Android 範本裝置設定清單以限制使用 Intune 的功能

您可以使用 Microsoft Intune 裝置限制設定檔來管理 Android 企業版和 AOSP 裝置上的裝置功能和設定。

本文列出並說明您可以使用 Intune 範本在 Android 裝置上設定的設定。 在行動裝置管理 (MDM) 解決方案時，請使用這些設定來建立密碼限制、啟用藍牙、管理系統更新、建立 kiosk 體驗等等。

本文適用於：

  • Android 企業版公司擁有的工作設定檔 (COPE)
  • Android 企業版公司擁有的完全受控 (COBO)
  • (COSU) Android 企業版公司所擁有的專用裝置
  • Android 企業版個人擁有的裝置，具有 (BYOD) 的工作設定檔
  • Android 開放原始碼專案 (AOSP) 公司擁有的無使用者裝置 (共用)
  • Android 開放原始碼專案 (AOSP) 公司擁有的使用者相關裝置 (單一使用者)

開始之前

Android 設定

本節列出您可以在 Android 企業版 (公司擁有和個人擁有的) 和 AOSP 裝置上設定的範本設定。

這些設定適用於下列 Android 企業版註冊類型，其中 Intune 會控制整個裝置：

  • 完全受控的裝置
  • 專用裝置
  • 具有工作設定檔的公司擁有裝置

並非所有註冊類型都支援某些設定。 Intune 系統管理中心會顯示套用設定的註冊類型。

螢幕擷取畫面，顯示 Android 企業版使用者和帳戶設定標頭，以及它們在 Microsoft Intune 中套用的註冊類型。

對於具有工作設定檔的公司擁有的裝置，某些設定僅會套用到工作設定檔。 這些設定在設定名稱中 (工作設定檔層級的) 。 對於完全受控和專用的裝置，這些設定會套用至整個裝置。

螢幕擷取畫面，顯示在 Microsoft Intune 中公司擁有的工作設定檔層級套用的 Android 企業版應用程式設定。

一般

完全受控、專用和公司擁有的工作設定檔裝置

  • 工作設定檔層級) (螢幕擷取畫面： 封鎖：

    • 防止在裝置上螢幕擷取畫面或螢幕擷取畫面。
    • 防止在沒有安全視訊輸出的顯示裝置上顯示內容。
    • 防止應用程式使用系統螢幕擷取畫面功能。
    • 影響螢幕畫面分享。

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會讓使用者將畫面內容擷取為影像。

  • 相機 (工作設定檔層級) ： 封鎖則可 防止存取裝置上的相機。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許存取相機。

    Intune 只會管理裝置相機的存取。 它無法存取圖片或影片。

  • 工作設定檔層級) (預設權限原則 ：此設定會定義要求執行階段權限的預設權限原則。 您的選項

    • 裝置預設 (預設) ：使用裝置的預設設定。
    • 提示： 系統會提示使用者核准權限。
    • 自動授與：系統會自動授與權限。
    • 自動拒絕：系統會自動拒絕權限。

  • 日期和時間變更： 封鎖可 防止使用者手動設定日期和時間。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會允許使用者在裝置上設定日期和時間。

  • 漫遊數據服務： [封鎖] 會 防止資料透過行動電話通訊網路漫遊。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，當裝置在行動電話通訊網路上時，OS 可能會允許資料漫遊。

  • Wi-Fi 存取點設定： 選取 [封鎖] 可防止使用者建立或變更任何 Wi-Fi 設定。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者變更裝置上的 Wi-Fi 設定。

  • 藍牙設定： 封鎖可 防止使用者在裝置上設定藍牙。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能允許在裝置上使用藍牙。

  • 繫連和存取熱點： 封鎖 可防止繫連和存取可攜式熱點。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許繫連和存取可攜式熱點。

  • USB 檔案傳輸： 封鎖可 防止透過 USB 傳輸檔案。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許傳輸檔案。

    提示

    Intune 設定目錄 >USB 存取設定具有更多您可以設定和管理的選項。 若要深入了解，請參閱 Android Intune 設定目錄設定清單。

  • 外部媒體： [封鎖] 可 防止在裝置上使用或連線任何外部媒體。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會允許裝置上的外部媒體。

  • 使用 NFC 傳送資料 (工作設定檔層級) ： 選取此封鎖， 可防止使用近距離無線通訊 (NFC) 技術從應用程式傳送資料。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能允許使用 NFC 在裝置之間共用資料。

  • 開發人員設定：選擇 [允許] 以讓使用者存取裝置上的開發人員設定。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會防止使用者存取裝置上的開發人員設定。

  • 麥克風調整： [封鎖] 可 防止使用者將麥克風取消靜音及調整麥克風音量。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者使用及調整裝置上麥克風的音量。

  • 恢復原廠設定保護電子郵件：選擇 [Google 帳戶] 電子郵件地址。 輸入可在抹除裝置後解除鎖定裝置的裝置系統管理員電子郵件地址。 請務必使用分號分隔電子郵件地址，例如 admin1@gmail.com;admin2@gmail.com。 這些電子郵件僅在執行非使用者恢復出廠設定時套用，例如使用 [修復] 功能表執行恢復出廠設定。

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。

    FRP) (恢復出廠設置保護有助於防止在恢復出廠設置後未經授權訪問您的設備。 如果未經您的許可重置裝置，在某些情況下，只有您輸入的電子郵件地址才能解鎖裝置。 設定 [ 原廠重設保護電子郵件] 設定時，會有不同的原廠重設保護 (FRP) 行為：

    註冊方法 設定 > 資料恢復出廠預設值 設定 > 復原/開機載入程式 Intune 抹除
    公司擁有的裝置具有工作設定檔 ( COPE) 錯誤圖示無 恢復出廠設定保護 核取圖示恢復 出廠預設值保護 錯誤圖示無 恢復出廠設定保護
    完全受控的 (COBO) 錯誤圖示無 恢復出廠設定保護 核取圖示恢復 出廠預設值保護 錯誤圖示無 恢復出廠設定保護
    專用 ( COSU) 錯誤圖示無 恢復出廠設定保護 核取圖示恢復 出廠預設值保護 錯誤圖示無 恢復出廠設定保護

    如需背景和指引，請參閱 Android 企業版 (FRP) 強制執行行為的恢復原廠設定保護。

  • 系統更新： 選擇選項以定義裝置如何處理無線更新。 您的選項

    • 裝置預設 ( 預設) ：使用裝置的預設設定。 根據預設，如果裝置已連線到 Wi-Fi、正在充電且處於閒置狀態，則作業系統會自動更新。 針對應用程式更新，作業系統也會驗證應用程式是否未在前景執行。

    • 自動：自動安裝匯報，而不需要使用者互動。 設定此原則會立即安裝任何擱置中的更新。

    • 已延後：匯報將延後 30 天。 在 30 天結束時，Android 會提示使用者安裝更新。 裝置製造商或電信業者可以防止 (免除) 重要的安全性更新延後。 豁免更新會向裝置上的使用者顯示系統通知。

    • 維護時段：在您在 Intune 中設定的每日維護時段內自動安裝更新。 每天嘗試安裝，持續 30 天，如果空間不足或電池電量不足，可能會失敗。 30 天後，Android 會提示使用者安裝。

      此設定適用於作業系統與 Play 商店應用程式更新。 任何維護時段都優先於進行中的裝置變更。

      針對專用裝置使用此選項，例如 Kiosk，因為可以更新單一應用程式專用裝置前景應用程式。

  • 系統更新的凍結期間： 選用。 當您將 [系統更新 ] 設定為 [ 自動]、[ 延後] 或 [ 維護時段] 時，請使用此設定建立凍結期間：

    • 開始日期：以 MM/DD 格式輸入開始日期，最多 90 天。 例如，輸入 11/15 以在 11 月 15 日開始凍結期間。
    • 結束日期：以 MM/DD 格式輸入結束日期，最長可達 90 天。 例如，輸入 01/15 以在 1 月 15 日結束凍結期間。

    在此凍結期間，所有傳入的系統更新和安全性修補程式都會被封鎖，包括手動檢查更新。

    當裝置的時鐘超出凍結期間時，裝置會根據您的 系統更新 設定繼續接收更新。

    若要設定多個每年週期性的凍結期間，請確保凍結期間至少相隔 60 天。

    此設定適用於：

    • Android 9.0 及更新版本

  • 位置： [封鎖] 會停用裝置上的 [位置] 設定，並防止使用者開啟它。 停用此設定時，取決於裝置位置的任何其他設定都會受到影響，包括系統管理員使用的 [尋找裝置 ] 遠端動作。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用裝置上的位置。

    此設定適用於：

    • 執行任何 Android 版本的完全受控裝置
    • 公司擁有的裝置，其工作設定檔執行 Android 10 或更舊版本

完全受控的專用裝置

  • 音量變更： [封鎖] 會防止使用者變更裝置的音量，也會將主要音量靜音。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用裝置上的音量設定。

  • 恢復出廠預設值：[封鎖] 可防止使用者使用裝置設定中的 [恢復原廠設定] 選項。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會允許使用者在裝置上使用此設定。

    如需此功能的背景和指引，請參閱 Android 企業版 (FRP) 強制執行行為的恢復原廠設定保護。

  • 狀態列： 封鎖則可 防止存取狀態列，包括通知和快速設定。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會允許使用者存取狀態列。

  • Wi-Fi 設定變更： [封鎖] 可 防止使用者變更裝置擁有者建立的 Wi-Fi 設定。 使用者可以建立自己的 Wi-Fi 設定。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者變更裝置上的 Wi-Fi 設定。

  • USB 儲存空間：選擇 [允許] 以存取裝置上的 USB 儲存空間。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會禁止存取 USB 儲存裝置。

  • 網路逃生艙：啟用可讓使用者開啟網路逃生艙功能。 如果在裝置開機時未建立網路連線，則逃生艙會要求暫時連線到網路並重新整理裝置原則。 套用原則之後，會忘記暫時網路，而裝置會繼續開機。 此功能會在下列情況下將裝置連線到網路：

    • 最後一個原則中沒有合適的網路。
    • 裝置在鎖定工作模式中開機進入應用程式。
    • 使用者無法存取裝置設定。

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會防止使用者開啟裝置上的網路逃生口功能。

  • 通知視窗：設定為 [停用] 時，裝置上不會顯示視窗通知，包括快顯通知、來電、撥出電話、系統警示和系統錯誤。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會顯示通知。

    注意事項

    如果 [通知視窗] 設定為 [停用]，則任何依賴於 [重疊] 權限的設定將無法如預期般運作。 這包括虛擬主頁按鈕、螢幕保護程式和受控主畫面上的自動登出等功能。

  • 略過首次使用提示： 啟用以隱藏 或跳過逐步完成教學課程之應用程式的建議，或在應用程式啟動時提示。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會在應用程式啟動時顯示這些建議。

完全受控和公司擁有的工作設定檔裝置

  • 尋找裝置： 允許可 讓系統管理員使用遠端動作尋找遺失或遭竊的裝置。 當設定為 [允許] 時，使用者會收到一次性通知，指出 Intune 具有位置權限。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能允許使用地理位置來尋找裝置。

完全受控和專用裝置僅限 kiosk 模式 ()

  • 電源按鈕功能表：當使用者在 kiosk 模式中按住電源按鈕時，封鎖會隱藏電源選項。 隱藏這些選項可防止使用者意外或故意將裝置關機。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，當使用者按住裝置上的電源按鈕時，系統會顯示電源選項，例如 [重新啟動] 和 [關閉電源]。

    此設定適用於：

    • Android 9.0 及更新版本

  • 系統錯誤警告：[允許] 會顯示在 kiosk 模式下的螢幕上系統警告，包括沒有回應的應用程式和系統警告。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會隱藏這些警告。 當其中一個事件發生時，系統會強制關閉應用程式。

    此設定適用於：

    • Android 9.0 及更新版本

  • 啟用系統瀏覽功能： 允許使用者在 kiosk 模式中存取裝置首頁和概觀按鈕。 選項包括：

    • 未設定 (預設) ：Intune不會變更或更新此設定。 根據預設，OS 可能會停用裝置的 [首頁] 和 [概觀] 按鈕。

    • 僅首頁按鈕：使用者可以看到並選取首頁按鈕。 他們看不到或選取概觀按鈕。

    • [首頁] 和 [概觀] 按鈕：使用者可以查看並選取 [首頁] 和 [概觀] 按鈕。

      重要事項

      註冊裝置並使用受控主畫面應用程式時，啟用 [概觀] 按鈕可讓使用者略過或略過登入和工作階段 PIN 畫面。

      如果已啟用 [ 概觀 ] 按鈕，且 [終端使用者存取裝置設定 ] 設定未設定為 [封鎖]，則使用者不需進行裝置驗證即可存取 Android 系統設定。 此行為可能允許網路變更、安全性設定變更或完整裝置重設。 因此，如果您啟用 [ 概觀 ] 按鈕，請將 [使用者存取裝置設定] 設定設為 [封鎖 ]，以防止存取 [設定] 應用程式。

    此設定適用於：

    • Android 9.0 及更新版本

  • 系統通知和資訊： 允許使用者存取裝置狀態列，並在處於 kiosk 模式時接收來自狀態列的通知。 選項包括：

    • 未設定 (預設) ：Intune不會變更或更新此設定。 根據預設，OS 可能會停用狀態列，並停用狀態列上的通知。

    • 在裝置的狀態列中顯示系統資訊：使用者可以在狀態列上看到系統資訊。 使用者無法從狀態列查看或接收通知。

    • 在裝置的狀態列中顯示系統通知和資訊：使用者可以看到系統資訊，並從狀態列接收通知。 若要查看通知，請使用 [已啟用系統瀏覽功能 ] 設定來啟用裝置首頁按鈕。

      在 Kiosk 裝置上，如果您不需要通知音效或震動，請勿啟用此設定。 如果您想要通知音效或震動，請啟用此設定。

      註冊裝置並使用受控主畫面應用程式時，啟用系統通知可讓使用者略過或略過登入和工作階段 PIN 畫面。 畫面仍會顯示，但使用者可以忽略它們，而且不需要輸入任何內容。

    此設定適用於：

    • Android 9.0 及更新版本

  • 裝置設定的使用者存取權： [封鎖] 會 防止使用者存取 [設定] 應用程式，並防止處於 kiosk 模式的其他應用程式開啟 [設定] 應用程式。 如果裝置是 Kiosk，則將此設定設 為 [封鎖]。

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會允許使用者存取 [設定]，並允許 Kiosk 模式中的應用程式開啟 [設定] 應用程式。

    此設定適用於：

    • Android 9.0 及更新版本

專用裝置

  • 尋找裝置： [封鎖] 可 防止系統管理員使用遠端動作來尋找遺失或遭竊的裝置。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能允許使用地理位置來尋找裝置。

公司擁有的工作設定檔裝置

  • 透過藍牙共用連絡人 (工作設定檔層級) ： 封鎖可 防止使用者透過藍牙與裝置共用其工作設定檔連絡人。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者透過藍牙共用其連絡人。

  • 搜尋工作連絡人並在個人檔案中顯示工作連絡人來電顯示： 在個人設定檔中， 封鎖可 防止使用者搜尋工作連絡人，以及顯示工作來電顯示資訊。

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能允許搜尋工作連絡人，並顯示工作來電顯示。

    ShowWorkContactsInPersonalProfile

  • 在工作和個人設定檔之間複製並貼上：允許可讓使用者在工作和個人設定檔之間複製並貼上資料。

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能會：

    • 防止使用者將工作設定檔中的文字貼到個人設定檔。
    • 允許使用者複製個人檔案中的文字，並貼到工作設定檔中。
    • 允許使用者複製工作設定檔中的文字，並貼到工作設定檔中。

    CrossProfileCopyPaste

  • 工作與個人設定檔之間的資料共用： 選擇是否可以在工作與個人設定檔之間共用資料。 選項包括：

    • 裝置預設值：Intune 不會變更或更新此設定。 根據預設，OS 可能會防止使用者使用個人設定檔共用工作設定檔中的資料。 個人檔案中的資料可以在工作個人檔案中共用。
    • 封鎖設定檔之間的所有共用：防止使用者在工作和個人設定檔之間共用資料。
    • 封鎖從工作共用至個人設定檔：防止使用者使用個人設定檔共用工作設定檔中的資料。 個人檔案中的資料可以與工作設定檔共用。
    • 共用沒有限制：資料可以在工作和個人檔案之間共用。

    CrossProfileDataSharing

系統安全性

  • 對應用程式進行威脅掃描： 需要 (預設) 讓 Google Play 安全防護在應用程式安裝前後對其進行掃描。 如果偵測到威脅，可能會警告使用者從裝置中移除該應用程式。 當設定為 [未設定] 時，Intune 不會變更或更新此設定。 根據預設，作業系統可能不會啟用或執行 Google Play 安全防護來掃描應用程式。

  • 通用準則模式： [需要 ] 可啟用一組提升的安全性標準，最常用於高度敏感性的組織，例如政府機構。 這些設定包括但不限於：

    • 藍牙長期金鑰的 AES-GCM 加密
    • Wi-Fi 設定存放區
    • 封鎖開機載入器下載模式，這是軟體更新的手動方法
    • 強制要求在金鑰刪除時將額外的金鑰清零
    • 防止未經驗證的藍牙連線
    • 要求 FOTA 更新具有 2048 位元 RSA-PSS 簽章

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。

    深入了解通用準則：

裝置體驗

使用這些設定可在專用或完全受管理的裝置上設定 kiosk 樣式的體驗，或在完全受管理的裝置上自訂主畫面體驗。 如果您不確定要設定哪種體驗，為 Android 企業版公司擁有的裝置選取主畫面體驗 部落格會有所幫助。

裝置體驗類型： 選取裝置體驗類型以開始在您的裝置上設定 Microsoft Launcher 或 Microsoft 受控主畫面。 選項包括：

  • 未設定：Intune 不會變更或更新此設定。 根據預設，使用者可能會看到裝置的預設主畫面體驗。

  • kiosk 模式 (專用且完全受管理的) ：在專用且完全受管理的裝置上設定 kiosk 樣式的體驗。 您可以將裝置設定為執行一個應用程式，或執行多個應用程式。 當裝置設定為 kiosk 模式時，只有您新增的應用程式可供使用。 在設定這些設定之前，請務必在裝置上 新增並 指派 您想要的應用程式。

    當您使用 kiosk 模式 (單一應用程式或多應用程式) 時，根據預設，平台會停用熟悉的使用者介面和工作流程。 其中某些功能可以在 OS 9 及更高版本上重新啟用。 例如，當裝置在 kiosk 狀態下運作時，系統會變更一些行為，包括：

    • 裝置的狀態列會從檢視中移除。 系統資訊和通知對使用者隱藏。

    • 裝置瀏覽按鈕，如 [首頁] 和 [概觀] 按鈕，會停用並從檢視中移除。

    • 裝置的鎖定畫面 （如鍵盤保護裝置） 已停用。

      若要使用撥號程式 & 電話應用程式，或讓使用者在 kiosk 模式中接收推播通知，請使用完全受控和僅限 kiosk 模式> (專用裝置 已啟用系統瀏覽功能， (本文) (的 [首頁] 按鈕選項) 及系統通知和資訊設定。 這些功能可在執行 9.0 及更新版本的 Android 裝置上使用。

      在 OS 9 及更新版本上，本文中的 [裝置 密碼>停用鎖定畫面] () 設定可管理裝置的鎖定畫面行為。

    注意事項

    kiosk 模式不會防止 kiosk 應用程式啟動裝置上安裝的其他應用程式，包括裝置的 [設定 ] 應用程式。 系統管理員應確保在 kiosk 模式下啟用的所有應用程式都不會啟動使用者不應存取的其他應用程式。 並且，解除安裝裝置上不需要的任何應用程式。

    • Kiosk 模式：您的選項：

      • 未設定：Intune 不會變更或更新此設定。

      • 單一應用程式：選取此選項可執行一個應用程式。 當使用者在裝置上時，他們只能存取您選取的應用程式。 當裝置啟動時，只會啟動特定應用程式。 使用者被限制變更正在執行的應用程式。

        選取要用於 kiosk 模式的應用程式： 從清單中選取受控的 Google Play 或 Android 企業版系統應用程式。 對於單一應用程式專用和完全受管理的裝置，您選取的應用程式 必須是：

        • 已新增至 Intune。

        • 指派給針對專用或完全受管理裝置而建立的裝置群組。

          注意事項

          在完全受管理的裝置上，套用的唯一選取應用程式是受控主畫面。 所有其他應用程式都會視為必要應用程式。

      • 多應用程式：選取此選項可執行多個應用程式。 使用者可以在裝置上存取一組有限的應用程式。 當裝置啟動時，只有您新增的應用程式會啟動。 您也可以新增一些使用者可以開啟的網頁連結。 套用原則時，使用者會在主畫面上看到允許應用程式的圖示。

        如果是多應用程式專用且完全受管理的裝置，組態設定檔中不需要有受受控主畫面應用程式，但來自 Google Play 的受控主畫面應用程式必須符合下列條件：

        此外，您想要從受控主畫面啟動的任何套件都必須是：

        新增受控主畫面應用程式後，您在組態設定檔中新增的任何其他已安裝應用程式都會在受控主畫面應用程式上顯示為圖示。

        如需受管理主畫面的詳細資訊，請參閱在多應用程式 kiosk 模式下在專用和完全受管理的裝置上設定 Microsoft 受控主畫面。

        注意事項

        裝置限制原則中提供了某些受控主畫面設定。 若要檢視和使用受受控主畫面的所有可用設定，請建立受控主畫面應用程式設定原則。

        • 自訂應用程式版面配置：啟用可讓您將應用程式和資料夾放在受控主畫面上的不同位置。 當設定為 [未設定] 時，Intune 不會變更或更新此設定。 根據預設，您新增的應用程式和資料夾會以字母順序顯示在主畫面上。

          • 格線大小：選取主畫面的大小。 應用程式或資料夾在格線上佔據一個位置。

          • 主畫面：選取新增按鈕，然後從清單中選取應用程式。 選取 [資料夾] 選項以建立資料夾、輸入 資料夾名稱，並將清單中的應用程式新增至資料夾。

            當您新增項目時，選取操作功能表以移除項目，或將它們移到不同的位置：

            顯示如何將您的應用程式和資料夾移至在 Microsoft Intune 中以多應用程式模式執行的 Android 企業版專用裝置上的不同位置的螢幕擷取畫面。

        • 新增：從清單中選取您的應用程式。

          如果未列出受控主畫面應用程式，請從 Google Play 新增。 請務必將 應用程式指派 給為您的專用或完全受管理的裝置所建立的裝置群組。

          您也可以將貴組織建立的其他 Android 應用程式 和 Web 應用程式 新增至裝置。 請務必將 應用程式指派給為您的專用或完全受管理的裝置所建立的裝置群組。

          重要事項

          • 在多應用程式模式中，原則中的每個應用程式都必須是必要應用程式，而且必須指派給裝置。 如果應用程式不是必要的，或是未指派的，則裝置可以鎖定使用者，並顯示 Contact your IT admin. This phone will be erased. 訊息。
          • 在受控主畫面中新增的應用程式不會防止啟動裝置上安裝的其他應用程式。 系統管理員應確保受控主畫面中允許的所有應用程式都不會啟動使用者不應存取的其他應用程式。 並且，解除安裝裝置上不需要的任何應用程式。

        • 設定離線應用程式存取： 勾選可讓您 選取裝置連線到網路進行登入時可使用的應用程式。 使用者在因為網路問題而無法登入時，可以存取這些應用程式，並且必須在網路存取恢復後登入。 此設定需要將 MHS 登入畫面設定為啟用。

        • 設定不需登入的應用程式存取：勾選可讓您選取使用者不需登入即可從登入畫面存取的應用程式。 無論網路狀態為何，都可以透過頂端列上的進入點使用這些應用程式。 此設定需要將 MHS 登入畫面設定 為 啟用。

        • 鎖定主畫面： 啟用可 防止使用者移動應用程式圖示和資料夾。 它們已鎖定，而且無法拖放到格線上的不同位置。 當設定為 [未設定] 時，Intune 不會變更或更新此設定。 根據預設，使用者可以移動這些項目。

        • 資料夾圖示：選取受控主畫面上資料夾圖示的色彩和形狀。 選項包括：

          • 尚未設定
          • 深色佈景主題矩形
          • 深色佈景主題圓形
          • 淺色佈景主題矩形
          • 淺色佈景主題圓形

        • 應用程式和資料夾圖示大小：選取受控主畫面上資料夾圖示的大小。 選項包括：

          • 尚未設定

          • 特小

          • Small

          • 一般

          • Large

          • 非常大

            視螢幕大小而定，實際圖示大小可能會有所不同。

        • 螢幕方向：選取受控主畫面在裝置上顯示的方向。 選項包括：

          • 尚未設定
          • Portrait
          • 橫向
          • 自動旋轉

          注意事項

          Android 16 及更新版本不支援此設定，適用於具有 600 dp 且顯示設定較大的裝置 ，例如平板電腦。

        • 應用程式通知徽章：啟用 顯示應用程式圖示上新增通知和未讀取通知的數目。 當設定為 [未設定] 時，Intune 不會變更或更新此設定。

        • 虛擬首頁按鈕： 軟鍵按鈕，可讓使用者返回受控主畫面，以便使用者可以在應用程式之間切換。 選項包括：

          • 未設定 (預設) ：不會顯示首頁按鈕。 使用者必須使用 [上一步] 按鈕才能在應用程式之間切換。
          • 向上撥動： 當使用者在裝置上向上撥動時，會顯示首頁按鈕。
          • 浮動：在裝置上顯示持續浮動的首頁按鈕。

        • 離開 kiosk 模式： 啟用可 讓系統管理員暫時暫停 kiosk 模式以更新裝置。 若要使用此功能，系統管理員：

          1. 繼續選取上一步按鈕，直到顯示 [離開] kiosk 按鈕為止。
          2. 選取 [ 離開 kiosk ] 按鈕，然後輸入 離開 kiosk 模式代碼 PIN。
          3. 完成後，選取 [受控主畫面] 應用程式。 此步驟會將裝置重新鎖定為多應用程式 kiosk 模式。

          當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會防止系統管理員暫停 kiosk 模式。 如果系統管理員持續選取 [上一步] 按鈕，並選取 [ 結束 kiosk ] 按鈕，則會顯示一則訊息指出需要輸入密碼。

        • 離開 kiosk 模式代碼：輸入 4-6 位數數字 PIN。 系統管理員使用此 PIN 暫時暫停 kiosk 模式。

        • 設定自訂 URL 背景：輸入 URL 以自訂專用或完全受管理裝置上的背景畫面。 例如，輸入 http://contoso.com/backgroundimage.jpg。

          在大多數情況下，我們建議從至少下列大小的影像開始：

          • 手機： 1080x1920 px
          • 平板電腦：1920x1080 像素

          為了獲得最佳體驗和清晰的詳細資料，請根據顯示規格建立每個裝置影像資產。

          現代顯示器具有更高的像素密度，可以顯示等效的 2K/4K 清晰度圖像。

        • 設定功能表的快速鍵：停用會隱藏 [受管理的設定] 受控主畫面上的捷徑。 使用者仍可從頂端列存取 [受管理的設定 ] 功能表。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，[受管理的設定] 捷徑會顯示在裝置上。 使用者可以選取 [設定] 圖示以存取設定。

        • 快速存取偵錯功能表：此設定可控制使用者存取偵錯功能表的方式。 選項包括：

          • 啟用：使用者可以更輕鬆地存取偵錯功能表。 具體而言，他們可以從 [受管理的設定] 功能表存取它。 和往常一樣，他們可以繼續選取返回按鈕 15 次。
          • 未設定 (預設) ：Intune不會變更或更新此設定。 預設會關閉輕鬆存取偵錯功能表。 使用者必須選取返回按鈕 15 次，才能開啟偵錯功能表。

          在偵錯功能表中，使用者可以：

          • 查看並上傳受控主畫面記錄
          • 開啟 Google 的 Android 裝置原則管理員應用程式
          • 開啟 Microsoft Intune 應用程式
          • 結束 kiosk 模式

        • Wi-Fi 設定：啟用會顯示受控主畫面上的 Wi-Fi 控制項，並允許使用者將裝置連線到不同的 WiFi 網路。 啟用此功能也會開啟裝置位置。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能不會在受控主畫面上顯示 Wi-Fi 控制項。 這會防止使用者在使用受控主畫面時連線到 Wi-Fi 網路。

          • Wi-Fi 允許清單：建立有效的無線網路名稱清單，也稱為服務集識別碼 (SSID) 。 受控主畫面使用者只能連線到您輸入的 SSID。

            Wi-Fi SSID 會區分大小寫。 如果 SSID 有效，但您輸入的大小寫與網路名稱不相符，則不會顯示網路。

            如果保留空白，則 Intune 不會變更或更新此設定。 預設會允許所有可用的 Wi-Fi 網路。

            匯入 包含有效 SSID 清單的 .csv 檔案。

            將目前清單匯出至 .csv 檔案。

          • SSID：您也可以輸入受控主畫面使用者可以連線的 Wi-Fi 網路名稱 (SSID) 。 請務必輸入有效的 SSID。

          重要事項

          在 2020 年 10 月版本中，受控主畫面 API 已更新，以符合 Google Play 商店需求。 下列變更會影響受控主畫面中的 Wi-Fi 設定原則：

          • 使用者無法啟用或停用裝置上的 Wi-Fi 連線。 使用者可以在 Wi-Fi 網路之間切換，但無法開啟或關閉 Wi-Fi。

          • 如果 Wi-Fi 網路受密碼保護，則使用者必須輸入密碼。 輸入密碼後，配置的網絡會自動連接。 如果使用者中斷連線後再重新連線到 Wi-Fi 網路，則使用者可能需要再次輸入密碼。

          • 在 Android 11 裝置上，當使用者使用受控主畫面連線到網路時，系統會提示他們同意。 此提示來自 Android，並非特定於受控主畫面。

          • 在 Android 10 裝置上，當使用者使用受控主畫面連線至網路時，系統會提示使用者同意。 因此，使用者需要存取狀態列和通知才能同意。 若要啟用系統通知，請參閱本文) 中 (完全 受控和專用裝置的一般設定 。

          • 在 Android 10 裝置上，當使用者使用受控主畫面連線到受密碼保護的 Wi-Fi 網路時，系統會提示他們輸入密碼。 如果裝置連線到不穩定的網路，則 Wi-Fi 網路會變更。 即使使用者輸入正確的密碼，也會發生此行為。

        • 藍牙設定：啟用 會在受控主畫面上顯示藍牙控制項，並允許使用者透過藍牙配對裝置。 啟用此功能也會開啟裝置位置。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能不會在受控主畫面上顯示藍牙控制項。 它會防止使用者在使用受控主畫面時設定藍牙及配對裝置。

          對於執行 Android 10+ 且使用受控主畫面的裝置，若要讓藍牙配對在需要配對金鑰的裝置上成功運作，系統管理員必須啟用下列 Android 系統應用程式：

          • Android 系統藍牙
          • Android 系統設定
          • Android 系統 UI

          如需如何啟用 Android 系統應用程式的詳細資訊，請移至： 管理 Android 企業版系統應用程式

        • 手電筒存取：啟用會在受控主畫面上顯示手電筒控制項，並允許使用者開啟或關閉手電筒。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能不會在受控主畫面上顯示手電筒控制項。 它會防止使用者在使用受受控主畫面時使用手電筒。

        • 媒體音量控制：啟用 會在受控主畫面上顯示媒體音量控制，並允許使用者使用滑桿調整裝置的媒體音量。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能不會在受控主畫面上顯示媒體音量控制。 它會防止使用者在使用受控主畫面時調整裝置的媒體音量，除非他們的硬體按鈕支援。

        • 快速存取裝置資訊：啟用 允許使用者向下滑動以在受控主畫面上查看裝置資訊，例如序號、品牌和型號，以及 SDK 層級。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 預設情況下，可能不會顯示裝置資訊。

        • 螢幕保護程式模式：啟用 當裝置鎖定或逾時時，在受控主畫面上顯示螢幕保護程式。當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統可能不會在受控主畫面上顯示螢幕保護程式。

          啟用時，也可設定：

          • 設定自訂螢幕保護裝置影像：輸入自訂 PNG、JPG、JPEG、GIF、BMP、WebP 或 ICOimage 的 URL。 如果您未輸入 URL，如果有預設影像，則會使用裝置的預設影像。

            例如，輸入：

            • http://www.contoso.com/image.jpg
            • www.contoso.com/image.bmp
            • https://www.contoso.com/image.webp

            提示

            支援任何可轉換成點陣圖的檔案資源 URL。

          • 裝置在關閉畫面前顯示螢幕保護裝置的秒數：選擇裝置顯示螢幕保護裝置多久。 輸入介於 0-9999999 秒之間的值。 預設值為秒。0 當保留空白或 (0) 設定為零時，螢幕保護程式會處於使用中狀態，直到使用者與裝置互動為止。

          • 顯示螢幕保護裝置前裝置處於非使用中的秒數：選擇裝置閒置多久後才顯示螢幕保護裝置。 輸入介於 1-9999999 秒之間的值。 預設值為秒。30 您必須輸入大於零 (0) 數字。

          • 在啟動螢幕保護裝置之前偵測媒體：啟用預設 () 如果裝置上正在播放音訊或影片，則不會顯示螢幕保護裝置。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，即使音訊或視訊正在播放，OS 也可能會顯示螢幕保護裝置。

            受控主畫面會在鎖定畫面出現時啟動螢幕保護程式：

            • 如果系統的鎖定畫面逾時時間長於裝置顯示螢幕保護裝置的秒數，則螢幕保護裝置會一直顯示，直到鎖定畫面出現為止。
            • 如果系統的鎖定畫面逾時時間短於裝置處於非作用中的秒數，則螢幕保護裝置會在裝置的鎖定畫面出現時立即顯示。

        • MHS 登入畫面 (僅限專用裝置) ：啟用 會在受控主畫面上顯示登入畫面。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 此登入畫面和相關設定旨在用於註冊了 Microsoft Entra 共用裝置模式的專用裝置。

          啟用時，也可設定：

          • 設定登入畫面的自訂 URL 背景：輸入登入畫面的 URL 背景 URL。 必須啟用登入畫面才能設定此設定。
          • 設定登入畫面和工作階段釘選頁面的自訂 URL 商標標誌：輸入登入畫面和工作階段釘選頁面的 URL 商標標誌。
          • 要求使用者設定登入工作階段的 PIN：當設定為 啟用時，使用者必須為其登入工作階段設定 PIN。 當 (預設) 設定為 [ 未設定 ] 時，則使用者不需要設定 PIN。 必須啟用此設定才能顯示子設定。

            • 選擇登入工作階段 PIN 的複雜度：選取工作階段 PIN 的複雜度。 選項包括：

              • 未設定：Intune 不會變更或更新此設定。 根據預設，MHS 要求工作階段 PIN 中至少有一個字元。
              • 簡單：需要數字。 重複 (444) 或訂購 (123、321、246) 序列沒有任何限制。
              • 複雜：允許使用者建立包含英數字元字元的 PIN。 無法使用重複 (444) 或訂購 (123、321、246) 序列。

              如需此設定的詳細資訊，請參閱建立受受控主畫面應用程式設定原則時工作階段 PIN 的複雜性。

            • 如果螢幕保護裝置已出現，則要求使用者輸入工作階段 PIN：選取 [啟用] 以要求使用者輸入其工作階段 PIN，才能在螢幕保護裝置顯示後繼續使用受控主畫面。

          • 在閒置狀態後自動登出 MHS 和共用裝置模式應用程式：選取 [啟用] 以根據閒置情況自動登出受控主畫面。 必須啟用此設定才能顯示子設定。
            • 裝置自動登出之前處於非使用中的秒數：定義使用者自動從受控主畫面登出之前的閒置期間，以秒為單位。 根據預設，此值設定為 300 秒。
            • 在使用者自動登出之前給予使用者通知的秒數：定義使用者在自動從受控主畫面登出之前可以選擇繼續其工作階段的時間量（以秒為單位）。 根據預設，此值設定為 60 秒。

        注意事項

        裝置限制原則中提供了某些受控主畫面設定。 若要檢視和使用受受控主畫面的所有可用設定，請建立受控主畫面應用程式設定原則。

  • Microsoft啟動器僅限受管理) (：設定完全受管理裝置上的 Microsoft 啟動器應用程式。 此選項最適合應提供終端使用者存取裝置上所有應用程式和設定的裝置。

    • 將 Microsoft Launcher 設為預設啟動器： [啟用] 會將 Microsoft Launcher 設定為主畫面上的預設啟動器。 如果您將啟動器設為預設值，則使用者無法使用其他啟動器。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，系統不會強制將 Microsoft Launcher 設為預設啟動器。

    • 設定自訂背景圖案：在 Microsoft Launcher 應用程式中， [啟用] 可讓您將自己的影像套用為主畫面背景，並選擇使用者是否可以變更影像。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 預設情況下，裝置會保留其目前的桌布。

      • 輸入桌布影像的 URL：輸入桌布影像的 URL。 此影像顯示在裝置主畫面上。 例如，輸入 http://www.contoso.com/image.jpg。
      • 允許使用者修改桌布： 啟用 允許使用者變更桌布影像。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，使用者無法變更桌布。

    • 啟用啟動器摘要： 啟用 會開啟啟動器摘要，其中顯示行事曆、文件和最近的活動。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，不會顯示此摘要。

      • 允許使用者啟用/停用摘要： [啟用] 可 讓使用者啟用或停用啟動器摘要。 [啟用] 只會在第一次指派設定檔時強制執行此設定。 任何未來的設定檔指派都不會強制執行此設定。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，使用者無法變更啟動器摘要設定。

    • Dock 顯示：Dock 讓使用者能夠快速存取他們的應用程式和工具。 選項包括：

      • 未設定 (預設) ：Intune不會變更或更新此設定。
      • 顯示：Dock 會顯示在裝置上。
      • 隱藏：Dock 已隱藏。 使用者必須向上撥動才能存取擴充座。
      • 已停用：Dock 不會顯示在裝置上，且使用者無法顯示。

    • 允許使用者變更 Dock 顯示狀態： 啟用 允許使用者顯示或隱藏 Dock。 [啟用] 只會在第一次指派設定檔時強制執行此設定。 任何未來的設定檔指派都不會強制執行此設定。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，不允許使用者變更裝置擴充座組態。

    • 搜尋列取代：選擇搜尋列的放置位置。 選項包括：

      • 未設定 (預設) ：Intune不會變更或更新此設定。
      • 頂端： 搜尋列會顯示在裝置頂端。
      • 底部：搜尋列會顯示在裝置底部。
      • 隱藏：搜尋列已隱藏。

裝置密碼

完全受控、專用和公司擁有的工作設定檔裝置

  • 所需密碼類型：輸入所需的密碼複雜程度，以及是否可以使用生物特徵辨識裝置。 選項包括：

    • 裝置預設 (預設) ：設為 [裝置預設值] 時，大部分裝置都不需要密碼。 如果您想要要求使用者在其裝置上設定密碼，請將此設定設定為比 裝置預設值更安全的設定。

    • 需要密碼，沒有限制

    • 弱式生物識別技術：強式 生物識別技術與弱式生物識別技術 (開啟 Android 網站)

    • 數值：密碼只能是數字，例如 123456789。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 數字複數：不允許使用重複或連續的數字，例如 1111 或 1234。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 按字母：字母表中的字母為必要項目。 數字和符號不是必要的。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 英數字元： 包含大寫字母、小寫字母和數字字元。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 英數字元含符號： 包含大寫字母、小寫字母、數字字元、標點符號和符號。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。
      • 所需字元數：輸入密碼必須具備的字元數，介於 0 到 16 個字元之間。
      • 所需的小寫字元數：輸入密碼必須具有的小寫字元數，介於 0 到 16 個字元之間。
      • 所需的大寫字元數：輸入密碼必須的大寫字元數，介於 0 到 16 個字元之間。
      • 所需的非字母字元數：輸入密碼必須) 的字母表中非字母 (字母以外的任何字元數，介於 0 到 16 個字元之間。
      • 所需的數字字元數：輸入密碼必須具備的數字字元數 (1、 、 23等) ，介於 0 到 16 個字元之間。
      • 所需的符號字元數：輸入密碼必須具備的符號字元數 (&、 、 #%等) ，介於 0 到 16 個字元之間。

  • 密碼到期前的天數：輸入必須變更裝置密碼前的天數，範圍為 1-365。 例如，輸入 90 密碼會在 90 天後失效。 當密碼到期時，系統會提示使用者建立新密碼。 值空白時，Intune 不會變更或更新此設定。

  • 使用者可以重複使用密碼之前所需的密碼數量：使用此設定可限制使用者建立先前使用的密碼。 輸入先前使用過但無法使用的密碼數目，範圍從 1 到 24。 例如，輸入 5 ，讓使用者無法將新密碼設定為目前密碼或先前四個密碼中的任何一個。 值空白時，Intune 不會變更或更新此設定。

  • 抹除裝置前登入失敗次數：輸入抹除裝置前允許的錯誤密碼數目，從 4 到 11。 值空白時，Intune 不會變更或更新此設定。

    注意事項

    • 完全受控和公司擁有的工作設定檔裝置上的使用者不會提示使用者設定密碼。 設定是必要的，但可能不會通知使用者。 使用者需要手動設定密碼。 在使用者設定符合您需求的密碼之前，原則會報告為失敗。

      若要在裝置註冊期間套用裝置密碼設定，請將裝置限制設定檔指派給使用者， (不 ) 篩選。 不要將設定檔指派給裝置。 註冊期間，系統會要求使用者設定螢幕鎖定。 然後，他們必須選擇符合此裝置限制設定檔中所有需求的裝置密碼。

    • 在專用裝置上，如果裝置設定為單一或多應用程式 kiosk 模式，則系統會提示使用者設定密碼。 螢幕會強制並引導使用者在繼續使用裝置之前建立符合規範的密碼。

    • 在未使用 kiosk 模式的專用裝置上，使用者不會收到任何密碼要求的通知。 使用者需要手動設定密碼。 在使用者設定符合您需求的密碼之前，原則會報告為失敗。

  • 停用鎖定畫面功能：當裝置鎖定時，選擇無法使用的功能。 例如，選取 [ 安全相機 ] 時，裝置上的相機功能會停用。 任何未檢查的功能都會在裝置上啟用。

    當裝置鎖定時，使用者可以使用這些功能。 使用者不會看到或存取您檢查的功能。

    • 在公司擁有的工作設定檔裝置上，只能停用未 編輯的通知、 信任代理程式和 指紋解除鎖定 。
    • 如果使用者關閉其裝置上的 [ 使用單一鎖定 ] 設定，則停用 指紋解除鎖定 和停用 信任代理程式 會套用至公司擁有的工作設定檔層級。 如果使用者開啟 [使用單一鎖定 ] 設定，則停用 指紋解除鎖定 和停用 信任代理程式 會在裝置層級套用。

  • 必要的解除鎖定頻率： 強式驗證是指使用者使用密碼、PIN 或圖案解除鎖定裝置。 非強式驗證方法是當使用者使用某些生物特徵辨識選項 （例如指紋或臉部掃描） 解除鎖定裝置時。

    選取使用者需要多久的時間才能使用強式驗證方法解除鎖定裝置。 選項包括：

    • 裝置預設 (預設) ：螢幕會使用裝置的預設時間鎖定。
    • 自上次 PIN、密碼或圖樣解除鎖定後 24 小時： 螢幕會在使用者上次使用強式驗證方法解除鎖定裝置的 24 小時後鎖定。 達到逾時時，將停用非強式驗證方法，直到使用強式驗證解除鎖定裝置為止。

    2.3.4 進階密碼管理：強式驗證 需要逾時 (開啟 Android 網站)

完全受控的專用裝置

  • 停用鎖定畫面： 停用會 封鎖所有 Keyguard 鎖定畫面功能的使用。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，當裝置處於鎖定畫面時，OS 可能會允許所有 Keyguard 功能，例如相機、指紋解除鎖定等等。

電源設定

完全受控、專用和公司擁有的工作設定檔裝置

  • 鎖定畫面 (工作設定檔層級) 的時間 ： 輸入使用者在裝置鎖定前可設定的時間上限。 例如，如果您將此設定設為 10 minutes，則使用者可以將時間從 15 秒設定為 10 分鐘。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。

完全受控的專用裝置

  • 裝置接上電源時螢幕開啟： 選擇哪些電源會導致裝置螢幕在接上電源時保持開啟。

使用者和帳戶

完全受控、專用和公司擁有的工作設定檔裝置

  • 新增使用者： 封鎖可 防止使用者新增使用者。 每個使用者在裝置上都有個人空間，用於自訂主畫面、帳戶、應用程式和設定。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者將其他使用者新增至裝置。
  • 使用者可以設定工作設定檔層級) (認證 ： [封鎖] 可 防止使用者設定指派給裝置的憑證，即使是未與使用者帳戶相關聯的裝置也一樣。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 預設情況下，OS 可能會讓使用者在金鑰存放區中存取認證時設定或變更認證。

完全受控的專用裝置

  • 使用者移除： 封鎖可 防止使用者移除使用者。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者從裝置中移除其他使用者。
  • 個人 Google 帳戶： [封鎖] 可 防止使用者將其個人 Google 帳戶新增至裝置。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會允許使用者新增其個人 Google 帳戶。

專用裝置

  • 帳戶變更： 封鎖可 防止使用者在 kiosk 模式中更新或變更帳戶。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者更新裝置上的使用者帳戶。

應用程式

完全受控、專用和公司擁有的工作設定檔裝置

注意事項

如果要啟用側載，請將 允許來自未知來源的安裝 和 允許存取 Google Play 商店中所有應用程式 設定設為 允許。

  • 允許來自未知來源的安裝： [允許] 可 讓使用者開啟 未知來源。 此設定允許從未知來源安裝應用程式，包括 Google Play 商店以外的來源。 它允許用戶使用 Google Play 商店以外的方式在設備上側載應用程序。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會防止使用者開啟 未知來源。

  • 應用程式自動更新 (工作設定檔層級) ： 裝置每天檢查應用程式更新。 選擇安裝自動更新的時機。 選項包括：

    • 未設定：Intune 不會變更或更新此設定。
    • 使用者選擇：作業系統可能預設為此選項。 使用者可以在受管理的 Google Play 應用程式中設定其喜好設定。
    • 永不：永遠不會安裝匯報。 不建議使用此選項。
    • 僅限 Wi-Fi：只有在裝置連線到 Wi-Fi 網路時才會安裝匯報。
    • 一律： 有可用時即會安裝匯報。

  • 允許存取 Google Play 商店中的所有應用程式：

    • 當設定為 封鎖時：

      • 使用者無法存取 Google Play 商店中的應用程式。 他們無法存取新增至貴組織受管理的 Google Play 帳戶的任何私人應用程式。
      • 僅顯示受控 Google Play 商店中已核准的應用程式、必要的應用程式，以及指派給使用者的應用程式。
      • 解除安裝在受管理的 Google Play 商店以外安裝的應用程式。

      警告

      如果您將此設定從 [允許 ] 變更為 [封鎖]，則任何未標示為 [必要 ] 或 [可用 ] 的應用程式都會自動從裝置上解除安裝。

    • 當設為 [允許] 時：

      • 使用者可以存取 Google Play 商店中的所有應用程式，以及新增至貴組織受管理的 Google Play 帳戶的任何私人應用程式。
      • 請確定您鎖定任何應用程式 (私人或公用) ，且其解除安裝意圖不應被找到，或是由使用者從受管理的 Google Play 商店安裝的應用程式。
      • 使用者無法使用已新增到封鎖清單的應用程式， (在具有工作設定檔的公司擁有裝置的個人設定檔上指派解除安裝意圖) 應用程式。

      如需從特定應用程式排除使用者和群組的詳細資訊，請移至 包含和排除應用程式指派。

    • 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，作業系統：

      • 僅顯示受控 Google Play 商店中已核准的應用程式、必要的應用程式，以及指派給使用者的應用程式。

  • 下列設定是 Google 委派範圍功能的一部分：

    • 允許其他應用程式安裝和管理憑證：選取 [ 新增 ] 以為此權限選取現有的應用程式。 您可以新增多個應用程式。 選取的應用程式會獲授與安裝和管理憑證的存取權。

      若要使用此設定，受管理的 Google Play 應用程式必須使用委派範圍。 如需詳細資訊，請移至 Android 的內建應用程式設定 和 Android 委派範圍 ， (開啟 Android 網站) 。

    • 允許此應用程式存取 Android 安全性記錄： 選取應具有此權限的應用程式。 您只能選取一個應用程式。 應用程式會獲授與安全性記錄的存取權。

      若要使用此設定，受管理的 Google Play 應用程式必須使用委派範圍。 如需詳細資訊，請移至 Android 的內建應用程式設定 和 Android 委派範圍 ， (開啟 Android 網站) 。

    • 允許此應用程式存取 Android 網路活動記錄： 選取應該具有此權限的應用程式。 您只能選取一個應用程式。 應用程式會獲授與網路活動記錄的存取權。

      若要使用此設定，受管理的 Google Play 應用程式必須使用委派範圍。 如需詳細資訊，請移至 Android 的內建應用程式設定 和 Android 委派範圍 ， (開啟 Android 網站) 。

    提示

    如果與其中一個設定衝突，則衝突會套用至所有三個設定。 請確定您授予一個應用程式的 [允許此應用程式存取 Android 安全性記錄 ] 和 [允許此應用程式存取 Android 網路活動記錄 ] 權限。 您可以將這些權限授予相同的應用程式，但不能授予不同的應用程式。

    如需詳細資訊，請移至 Android 管理 API - DelegatedScope (開啟 Google 網站) 。

專用裝置

  • 清除未針對共用裝置模式最佳化的應用程式中的本機資料：將未針對共用裝置模式最佳化的任何應用程式新增至清單。 每當使用者登出針對共用裝置模式最佳化的應用程式時，就會清除該應用程式的本機資料。 適用於已註冊執行 Android 9 及更新版本之共用模式的專用裝置。

    使用此設定時，使用者無法從未最佳化的應用程式啟動登出，也不會取得單一登出。

    • 使用者必須登出針對共用裝置模式最佳化的應用程式。 針對 Android 上的共用裝置模式最佳化的 Microsoft 應用程式包括 Teams 和 Intune 的受控主畫面。
    • 對於未針對共用裝置模式最佳化的應用程式，刪除應用程式資料僅會延伸至本機應用程式儲存空間。 資料可以留在裝置的其他區域。 使用者識別成品（例如電子郵件地址和使用者名稱）可能會留在應用程式中，且其他人可以看到。
    • 提供多個帳戶支援的未最佳化應用程式可能會表現出不確定的行為，因此不建議使用。

    所有未最佳化的應用程式在共用裝置上的多使用者案例中使用之前，都應該經過徹底測試，以確保它們能如預期般運作。 例如，驗證每個應用程式中的核心案例、驗證應用程式是否正確登出，以及所有資料都已充分清除以滿足組織的需求。

連線能力

完全受控、專用和公司擁有的工作設定檔裝置

  • Always-on VPN (工作設定檔層級) ： 啟用 設定 VPN 用戶端自動連線並重新連線至 VPN。 永遠開啟的 VPN 連線會保持連線。 或者，當使用者鎖定其裝置、裝置重新啟動或無線網路發生變更時，請立即連線。

    選擇 [ 未設定 ] 以停用所有 VPN 用戶端的永遠開啟 VPN。

    重要事項

    請務必只將一個永遠在線 VPN 原則部署到單一裝置。 不支援將多個 Always-On VPN 原則部署到單一裝置。

  • VPN 用戶端：選擇支援 Always On 的 VPN 用戶端。 選項包括：

    • Cisco AnyConnect
    • F5 存取
    • Palo Alto Networks GlobalProtect
    • Pulse Secure
    • 自訂
      • 套件 ID：在 Google Play 商店中輸入應用程式的套件 ID。 例如，如果應用程式在 Play 商店的 URL 為 https://play.google.com/store/details?id=com.contosovpn.android.prod，則套件識別碼為 com.contosovpn.android.prod。

    您選擇的 VPN 用戶端必須安裝在裝置上，而且必須支援公司擁有的工作設定檔中的每個應用程式 VPN。 否則會發生錯誤。

    • 您必須在受管理的 Google Play 商店中核准 VPN 用戶端應用程式、將應用程式同步至 Intune，以及將應用程式部署到裝置。 完成這些步驟之後，應用程式就會安裝在使用者的公司擁有的工作設定檔中。
    • 您仍然需要使用 VPN 設定檔或透過 應用程式設定檔來設定 VPN 用戶端。
    • 搭配 Android 3.0.4 版 F5 Access 使用個別應用程式 VPN 時，可能會有已知問題。 如需詳細資訊，請參閱 F5 的 F5 Access for Android 3.0.4 版本資訊。

  • 鎖定模式： 啟用會強制 所有網路流量使用 VPN 通道。 如果未建立與 VPN 的連線，則裝置將無法存取網路。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會允許流量通過 VPN 通道或行動網路。

完全受控的專用裝置

  • 建議的全域 Proxy： 啟用會 將全域 Proxy 新增至裝置。 啟用時，HTTP 和 HTTPS 流量會使用您輸入的 Proxy，包括裝置上的某些應用程式。 此代理僅供參考。 某些應用程式可能不會使用 Proxy。 未設定 (預設) 不會新增建議的全域 Proxy。

    如需有關此功能的詳細資訊，請參閱 setRecommendedGlobalProxy (開啟 Android 網站) 。

    啟用時，還要輸入 Proxy 的類型 。 選項包括：

    • 直接：手動輸入 Proxy 伺服器詳細資料，包括：

      • 主機：輸入您的 Proxy 伺服器的主機名稱或 IP 位址。 例如，輸入 proxy.contoso.com 或 127.0.0.1。
      • 連接埠號碼：輸入 Proxy 伺服器所使用的 TCP 連接埠號碼。 例如，輸入 8080。
      • 排除的主機：輸入不會使用 Proxy 的主機名稱或 IP 位址清單。 此清單可以包含星號 (*) 萬用字元，以及以分號分隔 (;) 無空格的多重主機。 例如，輸入 127.0.0.1;web.contoso.com;*.microsoft.com。

    • Proxy 自動設定：輸入 Proxy 自動設定指令碼的 PAC URL 。 例如，輸入 https://proxy.contoso.com/proxy.pac。

      如需有關 PAC 檔案的詳細資訊，請參閱 Proxy 自動設定 (PAC) 檔案 (開啟非Microsoft網站) 。

    如需有關此功能的詳細資訊，請參閱 setRecommendedGlobalProxy (開啟 Android 網站) 。

工作設定檔密碼

這些設定適用於公司擁有的工作設定檔。

  • 所需密碼類型：輸入所需的密碼複雜程度，以及是否可以使用生物特徵辨識裝置。 選項包括：

    • 裝置預設值

    • 需要密碼，沒有限制

    • 弱式生物識別技術：強式 生物識別技術與弱式生物識別技術 (開啟 Android 網站)

    • 數值：密碼只能是數字，例如 123456789。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 數字複數：不允許使用重複或連續的數字，例如 1111 或 1234。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 按字母：字母表中的字母為必要項目。 數字和符號不是必要的。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 英數字元： 包含大寫字母、小寫字母和數字字元。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。

    • 英數字元含符號： 包含大寫字母、小寫字母、數字字元、標點符號和符號。 另請輸入：

      • 密碼長度下限：輸入密碼必須具備的長度下限，介於 4 到 16 個字元之間。
      • 所需字元數：輸入密碼必須具備的字元數，介於 0 到 16 個字元之間。
      • 所需的小寫字元數：輸入密碼必須具有的小寫字元數，介於 0 到 16 個字元之間。
      • 所需的大寫字元數：輸入密碼必須的大寫字元數，介於 0 到 16 個字元之間。
      • 所需的非字母字元數：輸入密碼必須) 的字母表中非字母 (字母以外的任何字元數，介於 0 到 16 個字元之間。
      • 所需的數字字元數：輸入密碼必須具備的數字字元數 (1、 、 23等) ，介於 0 到 16 個字元之間。
      • 所需的符號字元數：輸入密碼必須具備的符號字元數 (&、 、 #%等) ，介於 0 到 16 個字元之間。

  • 密碼到期前的天數：輸入必須變更裝置密碼前的天數，範圍為 1-365。 例如，輸入 90 密碼會在 90 天後失效。 當密碼到期時，系統會提示使用者建立新密碼。 值空白時，Intune 不會變更或更新此設定。

  • 使用者可以重複使用密碼之前所需的密碼數量：使用此設定可限制使用者建立先前使用的密碼。 輸入先前使用過但無法使用的密碼數目，範圍從 1 到 24。 例如，輸入 5 ，讓使用者無法將新密碼設定為目前密碼或先前四個密碼中的任何一個。 值空白時，Intune 不會變更或更新此設定。

  • 抹除裝置前登入失敗次數：輸入抹除裝置前允許的錯誤密碼數目，從 4 到 11。 0 (零) 可能會停用裝置抹除功能。 值空白時，Intune 不會變更或更新此設定。

    注意事項

    完全受控、專用和公司擁有的工作設定檔裝置不會提示您設定密碼。 設定是必要的，但可能不會通知使用者。 使用者需要手動設定密碼。 在使用者設定符合您需求的密碼之前，原則會報告為失敗。

  • 必要的解除鎖定頻率： 強式驗證是指使用者使用密碼、PIN 或圖案解除鎖定工作設定檔。 非強式驗證方法是指使用者使用一些生物特徵辨識選項，例如指紋或臉部掃描，解除鎖定工作設定檔。

    選取使用者需要多久的時間才能使用強式驗證方法解除鎖定工作設定檔。 選項包括：

    • 裝置預設 (預設) ：螢幕會使用裝置的預設時間鎖定。
    • 自上次 PIN、密碼或圖案解除鎖定後 24 小時：畫面會在使用者上次使用強式驗證方法解除鎖定工作設定檔的 24 小時後鎖定。 達到逾時時，會停用非強式驗證方法，直到使用強式驗證解除鎖定工作設定檔為止。

    2.3.4 進階密碼管理：強式驗證 需要逾時 (開啟 Android 網站)

個人檔案

  • 相機： [封鎖] 可 避免在個人使用時存取相機。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許在個人檔案中使用相機。

  • 螢幕擷取畫面： 封鎖：

    • 防止在個人使用期間擷取螢幕畫面
    • 防止應用程式使用系統螢幕擷取畫面功能。
    • 影響螢幕畫面分享。

    當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能允許使用者在個人檔案中取得螢幕擷取畫面或螢幕擷取畫面。

  • 允許使用者在個人檔案中啟用來自未知來源的應用程式安裝：選取 [允許 ]，讓使用者可以在個人檔案中安裝來自未知來源的應用程式。 它允許用戶安裝來自 Google Play 商店以外來源的應用程式。 當設為 [未設定] (預設) 時，Intune不會變更或更新此設定。 根據預設，OS 可能會防止使用者在個人檔案中安裝來自未知來源的應用程式。

  • 受限制的應用程式類型清單：選取 [允許應用程式] 以建立受管理的 Google Play 應用程式清單，這些應用程式已允許並核准在裝置上的個人設定檔中安裝及執行。 選取 [封鎖的應用程式] ，以建立禁止且防止在裝置上的個人設定檔中安裝及執行的受管理 Google Play 應用程式清單。 當設定為 [未設定] (預設) 時，Intune不會包含要允許或封鎖的應用程式清單。

自訂支援資訊

使用這些設定，您可以自訂向使用者顯示的一些支援訊息，並以不同的語言顯示這些訊息。

根據預設，會顯示 OEM 預設訊息。 當您使用 Intune 部署自訂訊息時，也會部署 Intune 預設訊息。 如果您未輸入裝置預設語言的自訂訊息，則會自動顯示 Intune 預設訊息。

根據預設，Intune預設訊息會以英文 (美國) 顯示。

例如，您部署英文與法文的自訂郵件。 使用者將裝置的預設語言變更為西班牙文。 由於您未將自訂訊息部署到西班牙文，因此會顯示 Intune 預設訊息。

Intune預設訊息會在 Intune 系統管理中心 ([設定>語言 + 地區]) 中針對所有語言進行翻譯。 語言設定值決定 Intune 使用的預設語言。 根據預設，語言會設定為 英文。

您可以設定下列設定：

  • 簡短的支援訊息： 當使用者嘗試變更由組織管理的設定時，會顯示一條簡短訊息。

    使用下列設定，您可以自訂此訊息，並為不同的語言輸入不同的訊息。 根據預設，此訊息是英文 (美國) 。

    • 全部，指定時除外：此訊息是 Intune 預設訊息，並針對所有語言顯示。 如果您未輸入自訂訊息，則會自動顯示此文字。 此文字也會自動翻譯成裝置的預設語言。

      您可以變更此訊息。 任何變更都不會翻譯。 如果您刪除此訊息中的所有文字，並將此設定保留空白，則會使用並翻譯下列原始簡短的 Intune 預設訊息：

      You do not have permission for this action. For more information, contact your IT admin.

    • 選取地區設定： 選取地區設定或地區，以針對該特定地區設定顯示不同的自訂訊息。

      例如，若要在使用 西班牙文 做為預設語言的裝置上顯示自訂訊息，請選取 [西班牙文] ([西班牙) ]。 只有使用 西班牙文 () 預設 語言的裝置才能看到您的自訂訊息。 除非 有指定的 訊息文字，否則所有其他語言都會看到全部。

      您可以新增多個地區設定和訊息。

    • 訊息：輸入您要顯示的文字，最多 200 個字元。 您輸入的文字不會翻譯成裝置的預設語言。 因此，如果您想要以西班牙文顯示訊息，請以西班牙文輸入文字。

  • 長支援訊息： 在裝置上的 [設定>安全性>] 中，裝置管理應用程式>[裝置原則] 中，會顯示長支援訊息。

    使用下列設定，您可以自訂此訊息，並為不同的語言輸入不同的訊息。 根據預設，此訊息是英文 (美國) 。

    • 全部，指定時除外：此訊息是 Intune 預設訊息，並針對所有語言顯示。 如果您未輸入自訂訊息，則系統會自動顯示此文字，並自動翻譯為裝置的預設語言。

      您可以變更此訊息。 任何變更都不會翻譯。 如果您刪除此訊息中的所有文字，並將此設定保留空白，則會使用並翻譯以下原始長 Intune 預設訊息：

      The organization's IT admin can monitor and manage apps and data associated with this device, including settings, permissions, corporate access, network activity and the device's location information.

    • 選取地區設定： 選取地區設定或地區，以針對該特定地區設定顯示不同的自訂訊息。

      例如，若要在使用 西班牙文 做為預設語言的裝置上顯示自訂訊息，請選取 [西班牙文] ([西班牙) ]。 只有使用 西班牙文 () 預設 語言的裝置才能看到您的自訂訊息。 除非 有指定的 訊息文字，否則所有其他語言都會看到全部。

      您可以新增多個地區設定和訊息。

    • 訊息：輸入您要顯示的文字，最多 4096 個字元。 您輸入的文字不會翻譯成裝置的預設語言。 因此，如果您想要以西班牙文顯示訊息，請以西班牙文輸入文字。

  • 鎖定畫面訊息：輸入您要在裝置鎖定畫面上顯示的文字。

    使用下列設定，您可以自訂此訊息，並為不同的語言輸入不同的訊息。 根據預設，此訊息是英文 (美國) 。

    • 全部，指定時除外：輸入您要針對所有語言顯示的文字，最多 4096 個字元。 此文字會自動翻譯成裝置的預設語言。 如果您未輸入自訂訊息，則 Intune 不會變更或更新此設定。 根據預設，OS 可能不會顯示鎖定畫面訊息。

    • 選取地區設定： 選取地區設定或地區，以針對該特定地區設定顯示不同的自訂訊息。

      例如，若要在使用 西班牙文 做為預設語言的裝置上顯示自訂訊息，請選取 [西班牙文] ([西班牙) ]。 只有使用 西班牙文 () 預設 語言的裝置才能看到您的自訂訊息。 除非 有指定的 訊息文字，否則所有其他語言都會看到全部。

      您可以新增多個地區設定和訊息。

    • 訊息：輸入您要顯示的文字，最多 4096 個字元。 您輸入的文字不會翻譯成裝置的預設語言。 因此，如果您想要以西班牙文顯示訊息，請以西班牙文輸入文字。

    設定 鎖定畫面訊息時，您也可以使用下列裝置權杖來顯示裝置特定資訊：

    • {{AADDeviceId}}：Microsoft Entra 裝置識別碼
    • {{AccountId}}：Intune 租用戶識別碼或帳戶識別碼
    • {{DeviceId}}：Intune 裝置識別碼
    • {{DeviceName}}：Intune 裝置名稱
    • {{domain}}：網域名稱
    • {{EASID}}：Exchange Active Sync ID
    • {{IMEI}}：裝置的 IMEI
    • {{mail}}：使用者的 Email 位址
    • {{MEID}}：裝置的 MEID
    • {{partialUPN}}： @ 符號前面的 UPN 前綴
    • {{SerialNumber}}：裝置序號
    • {{SerialNumberLast4Digits}}：裝置序號的末四位數
    • {{UserId}}：Intune 使用者識別碼
    • {{UserName}}：使用者名稱
    • {{userPrincipalName}}：使用者的 UPN

    注意事項

    變數不會在 UI 中驗證，而且會區分大小寫。 因此，您可以看到以不正確的輸入儲存的設定檔。 例如，如果您輸入 {{DeviceID}}，而非 {{deviceid}}{{DEVICEID}}或 ，則會顯示常值字串，而非裝置的唯一識別碼。 請務必輸入正確的資訊。 支援所有小寫或全部大寫變數，但不能混合使用。

  • Last updated on