阻止企业图书的注释和突出显示同步：是，阻止同步企业图簿中的注释和突出显示。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许同步。

设置适用于：设备注册、自动设备注册 (受监督的)

阻止 iCloud 照片同步：是阻止照片流同步到 iCloud。阻止此功能可能会导致数据丢失。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户在其设备上启用 My Photo Stream 以同步到 iCloud，并在用户的所有设备上提供照片。
阻止 iCloud 照片库：是，禁止使用 iCloud 照片库将照片和视频存储在云中。未从 iCloud 照片图库完全下载到设备的任何照片都会从设备中删除。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 iCloud 照片库。
阻止我的照片 Stream：是，可禁用设备上的 iCloud 照片共享。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许共享照片流式传输。
阻止切换：是可以阻止用户在 iOS/iPadOS 设备上开始工作，然后在另一台 iOS/iPadOS 或 macOS 设备上继续工作。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许此切换。

设置适用于：自动设备注册 (受监督的)

阻止 iCloud 备份： 选择“是” 可阻止用户将设备备份到 iCloud。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户将设备备份到 iCloud。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
阻止 iCloud 文档和数据同步：“是” 可阻止 iCloud 同步文档和数据。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许文档和键值同步到 iCloud 存储空间。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
阻止 iCloud 钥匙串同步： 选择“是 ”可禁用将钥匙链中存储的凭据同步到 iCloud。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户同步这些凭据。

从 iOS/iPadOS 13.0 开始，此设置需要受监督的设备。
阻止 iCloud 专用中继： 选择“是 ”，禁用 iCloud 专用中继。禁用后，Apple 不会对离开设备的互联网流量进行加密。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许此设置，这会阻止网络和服务器监视用户在 Internet 上的活动。

此设置适用于：
- iOS/iPadOS 15 及更高版本

设置适用于：所有注册类型

阻止 iCloud 钥匙串同步： 选择“是 ”可禁用将钥匙链中存储的凭据同步到 iCloud。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户同步这些凭据。
阻止 iCloud 桌面和文档同步：是阻止 iCloud 将桌面和文档文件夹同步到云。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许将桌面和文档文件夹同步到 iCloud。
阻止 iCloud 文档和数据同步： 选择“是” ，则阻止 iCloud 同步文档和数据。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许文档和键值同步到 iCloud 存储空间。
阻止 iCloud 邮件备份： 选择“是”会 阻止 iCloud 同步到 macOS 邮件应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许邮件同步到 iCloud。
阻止 iCloud 联系人备份：是阻止 iCloud 同步设备联系人。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 iCloud 同步联系人。
阻止 iCloud Calendar 备份：“是”会阻止 iCloud 同步到 macOS Calendar 应用程序。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许将 Calendar 同步到 iCloud。
阻止 iCloud 提醒备份：是阻止 iCloud 同步到 macOS 提醒应用程序。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许将提醒同步到 iCloud。
阻止 iCloud 书签备份：是，则阻止 iCloud 同步设备书签。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许书签同步到 iCloud。
阻止 iCloud 笔记备份：是，阻止 iCloud 同步设备笔记。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许将笔记同步到 iCloud。
阻止 iCloud 照片备份：是禁用 iCloud 照片库，并阻止 iCloud 同步设备照片。未从 iCloud 照片图库完全下载的任何照片都会从设备的本地存储中删除。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在设备与 iCloud 照片库之间同步照片。
阻止切换：此设置允许用户在 macOS 设备上开始工作，然后继续在其他 iOS/iPadOS 或 macOS 设备上开始的工作。 选择“是”可 阻止设备上的切换功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会在设备上允许此功能。

此设置适用于：
- macOS 10.15 及更高版本

设置适用于：用户批准的设备注册、自动设备注册 (受监督的)

阻止 iCloud 专用中继： 选择“是 ”，禁用 iCloud 专用中继。禁用后，Apple 不会对离开设备的互联网流量进行加密。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会允许此功能，这会阻止网络和服务器监视用户在 Internet 上的活动。

此设置适用于：
- macOS 12 及更高版本

iCloud 专用中继 (打开 Apple 网站)

连接的设备

设置适用于：所有注册类型

强制 Apple Watch 手腕检测： “是” 强制配对的 Apple Watch 使用手腕检测。如果需要，Apple Watch 在未佩戴时不会显示通知。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。

设置适用于：设备注册、自动设备注册 (受监督的)

需要“隔空播放”传出请求配对密码：是，使用“隔空播放”将内容流式传输到其他 Apple 设备时需要配对密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用“隔空播放”流式传输内容，而无需输入密码。
阻止 Apple Watch 自动解锁：选择 “是 ”，当障碍物（如面罩）阻止面容 ID 识别用户的面部时，无法用户使用 Apple Watch 解锁设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，如果障碍物阻止面容 ID 识别用户，操作系统可能会允许 Apple Watch 自动解锁设备。

此设置适用于：
- iOS/iPadOS 14.5 及更高版本

设置适用于：自动设备注册 (受监督的)

阻止 AirDrop：是，阻止在设备上使用 AirDrop。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 AirDrop 功能与附近的设备交换内容。
阻止与 Apple Watch 配对：是阻止与 Apple Watch 配对。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许设备与 Apple Watch 配对。
阻止修改蓝牙设置： 选择“是 ”可阻止用户更改设备上的蓝牙设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改这些设置。
阻止与非 Configurator 主机配对：是阻止主机配对。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许主机配对，以便管理员控制 iOS/iPadOS 设备可以与之配对的设备。
阻止 AirPrint：是阻止在设备上使用 AirPrint 功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用 AirPrint。
- 在密钥链中阻止 AirPrint 凭据的存储：阻止将密钥链存储用于设备上的用户名和密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许将 AirPrint 用户名和密码存储在密钥链应用中。
- 要求 AirPrint 到具有受信任证书的目标位置： 选择“是” ，则强制设备使用受信任的证书进行 TLS 打印通信。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。
- 阻止 iBeacon 发现 AirPrint 打印机：是，可防止恶意 AirPrint 蓝牙信标对网络流量进行网络钓鱼攻击。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在设备上播发 AirPrint 打印机。
阻止设置附近的新设备： 选择“是 ”，将禁用设置附近新设备的提示。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许提示用户连接到附近的其他 Apple 设备。

此设置适用于：
- iOS 11.0 及更高版本
- iPadOS 13.0 及更高版本
在 Files 应用中阻止对 USB 驱动器的访问：设备可以连接和打开 U 盘上的文件。当 USB 连接到设备时，选择“是”可阻止设备访问 Files 应用中的 USB 驱动器。阻止此功能还会阻止用户将文件传输到连接到 iPad 的 U 盘上。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许访问 Files 应用中的 USB 驱动器。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本
禁用近场通信 (NFC) ：是，禁用 NFC，并阻止设备与其他支持 NFC 的设备配对。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，可能允许用户使用 NFC 并连接到其他支持 NFC 的设备。

此设置适用于：
- iOS 14.2 及更高版本
- iPadOS 14.2 及更高版本
允许用户使用未配对设备将设备启动到恢复模式： 选择“是 ”可允许用户使用未配对设备将设备启动到恢复模式。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会阻止用户使用未配对的设备将设备启动到恢复模式。

此设置适用于：
- iOS/iPadOS 14.5 及更高版本

设置适用于：所有注册类型

阻止 AirDrop：是，阻止在设备上使用 AirDrop。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用 AirDrop 功能与附近的设备交换内容。
阻止 Apple Watch 自动解锁： 选择“是 ”，阻止用户使用 Apple Watch 解锁 macOS 设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用 Apple Watch 解锁 macOS 设备。

域

设置适用于：设备注册和自动设备注册 (受监督的)

未标记电子邮件域：向列表中添加一个或多个域 URL。当用户收到来自你输入的域以外的域的电子邮件时，“邮件”应用会在 iOS/iPadOS 的“邮件”应用中将该电子邮件标记为不受信任。
托管 Safari Web 域：向列表中添加一个或多个 Web 域 URL。从输入的域下载文档时，它们将被视为托管。此设置仅适用于使用 Safari 浏览器下载的文档。

设置适用于：自动设备注册 (受监督的)

Safari 浏览器密码域：将一个或多个域 URL 添加到列表中。用户只能从此列表中的 URL 保存 Web 密码。此设置仅适用于 Safari 浏览器和处于监督模式的设备。如果不输入任何 URL，则可以保存所有网站的密码。

此设置适用于：
- iOS 9.3 及更高版本
- iPadOS 13.0 及更高版本

设置适用于：所有注册类型

Unmarked Email Domains：在列表中输入一个或多个 Email 域 URL。当用户从你添加的域以外的域发送或接收电子邮件时，macOS “邮件” App 会将该电子邮件标记为不受信任。

一般信息

设置适用于：所有注册类型

阻止向 Apple 发送诊断和使用情况数据：是，则会阻止设备向 Apple 发送诊断和使用情况数据。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许发送此数据。
阻止屏幕截图和屏幕录制：是，可阻止在设备上屏幕截图或屏幕截图。在 iOS/iPadOS 9.0 及更高版本中，它还会阻止屏幕录制。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户将屏幕内容捕获为图像或视频。

设置适用于：设备注册和自动设备注册 (受监督的)

阻止不受信任的 TLS 证书： “是 ”可防止设备上不受信任的传输层安全性 (TLS) 证书。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许 TLS 证书。
阻止无线 PKI 更新： 选择“是 ”会阻止用户接收软件更新，除非设备连接到计算机。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许设备在不连接到计算机的情况下接收软件更新。
强制受限广告跟踪： Yes 禁用设备广告标识符。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会使其保持启用状态。
阻止信任新的企业应用作者：是，删除设备上的“设置>常规>配置文件”& 设备管理 中的“信任企业开发人员”按钮。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户选择信任不是从 App Store 下载的应用。
限制 Apple 个性化广告：“是”会限制 Apple 在 App Store、Apple News 和股票 App 中的个性化广告。在设备上，“设置>隐私>”AppleAdvertising 已关闭。此设置仅影响这些应用中的个性化广告。它不会影响非个性化广告，也可能不会减少广告。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会打开个性化广告。

有关 Apple 策略的详细信息，请参阅 Apple Advertising & 隐私 (打开 Apple 网站) 。

此设置适用于：
- iOS 14.0 及更高版本
- iPadOS 14.0 及更高版本

设置适用于：自动设备注册 (受监督的)

阻止修改诊断设置：选择“是”，则阻止用户在“诊断和使用情况” (设备设置) 中更改诊断提交和应用分析设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改这些设备设置。

若要使用此设置，请将 “阻止将诊断和使用情况数据发送到 Apple ”设置设置为 “未配置”。

此设置适用于：
- iOS 9.3.2 及更高版本
- iPadOS 13.0 及更高版本
阻止远程 AirPlay、通过“课堂”应用查看屏幕以及屏幕共享： 选择“是”可 阻止“课堂”应用远程查看设备上的屏幕。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许 Apple Classroom 应用查看屏幕。

若要使用此设置，请将 “阻止屏幕截图和屏幕录制 ”设置为“ 未配置”。

此设置适用于：
- iOS 9.3 - iOS 12.x：需要受监督的设备
- iOS 13.0 及更高版本：不需要受监督的设备
- iPadOS 13.0 及更高版本：必须使用“设备注册”或“自动设备注册” (ADE) 注册设备
允许“课堂”应用执行“隔空播放”并在没有提示的情况下查看屏幕： 选择“是” 可让教师使用“课堂”应用静默观察学生的 iOS/iPadOS 屏幕，而学生不知情。使用“课堂”App 注册班级的学生设备会自动将权限授予该课程的教师。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会阻止此功能。

若要使用此设置，请将 “阻止屏幕截图和屏幕录制 ”设置为“ 未配置”。
阻止修改帐户设置：是，则会阻止用户从 iOS/iPadOS 设置应用更新设备特定设置。例如，用户无法创建新的设备帐户，也无法更改用户名或密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改这些设置。

此功能也适用于 iOS/iPadOS 设置应用中的设置，例如邮件、联系人、Calendar、Twitter 等。此功能不适用于帐户设置在 iOS/iPadOS 设置应用中不可配置的应用，例如 Microsoft Outlook 应用。
阻止屏幕时间： 选择“是 ”可阻止用户在屏幕时间 (设备设置) 中设置自己的限制。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户配置设备限制 (，例如家长控制或内容，以及设备上) 的隐私限制。

此设置已从 设备设置中的“启用限制”重命名。此更改的影响：
- iOS 11.4.1 及更早版本： 选择“是” 可阻止用户在设备设置中设置自己的限制。行为是相同的;用户没有更改。
- iOS 12.0 及更高版本：选择“是”可“可阻止用户在设备设置 (”设置>“常规>屏幕时间”) 中设置自己的“屏幕使用时间”，包括内容和隐私限制。升级到 iOS 12.0 的设备将不再在设备设置中看到“限制”选项卡 (>“设置”、“常规>设备管理”、“>管理配置文件>限制”) 。这些设置位于 屏幕时间中。
阻止用户擦除设备上的所有内容和设置： 选择“是”， 则阻止在设备上使用“擦除所有内容和设置”选项。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能授予用户对这些设置的访问权限。
阻止修改设备名称：是阻止本地更改设备名称。设置为 “是”时，可以使用远程设备操作远程重命名设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改设备名称。
阻止修改通知设置：是阻止更改通知设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改设备通知设置。
阻止修改壁纸：是阻止更改壁纸。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改设备上的壁纸。
阻止配置文件更改：是阻止设备上的配置文件更改。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户安装配置文件。
允许激活锁：是，在受监督的 iOS/iPadOS 设备上启用激活锁。激活锁使丢失或被盗设备更难重新激活。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。
阻止删除应用：是阻止删除应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许用户从设备中删除应用。
阻止轻 App：是，阻止托管设备上的轻 App。具体而言，设置为 “是”：
- 阻止用户在设备上添加轻 App。
- 移除设备上现有的轻 App。
设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在设备上添加和删除轻 App。

此设置适用于：
- iOS 14.0 及更高版本
- iPadOS 14.0 及更高版本
设备锁定时允许 USB 附件：选择“是”，允许 USB 附件与锁定超过一小时的设备交换数据。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能不会更新设备上的 USB 受限模式，如果锁定时间超过一个小时，USB 附件将被阻止从设备传输数据。

此设置适用于：
- iOS/iPadOS 11.4.1 及更高版本
强制自动日期和时间： Yes 强制受监督设备自动设置日期 & 时间。当设备具有手机网络连接或启用了位置服务的 Wi-Fi 时，设备的时区将更新。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。
需要教师权限才能退出 Classroom 应用非托管班级： 选择“是” ，会强制使用 Google 课堂应用注册非托管课程的学生请求教师退出课程的权限。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能不会强制学生请求权限。

此设置适用于：
- iOS 11.3 及更高版本
- iPadOS 13.0 及更高版本
允许课堂锁定应用并在不提示的情况下锁定设备： 选择是 ，允许教师使用 Google 课堂应用锁定应用或锁定设备，而无需提示学生。锁定应用意味着设备只能访问教师指定的应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会阻止教师在不提示学生的情况下使用 “课堂” 应用锁定应用或设备。

此设置适用于：
- iOS 11.0 及更高版本
- iPadOS 13.0 及更高版本
允许学生在没有提示的情况下自动加入课堂课堂：选择“是”，则会自动允许学生加入课堂应用中的课程，而无需提示教师。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会提示教师学生想要加入“课堂”应用中的课堂。

此设置适用于：
- iOS 11.0 及更高版本
- iPadOS 13.0 及更高版本
阻止 VPN 创建：是，阻止用户创建 VPN 配置设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许用户在设备上创建 VPN。
阻止修改 eSIM 设置：是阻止在设备上删除或添加手机网络套餐到 eSIM。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改这些设置。

此设置适用于：
- iOS 12.1 及更高版本
- iPadOS 13.0 及更高版本
延迟软件更新：当软件更新显示在设备上时，启用延迟 1-90 天。此设置无法控制何时安装或不安装更新。

设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，当 Apple 发布软件更新时，操作系统可能会在设备上显示这些更新。例如，如果 Apple 在特定日期发布了 iOS/iPadOS 更新，则该更新自然会在发布日期前后显示在设备上。
- 软件更新的延迟可见性：输入 1-90 天之间的值。延迟到期后，系统会通知用户更新到触发延迟时可用的最早 OS 版本。请勿将此值设置为零 () 0 天。
  
  例如，如果 iOS 12.a 在 1 月 1 日可用，并且 延迟可见性 设置为 5 天，则 iOS 12.a 不会在用户设备上显示为可用更新。发布后的 第 6 天 ，该更新可用，用户可以安装它。
  
  此设置适用于：
  - iOS 11.3 及更高版本
  - iPadOS 13.0 及更高版本

设置适用于：所有注册类型

阻止查找：是可以阻止用户突出显示单词，然后在设备上查找其定义。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许定义查找功能。
阻止听写： 选择“是 ”将阻止用户使用语音输入输入文本。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用听写输入。
阻止内容缓存：是阻止内容缓存。内容缓存将应用数据、Web 浏览器数据、下载等本地存储在设备上。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会启用内容缓存。

有关 macOS 上内容缓存的详细信息，请参阅在 Mac 上管理内容缓存 (打开另一个网站) 。

此设置适用于：
- macOS 10.13 及更高版本
阻止屏幕截图和屏幕录制： 选择“是 ”，则阻止用户保存屏幕截图。它还会阻止“课堂”应用观察远程屏幕。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户捕获屏幕截图，并允许“课堂”应用查看远程屏幕。

设置适用于：用户批准的设备注册、自动设备注册 (受监督的)

延迟软件更新：此设置将设备上软件更新的可见性推迟最多 90 天。例如，如果 Apple 在特定日期发布 macOS 更新，它自然会在发布日期前后显示在设备上。此设置可以隐藏更新，以便用户无法在更新可用时立即看到它。

此设置不控制何时安装更新，也不会影响计划的更新。允许种子版本更新立即。

若要使用此设置，请选择要延迟的软件更新。选项包括：
- 未配置 (默认) ：Intune不会更改或更新此设置。默认情况下，OS 可能会在新发布的软件更新发布后立即向用户显示这些更新。
- 主要操作系统软件更新：默认情况下，主要操作系统软件更新（如 macOS 12）延迟 30 天，除非在 “主要操作系统软件更新的延迟可见性” 字段中另有说明。需要 macOS 11.3 及更高版本。
- 次要操作系统软件更新：次要操作系统软件更新（如 macOS 12.x）默认延迟 30 天，除非在 “次要操作系统软件更新的延迟可见性” 字段中另有说明。需要 macOS 11.3 及更高版本。
- 非操作系统软件更新：除非“ 延迟非操作系统软件更新的可见性” 字段中另有说明，否则非操作系统软件更新（如 Safari 更新）默认延迟 30 天。需要 macOS 11.0 及更高版本。
然后输入要延迟每种更新类型的时间（1-90 天）。例如，如果 macOS 更新在 1 月 1 日可用，并且 延迟可见性 设置为 5 天，则该更新不会显示为可用更新。在发布后的第 6 天，该更新将变为可用，并通知用户更新到触发延迟时可用的最早版本。选项包括：
- 延迟软件更新的默认可见性：输入延迟所有软件更新的天数，范围为 1-90。默认情况下，如果未输入任何内容，更新将延迟 30 天。如果选择单独延迟主要操作系统、次要操作系统或非操作系统软件更新，Intune 将替代此值。
- 主要操作系统软件更新的延迟可见性：输入延迟所有主要操作系统软件更新的天数，范围为 1-90。默认情况下，如果未输入任何内容，更新将延迟 30 天。此值将替代 “延迟软件更新的默认可见性”中的值。
  
  此设置适用于：
  - macOS 11.3 及更高版本
- 次要操作系统软件更新的延迟可见性：输入延迟所有次要操作系统软件更新的天数，从 1 到 90。默认情况下，如果未输入任何内容，更新将延迟 30 天。此值将替代 “延迟软件更新的默认可见性”中的值。
  
  此设置适用于：
  - macOS 11.3 及更高版本
- 延迟非操作系统软件更新的可见性：输入延迟所有非操作系统软件更新的天数，范围为 1-90。默认情况下，如果未输入任何内容，更新将延迟 30 天。此值将替代 “延迟软件更新的默认可见性”中的值。
  
  此设置适用于：
  - macOS 11.0 及更高版本

设置适用于：自动设备注册

禁用 AirPlay、通过“课堂”应用查看屏幕以及屏幕共享： “是” 会阻止 AirPlay，并阻止屏幕共享到其他设备。它还会阻止教师使用 “课堂” App 查看学生的屏幕。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许教师查看其学生的屏幕。

若要使用此设置，请将 “阻止屏幕截图和屏幕录制 ”设置为“ 未配置 ” (允许) 屏幕截图。
允许“课堂”App 执行“隔空播放”并在没有提示的情况下查看屏幕： 选择“是” 可让教师无需学生同意即可查看学生的屏幕。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能要求学生同意后教师才能看到屏幕。

若要使用此设置，请将 “阻止屏幕截图和屏幕录制 ”设置为“ 未配置 ” (允许) 屏幕截图。
需要教师许可才能离开 Classroom 应用非托管班级： 选择“是” ，则会强制注册非托管 Classroom 课程的学生获得教师批准才能退出课程。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许学生在学生选择离开课程时离开课程。
允许课堂在不提示的情况下锁定设备：选择 “是” 可让教师在未经学生批准的情况下锁定学生的设备或应用。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能要求学生同意，然后教师才能锁定设备或应用。
学生无需提示即可自动加入课堂课堂： 选择“是” 可让学生在不提示教师的情况下加入课堂。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能需要教师批准才能加入班级。
阻止修改壁纸：是阻止用户更改设备壁纸。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更改壁纸。

此设置适用于：
- macOS 10.13 及更高版本
阻止用户擦除设备上的所有内容和设置： 选择“是 ”，则禁用受监督设备上的重置选项。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许用户擦除其设备上的所有内容和设置。

此设置适用于：
- macOS 12 及更高版本
- 允许激活锁：是，在受监督的 macOS 设备上启用激活锁。激活锁使丢失或被盗设备更难重新激活。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。
  
  此设置适用于：
  - macOS 10.15 或更高版本

键盘和字典

设置适用于：自动设备注册 (受监督的)

阻止字词定义查找： Yes 阻止突出显示单词，然后查找其定义。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许访问定义查找功能。
阻止预测键盘：是阻止使用预测键盘建议用户可能需要的字词。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许此功能。
阻止自动更正：是则阻止使用自动更正。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许设备自动更正拼写错误的单词。
阻止拼写检查：是阻止拼写检查。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许使用拼写检查器。
阻止键盘快捷方式： Yes 阻止用户使用键盘快捷方式。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在设备上使用键盘快捷方式。
阻止听写： 选择“是 ”将阻止用户使用语音输入输入文本。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用听写输入。
阻止 QuickPath：是，阻止用户使用 QuickPath。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用 QuickPath，这允许在设备的键盘上连续输入。用户可以通过滑动按键来键入以创建单词。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本

Kiosk

应用锁定 ( 打开 Apple 网站) 在 Intune 中称为展台模式。

设置适用于：自动设备注册 (受监督的)

要在展台模式下运行的应用：选择要在展台模式下运行的应用类型。选项包括：
- 未配置 (默认) ：Intune不会更改或更新此设置。默认情况下，OS 可能不会应用展台设置。设备不能在展台模式下运行。
- Store App：输入 iTunes App Store 中 App 的 URL。
- 托管应用：选择之前添加到 Intune 的应用。
- 内置应用：输入内置应用的捆绑包 ID 。若要获取添加到 Intune 的应用的捆绑包 ID，可以使用 Intune 管理中心。
需要辅助触摸：是需要设备上的辅助触摸辅助功能设置。此功能可帮助用户做出对他们来说可能很难的屏幕手势。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能不会在展台模式下运行或启用此功能。
需要反转颜色：是需要反转颜色辅助功能设置，以便有视力障碍的用户可更改显示屏。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能不会在展台模式下运行或启用此功能。
需要单声道音频：是需要设备上的单声道音频辅助功能设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能不会在展台模式下运行或启用此功能。
需要语音控制： 选择“是 ”可在设备上启用语音控制，并允许用户使用 Siri 命令完全控制操作系统。用户无法将其关闭。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会禁用语音控制。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本
提示

如果你有 LOB 应用可供组织使用，但在 iOS 13.0 发布的第 0 天语音控制未就绪，建议保留此设置为 “未配置”。
需要 VoiceOver：是，需要 VoiceOver 辅助功能设置才能大声朗读屏幕上的文本。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能不会在展台模式下运行或启用此功能。
需要缩放：是需要缩放设置，以便用户可以触摸以放大屏幕。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能不会在展台模式下运行或启用此功能。
阻止自动锁定：是阻止自动锁定设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许此功能。
阻止铃声开关：是，禁用铃声 (在设备上静音) 开关。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许此功能。
阻止屏幕旋转： Yes 阻止在用户旋转设备时更改屏幕方向。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许此功能。
阻止屏幕睡眠按钮：是，禁用设备上的屏幕睡眠唤醒按钮。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许此功能。
阻止触摸： Yes 禁用设备上的触摸屏。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用触摸屏。
阻止音量按钮：是阻止在设备上使用音量按钮。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许音量按钮。
允许辅助触摸控制： 选择“是 ”可让用户使用辅助触摸功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会禁用此功能。
允许反转颜色控制：是，反转颜色更改，允许用户调整反转颜色功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会禁用此功能。
对所选文本朗读：是允许在设备上朗读所选内容辅助功能设置。此功能可大声朗读用户选择的文本。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会禁用此功能。
允许语音控制：是允许用户更改设备上的语音控制状态。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会阻止用户更改其设备上的语音控制状态。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本
允许 VoiceOver 控制： 选择“是 ”，则允许对 Voiceover 进行更改以让用户更新 VoiceOver 功能，例如大声朗读屏幕文本的速度。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能会阻止 Voiceover 更改。
允许缩放控制：是，允许用户更改缩放。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会阻止缩放更改。

注意

必须先使用 Apple Configurator 工具或 Apple 设备注册计划将设备置于监督模式，然后才能将 iOS/iPadOS 设备配置为展台模式。请参阅有关使用 Apple Configurator 工具的 Apple 指南。如果在分配配置文件后安装了输入的 iOS/iPadOS 应用，则在设备重启之前，设备不会进入展台模式。

锁定屏幕体验

设置适用于：所有注册类型

在锁屏界面中阻止控制中心访问：是，在设备锁定时阻止对控制中心应用程序的访问。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，当设备锁定时，操作系统可能会允许访问控制中心应用程序。
阻止锁屏界面中的通知中心访问：是，当设备锁定时阻止对通知的访问。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许在不解锁设备的情况下访问通知。
在锁屏界面中阻止“今天”视图：是，则在设备锁定时阻止访问“今日”视图。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许用户在设备锁定时查看“今天”视图。

设置适用于：设备注册、自动设备注册 (受监督的)

在锁屏界面中阻止电子钱包通知：选择“是”，则会在设备锁定时阻止对“电子钱包”应用的访问。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，当设备锁定时，操作系统可能会允许访问“电子钱包”应用。

Password

这些设置使用密码有效负载 (打开 Apple 网站) 。

设置适用于：所有注册类型

需要密码：是，要求用户输入密码才能访问设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许用户在不输入密码的情况下访问设备。

设置适用于：设备注册、自动设备注册 (受监督的)

重要

在用户注册的设备上，如果配置任何密码设置，Intune 会自动将“阻止简单密码”设置为“是”，并强制使用 6 位 PIN。

例如，配置 密码过期 设置并将此策略推送到用户注册的设备。在设备上，会出现以下情况：

将忽略“密码过期”设置。
不允许使用简单密码，如 1111 或 1234。
强制使用 6 位 PIN。

阻止简单密码： Yes 会阻止简单密码，并且需要更复杂的密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用简单的密码，如 0000 和 1234。
所需密码类型：输入组织所需的所需密码复杂性级别。选项包括：
- 设备默认值
- 数字：可以是字母字符（如 abcdef）和数字字符（如 123456789）。
- 字母数字：包括大写字母、小写字母和数字字符。
注意

选择字母数字会影响配对的 Apple Watch。有关更多信息，请参阅为 Apple Watch 设定密码限制 (打开 Apple 网站) 。
密码中非字母数字字符的数量：输入密码中必须包含的符号字符（如 # Or @）的数量，范围为 1-4。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。
最小密码长度：输入密码必须具有的最小长度，从 4-16 个字符。在用户注册的设备上，输入 4 到 6 个字符之间的长度。

注意

对于用户注册的设备，用户可以设置大于 6 位的 PIN。但是，设备上强制使用不超过 6 位数字。例如，管理员将最小长度 8设置为。在用户注册的设备上，用户只需设置一个 6 位 PIN。 Intune 不会在用户注册的设备上强制使用 PIN 大于 6 位数字。
擦除设备前登录失败的次数：输入擦除设备之前失败登录的次数，范围为 2-11。不建议将此值 2 设置为 OR 3。输入错误密码很常见。经常会在尝试两到三次错误密码后擦除设备。建议将此值设置为至少 4。

iOS/iPadOS 具有可能影响此设置的内置安全性。例如，iOS/iPadOS 可能会根据登录失败次数延迟触发策略。还可以考虑重复输入同一密码作为一次尝试。 Apple 的 iOS/iPadOS 安全指南 (打开 Apple 网站) 是一个很好的资源，并提供了有关密码的更具体的详细信息。
屏幕锁定后需要密码前的最长分钟数¹：输入设备处于空闲状态的时间，然后用户必须重新输入密码。如果输入的时间比设备上当前设置的时间长，设备将忽略你输入的时间。

此设置适用于：
- iOS 8.0+
- iPadOS 13.0+
屏幕锁定前不活动的最大分钟数¹：输入屏幕锁定之前设备上允许的最大不活动分钟数。

iOS/iPadOS 选项：
- 未配置 (默认) ：Intune不会更改或更新此设置。
- 立即：处于非活动状态 30 秒后屏幕锁定。
- 1：处于非活动状态 1 分钟后屏幕锁定。
- 2：处于非活动状态 2 分钟后屏幕锁定。
- 3：处于非活动状态 3 分钟后屏幕锁定。
- 4：处于不活动状态 4 分钟后屏幕锁定。
- 5：处于不活动状态 5 分钟后屏幕锁定。
iPadOS 选项：
- 未配置 (默认) ：Intune不会更改或更新此设置。
- 立即：处于非活动状态 2 分钟后屏幕锁定。
- 2：处于非活动状态 2 分钟后屏幕锁定。
- 5：处于不活动状态 5 分钟后屏幕锁定。
- 10：处于非活动状态 10 分钟后屏幕锁定。
- 15：处于非活动状态 15 分钟后屏幕锁定。
如果某个值不适用于 iOS 和 iPadOS，则 Apple 会使用最接近的最低值。例如，如果输入 4 分钟数，iPadOS 设备将使用 2 分钟数。如果输入分钟数， 10 iOS 设备将使用 5 分钟数。此行为是 Apple 的限制。

注意

此设置的 Intune UI 不分隔 iOS 和 iPadOS 支持的值。 UI 可能会在将来的版本中更新。
密码过期 (天) ：输入必须更改设备密码前的天数，范围为 1-730。当密码过期时，系统会提示用户创建新密码。当值为空或设置为“未配置”时，Intune 不会更改或更新此设置。
防止重用以前的密码：限制用户创建以前的密码。输入以前使用但无法使用的密码的数量（从 1 到 24）。例如，输入 5，这样用户就无法将新密码设置为其当前密码或以前四个密码中的任何一个。如果值为空，则 Intune 不会更改或更新此设置。
阻止 Touch ID 和 Face ID 解锁：是阻止使用指纹或面部解锁设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户使用生物识别来解锁设备。

设置为 “是” 还可以阻止使用 FaceID 身份验证解锁设备。

面容 ID 适用于：
- iOS 11.0 及更高版本
- iPadOS 13.0 及更高版本

设置适用于：自动设备注册 (受监督的)

阻止密码修改： 选择“是” 可阻止更改、添加或删除密码。阻止此功能后，受监督设备上的密码限制更改将被忽略。在共享的 iPad 上将忽略此设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许添加、更改或删除密码。
- 阻止修改触控 ID 指纹和面容 ID 人脸： 选择“是” 可阻止用户更改、添加或移除触控 ID 指纹和面容 ID。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户更新设备上的 TouchID 指纹和面容 ID。
  
  阻止此设置还会阻止用户更改、添加或删除 FaceID 身份验证。
  
  面容 ID 适用于：
  - iOS 11.0 及更高版本
  - iPadOS 13.0 及更高版本
阻止密码自动填充： Yes 阻止使用自动填充密码功能。选择“ 是 ”还会产生以下影响：
- 系统不会提示用户在 Safari 或任何 App 中使用保存的密码。
- 自动禁用强密码，并且不向用户建议使用强密码。
设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许这些功能。
阻止密码邻近请求：是，则阻止设备从附近的设备请求密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会允许这些密码请求。
阻止密码共享： 选择“是”可 阻止使用 AirDrop 在设备之间共享密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许共享密码。
需要触控 ID 或面容 ID 认证才能自动填充密码或信用卡信息：选择“是”会强制用户使用 TouchID 或 FaceID 进行身份验证，然后密码或信用卡信息才能在 Safari 和其他 App 中自动填充。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户在设备设置中控制此功能。

此设置适用于：
- iOS 11.0 及更高版本
- iPadOS 13.0 及更高版本

¹ 配置“ 屏幕锁定前的最大不活动分钟数 ”和“屏幕 锁定后需要密码之前的最大分钟数 ”设置时，将按顺序应用这些设置。例如，如果将两个设置的值都设置为 5 分钟，则屏幕将在 5 分钟后自动关闭，设备将在 5 分钟后锁定。但是，如果用户手动关闭屏幕，则会立即应用第二个设置。在同一示例中，用户关闭屏幕后，设备将在 5 分钟后锁定。

重要

在运行 10.14.2 和更高版本的 macOS 设备上 (除所有版本的 macOS 10.15 Catalina) 外，当设备更新到新的主要操作系统版本时，系统会提示用户更改设备密码。此密码更新只会发生一次。用户更新密码后，将强制执行任何其他密码策略。如果至少一个策略中需要密码，则此行为仅发生在本地计算机用户中。
每当密码策略更新时，运行这些 macOS 版本的所有用户都必须更改密码，即使当前密码符合新要求。例如，当 macOS 设备在升级到新的主要操作系统版本（如 Big Sur (macOS 11) 或 Monterey (macOS 12) ）后开机时，用户需要更改设备密码才能登录。

设置适用于：所有注册类型

需要密码：是，要求用户输入密码才能访问设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能不需要密码。它也不会强制任何限制，例如阻止简单密码或设置最小长度。
- 所需密码类型：输入组织所需的所需密码复杂性级别。留空时，Intune 不会更改或更新此设置。选项包括：
  - 未配置：使用设备默认值。
  - 字母数字：包括大写字母、小写字母和数字字符。
  - 数字：密码必须为数字，如 123456789。
  此设置适用于：
  - macOS 10.10.3 及更高版本
- 密码中非字母数字字符的数量：输入密码中所需的复杂字符数，范围为 0-4。复杂字符是一个符号，例如 ?。留空或设置为“未配置”时，Intune 不会更改或更新此设置。
- 最小密码长度：输入密码必须具有的最小长度，从 4-16 个字符。留空时，Intune 不会更改或更新此设置。
- 阻止简单密码： Yes 阻止使用简单密码，例如 0000 or 1234。当值为空或设置为“未配置”时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许使用简单密码。
- 屏幕锁定前不活动的最大分钟数：输入屏幕自动锁定前设备必须处于空闲状态的时间长度。例如，进入以 5 在空闲 5 分钟后锁定设备。当值为空或设置为“未配置”时，Intune 不会更改或更新此设置。
- 屏幕锁定后需要密码前的最大分钟数：输入设备在需要密码才能解锁之前必须处于非活动状态的时间长度。当值为空或设置为“未配置”时，Intune 不会更改或更新此设置。
- 密码过期 (天) ：输入必须更改设备密码的天数（从 1 到 730）。例如，输入 90 以在 90 天后使密码过期。当密码过期时，系统会提示用户创建新密码。当值为空或设置为“未配置”时，Intune 不会更改或更新此设置。
- 防止重用以前的密码：限制用户创建以前使用的密码。输入以前使用但无法使用的密码的数量（从 1 到 24）。例如，输入 5，这样用户就无法将新密码设置为其当前密码或以前四个密码中的任何一个。如果值为空，则 Intune 不会更改或更新此设置。
- 允许的最大登录尝试次数：输入设备将用户锁定之前，用户可以连续尝试登录的最大次数，范围为 2-11。超过此数字时，设备将被锁定。建议不要将此值设置为较低的数字，例如 2 OR 3。用户输入错误密码很常见。建议设置为更高的值。
  
  例如，输入 5 这样用户最多可以输入五次错误密码。第五次尝试后，设备将锁定。如果将此值留空或不更改它，则默认使用 H。11
  
  尝试六次失败后，macOS 会自动强制延迟一段时间，然后才能再次输入密码。延迟随着每次尝试而增加。设置 锁定持续时间 以在输入下一个密码之前添加延迟。
  - 锁定持续时间：输入锁定持续的分钟数，范围为 0-10000。在设备锁定期间，登录屏幕处于非活动状态，用户无法登录。锁定结束后，用户可以尝试重新登录。
    
    如果将此值留空或不更改它，则 30 默认使用分钟数。
    
    此设置适用于：
    - macOS 10.10 及更高版本
阻止用户修改密码： 选择“是 ”可阻止更改、添加或删除密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许添加、更改或删除密码。
阻止 Touch ID 解锁设备：是阻止使用指纹解锁设备。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许用户使用指纹解锁设备。
超时 (小时的非活动时间) ：输入用户必须输入密码而不是 TouchID 的非活动小时数值。默认的非活动期为 48 小时。处于非活动状态 48 小时后，设备会提示输入密码，而非触摸 ID。

设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会将超时设置为 48 小时 (172,800 秒) 。

此设置适用于：
- macOS 12 及更高版本
阻止密码自动填充： 选择“是” 将阻止在 macOS 上使用“自动填充密码”功能。选择“ 是 ”还会产生以下影响：
- 系统不会提示用户在 Safari 或任何 App 中使用保存的密码。
- 自动禁用强密码，并且不向用户建议使用强密码。
设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许这些功能。
阻止密码邻近请求：是，则阻止设备从附近的设备请求密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会允许这些密码请求。
阻止密码共享： 选择“是”可 阻止使用 AirDrop 在设备之间共享密码。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许共享密码。

隐私首选项

在 macOS 设备上，应用和进程通常会提示用户允许或拒绝访问设备功能，如相机、麦克风、日历、文档文件夹等。这些设置允许管理员预先批准或预拒绝对这些设备功能的访问。配置这些设置时，你将代表用户管理数据访问许可。你的设置将覆盖其先前的决策。

这些设置的目标是减少应用和进程的提示数。

此功能适用于：

macOS 10.14 及更高版本
某些设置适用于 macOS 10.15 及更高版本。
这些设置仅适用于在升级之前安装了隐私首选项配置文件的设备。

注意

使用策略允许应用时，这些应用不会显示在设备上的“系统设置” (“隐私 + 安全”) 中。仅显示最终用户手动允许的应用。

设置适用于：用户批准的设备注册、自动设备注册

应用和进程：添加应用或进程以配置访问权限。另请输入：
- 名称：输入应用或进程的名称。例如，输入Microsoft 远程桌面Microsoft 365或。
- 标识符类型：你的选项：
  - 捆绑包 ID：为应用选择此选项。
  - 路径：对于非捆绑的二进制文件（进程或可执行文件），请选择此选项。
  嵌入在应用程序捆绑包中的帮助程序工具会自动继承其封闭应用程序捆绑包的权限。
- 标识符：输入应用程序包 ID，或者进程或可执行文件的安装文件路径。例如，输入 com.contoso.appname。
  
  要获取应用程序包 ID，请执行以下操作：
  - 打开终端应用，然后运行命令 codesign 。此命令标识代码签名。可以同时获取捆绑包 ID 和代码签名。
  - 对于添加到 Intune 的应用，可以使用 Intune 管理中心。
- 代码要求：输入应用程序或流程的代码签名。
  
  当应用或二进制文件由开发人员证书签名时，将创建代码签名。要查找指定，请在终端应用程序中手动运行 codesign 命令： codesign --display -r - /path/to/app/binary。代码签名是之后 =>出现的所有内容。
- 启用静态代码验证：对于应用或进程，选择“ 是 ”以静态验证代码要求。设置为“未配置”时，Intune 不会更改或更新此设置。
  
  仅当进程使其动态代码签名无效时才启用此设置。否则，使用 “未配置”。
- 阻止相机：是阻止应用访问系统相机。不能允许访问相机。设置为“未配置”时，Intune 不会更改或更新此设置。
- 阻止麦克风：是，阻止应用访问系统麦克风。不能允许访问麦克风。设置为“未配置”时，Intune 不会更改或更新此设置。
- 阻止屏幕录制： “是 ”会阻止应用捕获系统显示的内容。不能允许访问屏幕录制和屏幕捕获。设置为“未配置”时，Intune 不会更改或更新此设置。
  
  需要 macOS 10.15 及更高版本。
- 阻止输入监视： 选择“是 ”，则阻止应用使用 CoreGraphics 和 HID API 侦听来自所有进程的 CGEvents 和 HID 事件。 “是”还会拒绝应用和进程侦听和收集来自输入设备（如鼠标、键盘或触控板）的数据。不能允许访问 CoreGraphics 和 HID API。
  
  设置为“未配置”时，Intune 不会更改或更新此设置。
  
  需要 macOS 10.15 及更高版本。
- 语音识别：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问系统语音识别，并允许向 Apple 发送语音数据。
  - 阻止：阻止应用访问系统语音识别，并阻止向 Apple 发送语音数据。
  需要 macOS 10.15 及更高版本。
- 辅助功能：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问系统辅助功能应用。该应用程序包括隐藏式字幕、悬停文本和语音控制。
  - 阻止：阻止应用访问系统辅助功能应用。
- 联系人：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问系统联系人应用管理的联系人信息。
  - 阻止：阻止应用访问此联系人信息。
- Calendar：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用程序访问由系统 Calendar 应用程序管理的日历信息。
  - 阻止：阻止应用访问此日历信息。
- 提醒：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许 App 访问由系统“提醒事项”App 管理的提醒事项信息。
  - 阻止：阻止应用访问此提醒信息。
- 照片：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问由系统照片应用 ~/Pictures/.photoslibrary管理的图片。
  - 阻止：阻止应用访问这些图片。
- 媒体库：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许 App 访问 Apple Music、音乐和视频活动以及媒体资料库。
  - 阻止：阻止应用访问此媒体。
  需要 macOS 10.15 及更高版本。
- 文件提供程序状态：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问文件提供程序应用，并了解用户何时在使用由文件提供程序管理的文件。文件提供程序 App 允许其他文件提供程序 App 访问由包含的 App 存储和管理的文档和目录。
  - 阻止：阻止应用访问文件提供程序应用。
  需要 macOS 10.15 及更高版本。
- 完全磁盘访问：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问所有受保护的文件，包括系统管理文件。请谨慎应用此设置。
  - 阻止：阻止应用访问这些受保护的文件。
- 系统管理员文件：选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问系统管理中使用的某些文件。
  - 阻止：阻止应用访问这些文件。
- 桌面文件夹：选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问用户桌面文件夹中的文件。
  - 阻止：阻止应用访问这些文件。
  需要 macOS 10.15 及更高版本。
- 文档文件夹：选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问用户“文档”文件夹中的文件。
  - 阻止：阻止应用访问这些文件。
  需要 macOS 10.15 及更高版本。
- 下载文件夹：选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问用户的“下载”文件夹中的文件。
  - 阻止：阻止应用访问这些文件。
  需要 macOS 10.15 及更高版本。
- 网络卷： 你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问网络卷上的文件。
  - 阻止：阻止应用访问这些文件。
  需要 macOS 10.15 及更高版本。
- 可移动卷：选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用访问可移动卷（例如硬盘）上的文件。
  - 阻止：阻止应用访问这些文件。
  需要 macOS 10.15 及更高版本。
- 系统事件：你的选项：
  - 未配置：Intune 不会更改或更新此设置。
  - 允许：允许应用使用 CoreGraphics API 将 CGEvents 发送到系统事件流。
  - 阻止：阻止应用使用 CoreGraphics API 将 CGEvent 发送到系统事件流。
- Apple 事件：此设置允许应用将受限的 Apple 事件发送到另一个应用或进程。选择 “添加” 以添加接收应用或进程。输入接收应用或进程的以下信息：
  - 标识符类型：如果接收标识符是应用程序，请选择捆 绑包 ID 。 如果接收标识符是进程或可执行文件，请选择路径。
  - 标识符：输入应用程序包 ID，或接收 Apple 事件进程的安装路径。
  - 代码要求：输入接收应用程序或流程的代码签名。
    
    当应用或二进制文件由开发人员证书签名时，将创建代码签名。要查找指定，请在终端应用程序中手动运行 codesign 命令： codesign --display -r -/path/to/app/binary。代码签名是之后 =>出现的所有内容。
  - 访问： 允许将 macOS Apple 事件发送到接收应用或进程。选项包括：
    - 未配置：Intune 不会更改或更新此设置。
    - 允许：允许应用或进程将受限的 Apple 事件发送到接收应用或进程。
    - 阻止：阻止应用或进程向接收应用或进程发送受限的 Apple 事件。

受限应用

重要

使用受限应用设置的设备配置文件必须分配给用户组，而不是设备组。

受限应用设置不会阻止用户安装和打开特定应用。相反，安装了受限应用的设备会填充 Intune 管理中心 (设备>监视器) 中的“具有受限应用的设备”报告。

设置适用于：设备注册和自动设备注册 (受监督的)

注意

这些设置将创建已批准和禁止应用的列表。它们不会阻止用户安装或运行应用。相反，如果用户在任一列表安装或运行应用，则会在 Intune 中报告该应用。您可以使用此信息来帮助您制定应用管理策略。

若要阻止应用在 iOS/iPadOS 上运行或显示，请创建 Intune 设置目录策略 >限制>允许列出的应用程序包 ID 或阻止的应用程序包 ID 设置。

设置适用于：所有注册类型

受限应用列表的类型：创建已批准或禁止用户使用的应用列表。选项包括：
- 未配置 (默认) ：Intune不会更改或更新此设置。默认情况下，OS 可能允许访问你分配的应用和内置应用。
- 禁止的应用：列出未批准用户 (Intune) 管理的应用。不会阻止用户安装或运行禁止的应用。如果用户安装此列表中的应用，则会在 Intune 中报告该应用。
  
  如果设备上有禁止的应用，此设置可能会报告错误或显示为 “不符合”。
- 已批准的应用：列出允许用户安装的应用。为了保持合规性，用户不得安装其他应用。如果用户安装不允许的应用，则会在 Intune 中报告。自动允许由 Intune 管理的应用。系统不会阻止用户安装不在批准列表中的应用。但如果这样做，则会在 Intune 中报告。
  
  如果安装的应用不在“批准的应用”列表中，则此设置可能会报告错误或报告为 “不符合”。
注意
- Intune 会收集但不会存储所有注册方法的完整应用清单，但 ADE) (自动设备注册除外。在注册 ADE 的设备上，Intune 收集并存储完整的应用清单。

若要将应用添加到这些列表，你可以：

App Store URL：输入所需应用的 iTunes App Store URL。例如，若要添加 Microsoft 工作文件夹应用，请输入https://itunes.apple.com/us/app/work-folders/id950878067?mt=8https://apps.apple.com/us/app/work-folders/id950878067?mt=8或。

若要查找 App 的 URL，请打开 iTunes App Store，然后搜索该 App。例如，搜索或 Microsoft 远程桌面Microsoft Word。选择应用并复制 URL。还可以使用 iTunes 查找应用，然后使用 “复制链接” 任务获取应用 URL。

应用程序包 ID：输入应用的捆绑包 ID 。可添加内置应用和业务线应用。

若要获取捆绑包 ID，请执行以下操作：
- Apple 网站有一个内置的 Apple 应用程序列表。
- 打开终端应用，然后使用 AppleScript (osascript -e 'id of app "AppName"') 。
- 对于添加到 Intune 的应用，可以使用 Intune 管理中心。
应用名称：输入用户友好名称以帮助识别捆绑包 ID。
发布者：输入应用的发布者。

导入包含应用详细信息（包括 URL）的 CSV 文件。使用 <app url>, <app name>, <app publisher> 格式。或者，导出包含相同格式的受限应用列表的现有列表。

导入包含应用详细信息（包括 URL）的 CSV 文件。使用 <app bundle ID>, <app name>, <app publisher> 格式。或者， 导出以 以相同格式创建您添加的应用程序列表。

共享 iPad

此功能适用于：

iPadOS 13.4 及更高版本
共享 iPad

设置适用于：自动设备注册 (受监督的)

阻止共享的 iPad 临时会话：临时会话允许用户以访客身份登录，用户无需输入管理式 Apple ID 或密码。

设置为 “是”时：
- 共享的 iPad 用户无法使用临时会话。
- 用户必须使用其管理式 Apple ID 和密码登录设备。
- 来宾帐户选项不显示在设备的锁屏界面上。
设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统允许共享 iPad 用户使用来宾帐户登录到设备。用户注销后，用户的任何数据都不会保存或同步到 iCloud。

显示或隐藏应用

此功能适用于：

iOS 9.3 及更高版本
iPadOS 13.0 及更高版本

设置适用于：自动设备注册 (受监督的)

App 列表的类型：创建要显示或隐藏的 App 列表。可以显示或隐藏内置应用和业务线应用。 Apple 网站有一个内置的 Apple 应用程序列表。选项包括：
- 未配置 (默认) ：Intune不会更改或更新此设置。
- 隐藏的应用：输入对用户隐藏的应用列表。用户无法查看或打开这些应用。
  
  Apple 阻止隐藏某些本机应用。例如，无法隐藏设备上的 “设置 ”应用。删除内置的 Apple 应用列出了可以隐藏的应用。
- 可见应用：输入用户可以查看和启动的应用列表。无法查看或启动其他应用。
应用 URL：输入要显示或隐藏的应用的应用商店应用 URL。例如：
- 若要添加 Microsoft 工作文件夹应用，请输入或 https://itunes.apple.com/us/app/work-folders/id950878067?mt=8https://apps.apple.com/us/app/work-folders/id950878067?mt=8。
- 若要添加 Microsoft Word 应用，请输入https://itunes.apple.com/de/app/microsoft-word/id586447913https://apps.apple.com/de/app/microsoft-word/id586447913或。
若要查找 App 的 URL，请打开 iTunes App Store，然后搜索该 App。例如，搜索或 Microsoft 远程桌面Microsoft Word。选择应用并复制 URL。

还可以使用 iTunes 查找应用，然后使用 “复制链接” 任务获取应用 URL。
应用程序包 ID：输入所需应用程序的应用程序包 ID 。可以显示或隐藏内置应用和业务线应用。

要获取应用程序包 ID，请执行以下操作：
- Apple 网站有一个内置的 Apple 应用程序列表。
- 对于添加到 Intune 的应用，可以使用 Intune 管理中心。
应用名称：输入所需应用的应用名称。可以显示或隐藏内置应用和业务线应用。 Apple 网站有一个内置的 Apple 应用程序列表。
发布者：输入所需应用的发布者。

还可以执行以下操作：

导入包含应用详细信息（包括 URL）的 CSV 文件。使用 <app url>, <app name>, <app publisher> 格式。或者， 导出以 以相同格式创建您添加的受限应用列表。

无线

设置适用于：设备注册和自动设备注册 (受监督的)

阻止数据漫游：是，则阻止通过蜂窝网络进行数据漫游。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，当设备在手机网络上时，OS 可能会允许数据漫游。

重要

Intune 服务将此设置视为远程设备操作。因此，设备上的管理配置文件不会显示此设置。每次设备上的数据漫游状态更改时，Intune 服务都会阻止数据漫游。在 Intune 中，如果报告状态显示成功，则表示它正在工作，即使设备上的管理配置文件未显示设置也是如此。
漫游时阻止全局后台提取： Yes 阻止在通过蜂窝网络漫游时使用全局后台提取功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，当电子邮件在蜂窝网络上漫游时，OS 可能允许设备提取数据。
设备锁定时阻止语音拨号：Yes 阻止在设备上使用语音拨号功能。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许在设备上进行语音拨号。
阻止语音漫游：是，阻止通过蜂窝网络进行语音漫游。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，当设备位于手机网络上时，OS 可能会允许语音漫游。
阻止个人热点： 选择“是 ”，会在每次设备同步时关闭设备上的个人热点。此设置可能与某些运营商不兼容。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能会将个人热点配置保留为用户设置的默认值。

重要

Intune 服务将此设置视为远程设备操作。因此，设备上的管理配置文件不会显示此设置。每次设备上的个人热点状态更改时，Intune 服务都会阻止个人热点。在 Intune 中，如果报告状态显示成功，则表示它正在工作，即使设备上的管理配置文件未显示设置也是如此。
仅 (托管应用的手机网络使用规则) ： 允许定义 托管应用在手机网络上时可以使用的数据类型。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。选项包括：
- 阻止使用手机网络数据：选取无法使用手机网络数据的 App。选项包括：
  - 未配置：Intune 不会更改或更新此设置。
  - 所有托管应用
  - 选择特定应用：添加应用包 ID、应用名称和发布者。
- 漫游时阻止使用手机网络数据：选取漫游时无法使用手机网络数据的 App。选项包括：
  - 未配置：Intune 不会更改或更新此设置。
  - 所有托管应用
  - 选择特定应用：添加应用包 ID、应用名称和发布者。

设置适用于：自动设备注册 (受监督的)

阻止更改应用手机网络数据使用情况设置： Yes 阻止更改应用手机网络数据使用情况设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户控制允许哪些应用使用手机网络数据。
阻止对手机网络套餐设置的更改： Yes 阻止更改手机网络套餐中的任何设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户进行更改。

此设置适用于：
- iOS 11.0 及更高版本
- iPadOS 13.0 及更高版本
阻止修改个人热点：是阻止更改个人热点设置。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许用户启用或禁用其个人热点。

如果将此设置和 阻止个人热点 设置为 “是”，则将关闭个人热点。

此设置适用于：
- iOS 12.2 及更高版本
- iPadOS 13.0 及更高版本
要求仅使用配置文件加入 Wi-Fi 网络：“是”将强制设备仅使用通过Intune配置文件设置的 Wi-Fi 网络。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许设备使用其他 Wi-Fi 网络。
- 此设置适用于 iOS/iPadOS 14.4 及更早版本的设备。在 iOS/iPadOS 14.5 及更高版本的设备上，使用“ 要求设备使用通过配置文件设置的 Wi-Fi 网络 ”设置。
- 设置为 “是”时，请确保设备具有 Wi-Fi 配置文件。如果未分配 Wi-Fi 配置文件，此设置可能会阻止设备连接到 Internet。例如，如果在 Wi-Fi 配置文件之前分配此设备限制配置文件，则可能会阻止设备连接到 Internet。
- 如果设备无法连接，请取消注册设备，然后使用 Wi-Fi 配置文件重新注册。然后，在设备限制配置文件中将此设置设置为“ 是 ”，并将配置文件分配给设备。
  
  此设置适用于：
  - iOS/iPadOS 14.4 及更早版本
要求 Wi-Fi 始终开启：“ 是 ”设置“应用中的 Wi-Fi 保持开启状态。即使设备处于飞行模式，也无法在“设置”或“控制中心”中将其关闭。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，操作系统可能允许用户打开或关闭 Wi-Fi。

配置此设置不会阻止用户选择 Wi-Fi 网络。

此设置适用于：
- iOS 13.0 及更高版本
- iPadOS 13.0 及更高版本
要求设备使用通过配置文件设置的 Wi-Fi 网络：“ 是 ”则强制设备使用通过配置文件设置的 Wi-Fi 网络。设置为“未配置”（默认）时，Intune 不会更改或更新此设置。默认情况下，OS 可能允许设备使用其他 Wi-Fi 网络。
- 在 iOS/iPadOS 14.5 及更高版本的设备上，使用此设置。不要使用 “要求仅使用配置文件加入 Wi-Fi 网络 ”设置。
- 设置为 “是”时：
  - 请确保使用内置 Wi-Fi 模板配置 Wi-Fi 设备配置文件， (而不是设置目录) 。不要分配使用自定义配置文件创建 Wi-Fi 配置文件，因为此设置不支持自定义 Wi-Fi 配置文件。
    
    如果不使用内置的 Wi-Fi 设备配置模板，则策略将显示此设置的错误状态 (要求 设备使用通过配置文件设置的 Wi-Fi 网络) 。
  - 在分配此设置之前，请确保 Wi-Fi 设备配置文件已在设备上 (要求设备 Wi-Fi 使用通过配置文件设置的 网络) 。
    
    如果未分配 Wi-Fi 配置文件，此设置可能会阻止设备连接到 Internet。例如，如果在 Wi-Fi 配置文件之前分配此设备限制配置文件，则可能会阻止设备连接到 Internet。
- 如果设备无法连接，请取消注册设备，然后使用 Wi-Fi 配置文件重新注册。然后，在设备限制配置文件中将此设置设置为“ 是 ”，并将配置文件分配给设备。
  
  此设置适用于：
  - iOS/iPadOS 14.5 及更高版本

分配配置文件并监视其状态。
了解有关设备限制配置文件的详细信息。

反馈

此页面是否有帮助？

上次更新时间为 2026-08-20

Microsoft Intune 中的 Apple 设备限制设置

先决条件

App Store、文档查看和游戏

设置适用于：所有注册类型

设置适用于：设备注册、自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

ASAM) (自主单应用模式

设置适用于：自动设备注册 (受监督的)

内置应用

设置适用于：所有注册类型

设置适用于：设备注册和自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

设置适用于：所有注册类型

云和存储

设置适用于：所有注册类型

设置适用于：设备注册、自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

设置适用于：所有注册类型

设置适用于：用户批准的设备注册、自动设备注册 (受监督的)

连接的设备

设置适用于：所有注册类型

设置适用于：设备注册、自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

设置适用于：所有注册类型

域

设置适用于：设备注册和自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

设置适用于：所有注册类型

一般信息

设置适用于：所有注册类型

设置适用于：设备注册和自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

设置适用于：所有注册类型

设置适用于：用户批准的设备注册、自动设备注册 (受监督的)

设置适用于：自动设备注册

键盘和字典

设置适用于：自动设备注册 (受监督的)

Kiosk

设置适用于：自动设备注册 (受监督的)

锁定屏幕体验

设置适用于：所有注册类型

设置适用于：设备注册、自动设备注册 (受监督的)

Password

设置适用于：所有注册类型

设置适用于：设备注册、自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

设置适用于：所有注册类型

隐私首选项

设置适用于：用户批准的设备注册、自动设备注册

受限应用

设置适用于：设备注册和自动设备注册 (受监督的)

设置适用于：所有注册类型

共享 iPad

设置适用于：自动设备注册 (受监督的)

显示或隐藏应用

设置适用于：自动设备注册 (受监督的)

无线

设置适用于：设备注册和自动设备注册 (受监督的)

设置适用于：自动设备注册 (受监督的)

相关文章

反馈

其他资源