网站搜索

如何在 Intune 中保护个人设备免受远程清除

如果你的工作环境支持自带设备 (BYOD)，总会存在一些关键风险。为了减轻这种风险，IT 组织会部署 Intune。政策配置错误或管理员操作失误可能导致个人智能手机或平板电脑被完全恢复出厂设置，从而造成严重的数据丢失。在本文中，我们将了解如何在 Intune 中保护个人设备免受远程擦除。

在 Intune 中保护个人设备免于远程擦除

远程擦除是 Intune 中的一项安全功能，允许管理员将设备重置为原始设置，清除所有数据。这通常发生在设备丢失、被盗或员工离职时。然而，当个人设备注册为完整移动设备管理（MDM）时，也存在风险。在这种情况下，Intune 会将该设备视为公司拥有。这允许 IT 部门发出擦除命令，删除企业数据和个人数据，例如照片、联系人和应用程序。较旧的注册方式常常使得无法明确区分设备是个人的还是公司拥有的，从而引发对个人隐私的担忧。

使用用户注册来管理 Apple 设备

Apple的用户注册在iOS/iPadOS设备上创建了企业数据与个人数据之间的加密隔离。如果Intune在此配置下发出清除命令，它只会移除已管理的企业分区（工作应用、VPN配置文件和已管理的数据），而不会影响个人照片、iMessage对话和个人应用。

要在 Intune 中保护您的个人设备免受远程擦除，请按照以下步骤操作。

  1. 在Intune 管理中心，转到设备 > 注册设备 > 注册设备平台限制。
  2. 选择MacOS 限制（或 iOS）。
  3. 选择您的限制策略。
  4. 将平台设置设为允许用户注册个人拥有的设备。
  5. 确保用户在注册时安装公司门户应用并选择此设备归我所有，然后选择我只需要工作或学校应用，以触发用户注册，而不是完整的 MDM。

这样，你可以防止用户意外清除你的环境。

在不注册的情况下实施移动应用管理 (MAM)

为了防止远程清除设备，请完全避免将其注册。相反，应使用移动应用管理 (MAM)策略，也称为应用保护策略 (APP)。这些策略允许 IT 部门管理特定 Microsoft 应用（如 Outlook 和 Teams）中的数据，而不控制整个设备。如果用户离开公司，IT 可以进行选择性清除，仅移除受管理应用中的企业数据，而不会影响手机上的其他内容。

您需要按照下面提到的步骤来进行同样的操作。

  • 在 Intune 中，转到应用 > 应用保护策略。
  • 为 Android 或 iOS/iPadOS 创建新策略。
  • 配置设置以定义用户如何访问公司数据（例如，使用 Outlook 时需要 PIN）。
  • 在 Azure AD 中设置条件访问策略，要求使用已批准的客户端应用，但不要求设备合规性。

这允许用户通过 MAM 访问电子邮件，而无需将设备注册到 Intune。

通过合规策略配置擦除保护

许多意外抹除发生的原因是设备不再符合规定（例如，用户延迟更新操作系统），而管理员已将注销/抹除操作配置为自动修复步骤。通过将默认操作更改为注销（这会移除管理但不删除个人数据）或发送通知，可以消除自动恢复出厂设置的风险。我们建议您按照下面提到的步骤执行相同操作。

  • 导航到 设备 > 合规性策略。
  • 选择分配给您个人设备的合规策略。
  • 滚动到不合规的操作。
  • 确保默认操作设置为标记设备为不合规或向用户发送电子邮件。
  • 如果必须添加退休操作，请设置较长的宽限期（例如，14天），并确保在个人设备策略中从未选择清除操作。

在进行这些更改后，任何加入此策略的设备都将采用此新的保留策略。

启用设备筛选以进行选择性操作

与其将清除操作应用于所有设备，不如使用设备筛选器仅针对企业拥有的设备（例如，带有企业标识符或 DEP/ABM 的设备）。这可以创建一个安全网，防止管理员在批量操作中意外选择个人设备并发出恢复出厂设置命令。

在 Intune 中，前往租户管理 > 筛选器。现在，创建一个名为 仅企业设备 的新筛选器，规则为：(device.deviceOwnership -eq “Corporate”)。在创建任何自动合规操作或在管理控制台执行批量操作时，应用此筛选器。默认情况下，确保批量操作和自动化脚本排除 个人 所有权类别，以确保个人设备不会在破坏性操作中被误包括。

就这样！

Intune可以清除我的个人设备吗？

是的，但仅当设备作为公司拥有的设备注册到完整的移动设备管理（MDM）时才行。如果你作为个人拥有的设备正确注册，使用用户注册（iOS）或工作配置文件（Android），Intune 只能删除公司数据，而不能执行完整的出厂重置。

一个人的手机可以被远程清除吗？

只有在设备被管理且具有完全管理权限时，才能进行远程擦除（恢复出厂设置），通常适用于公司拥有的设备或通过传统设备管理员（Android）或完整移动设备管理（MDM，iOS）注册的自带设备（BYOD）。使用现代管理（未注册的移动应用管理 MAM 或用户注册），远程擦除仅限于企业应用和数据。

相关文章