共用方式為

Windows 裝置上需要應用程式防護原則

  • 發行項

應用程式防護原則會將行動應用程式管理 (MAM) 套用至裝置上的特定應用程式。 這些原則允許在應用程式內保障資料安全，支援比方攜帶自己裝置 (BYOD) 的案例。

需要使用者登入其 Microsoft Edge 設定檔存取應用程式，才能取得瀏覽器的螢幕擷取畫面。

必要條件

使用者排除

條件式存取原則是功能強大的工具，建議您從原則中排除下列帳戶：

  • 緊急存取或急用帳戶，以防止整個租用戶帳戶鎖定。 雖然不太可能發生，但如果所有管理員都遭到鎖定而無法使用租用戶，緊急存取系統管理帳戶就可以用來登入租用戶，以採取存取權復原步驟。
  • [服務帳戶] 和 [服務主體]，例如 Microsoft Entra Connect 同步帳戶。 服務帳戶是未與任何特定使用者繫結的非互動式帳戶。 後端服務通常會使用這些帳戶以程式設計方式存取應用程式，但也可用來登入系統以供管理之用。 請排除這類服務帳戶，因為您無法透過程式設計方式來完成 MFA。 服務主體所進行的呼叫不會遭到範圍設定為使用者的條件式存取原則封鎖。 使用適用於工作負載身分識別的條件式存取，來定義以服務主體為目標的原則。
    • 如果您的組織在指令碼或程式碼中使用這些帳戶，請考慮將它們取代為受管理的身分識別。 您可以在基準原則中排除這些特定帳戶，暫時解決此問題。

建立條件式存取原則

以下原則會以報告專用模式啟動，讓管理員可以判斷對現有使用者的影響。 當管理員確信原則會如預期套用時，可以切換至 [開啟]，或藉由新增特定群組和排除其他群組以進行階段部署。

需要 Windows 裝置的應用程式防護策略

以下步驟有助於在使用 Windows 裝置存取條件式存取中的 Office 365 應用程式群組時，建立需要應用程式防護原則的條件式存取原則。 應用程式防護原則也必須在 Microsoft Intune 中設定並指派給您的使用者。 如需如何建立應用程式防護原則的詳細資訊，請參閱 Windows 的應用程式防護原則設定一文。 下列原則包含多個控制項，可讓裝置使用應用程式防護原則進行行動應用程式管理 (MAM)，或進行管理並符合行動裝置管理 (MDM) 原則。

提示

應用程式防護原則 (MAM) 支援非受控裝置：

  • 如果裝置已透過行動裝置管理 (MDM) 受控，則會封鎖 Intune MAM 註冊，且不會套用應用程式防護原則設定。
  • 如果裝置在 MAM 註冊後變成受控，則不再套用應用程式防護原則設定。
  1. 至少以條件式存取管理員 (部分機器翻譯) 的身分登入 Microsoft Entra 系統管理中心。
  2. 瀏覽至 [保護]>[條件式存取]>[原則]。
  3. 選取 [新增原則]。
  4. 為您的原則命名。 建議組織針對其原則的名稱建立有意義的標準。
  5. 在 [指派] 底下，選取 [使用者] 或 [工作負載識別]。
    1. 在 [包含] 下，選取 [所有使用者]。
    2. 在 [排除] 底下，選取 [使用者和群組]，然後至少選擇您組織的緊急存取或急用帳戶。
  6. 在 [目標資源]>[雲端應用程式]>[包含] 底下，選取 [Office 365]。
  7. 在 [條件] 底下：
    1. 在 [裝置平台] 將 [設定] 設定為 [是]。
      1. 在 [包含] 底下，選取 [裝置平台]。
      2. 僅選擇 [Windows]。
      3. 選取完成。
    2. 在 [用戶端應用程式] 將 [設定] 設定為 [是]。
      1. 僅選取 [瀏覽器]。
  8. 在 [存取控制]>[授與] 下，選取 [授與存取權]。
    1. 選取 [需要應用程式防護原則] 和 [需要裝置已標記為符合規範]。
    2. 針對多個控制項，選取 [需要其中一個選取的控制項]
  9. 確認您的設定，並將 [啟用原則] 設為 [報告專用]。
  10. 選取 [建立] 以建立並啟用您的原則。

管理員使用報告專用模式確認設定之後，即可以將 [啟用原則] 從 [報告專用] 切換至 [開啟]。

提示

組織也應該部署原則，以封鎖來自不支援或未知裝置平臺的存取，以及此原則。

登入 Windows 裝置

當使用者第一次嘗試登入受應用程式保護原則保護的網站時，系統會提示他們：若要存取您的服務、應用程式或網站，您可能需要使用 username@domain.com 登入 Microsoft Edge，或登入您的裝置 organization 。

按一下 [切換 Edge 設定檔] 會開啟一個視窗，其中列出其公司或學校帳戶，以及 [登入以同步處理資料] 的選項。

顯示 Microsoft Edge 中彈出視窗的螢幕擷取畫面，要求使用者登入。

此流程會開啟一個視窗，提供允許 Windows 記住您的帳戶，並自動將您登入您的應用程式和網站。

警告

您必須清除 [允許我的組織管理我的裝置] 複選框。 選取此核取方塊會將您的裝置註冊至行動裝置管理 (MDM)，而不是行動應用程式管理 (MAM)。

請勿選取 [否，僅登入此應用程式]。

顯示保持登入所有應用程式視窗的螢幕擷取畫面。取消核取 [允許我的組織管理我的裝置] 核取方塊。

選取 [確定] 之後，您可能會在套用原則時看到進度視窗。 幾分鐘後，您應該會看到一個視窗，顯示 [全部設定完畢，已套用應用程式防護原則]。

疑難排解

常見問題

在某些情況下，在 [全部設定完畢] 頁面出現後，系統仍可能會提示您使用工作帳戶登入。 當以下情況發生時，此提示可能會出現：

  • 您的設定檔已新增至 Microsoft Edge，但 MAM 註冊仍在處理中。
  • 您的設定檔已新增至 Microsoft Edge，但您已在提醒頁面上選取 [僅此應用程式]。
  • 您已註冊 MAM，但您的註冊已過期，或不符合組織的需求。

若要解決這些可能的案例：

  • 請等候幾分鐘，然後在新的分頁再次嘗試。
  • 請連絡系統管理員，檢查 Microsoft Intune MAM 原則是否已正確套用至您的帳戶。

現有帳戶

有一個已知問題，其中有預先存在的未註冊帳戶，例如 Microsoft Edge 中的 user@contoso.com，或如果使用者在未使用提醒頁面註冊的情況下登入，則帳戶不會在 MAM 中正確註冊。 此設定會封鎖使用者在 MAM 中正確註冊。

下一步