Implements Mobile Application Management (MAM) policies with app-level controls like DLP, selective wipe, app config, and containerization on iOS/Android for BYOD enterprise data protection via Intune.
npx claudepluginhub killvxk/cybersecurity-skills-zhThis skill uses the workspace's default tool permissions.
适用于以下情况：
Implements MAM policies via Intune for iOS/Android enterprise apps, with DLP, selective wipe, config, and containerization for BYOD data protection.
Implements MAM policies to secure enterprise data on iOS/Android BYOD devices using Intune App Protection for DLP, selective wipe, app config, and containerization.
Implements BYOD privacy compliance frameworks for personal device use in workplaces. Covers data separation, MDM capabilities/limits, employee consent, data wiping boundaries, and monitoring restrictions.
Share bugs, ideas, or general feedback.
适用于以下情况：
不适用于已部署完整设备管理（MDM）且已满足需求的情况——当 MDM 已提供所需控制时，MAM 会增加不必要的复杂性。
对数据敏感性进行分类并定义保护等级：
| 等级 | 数据类型 | 控制措施 |
|---|---|---|
| 等级 1 - 基础 | 通用企业邮件 | 要求 PIN、禁止截图 |
| 等级 2 - 增强 | 财务数据、HR 记录 | 加密应用数据、限制剪切/复制/粘贴 |
| 等级 3 - 高级 | PII、医疗、法律 | 选择性擦除、离线访问限制、DLP |
Android 应用保护策略：
{
"displayName": "Corporate App Protection - Tier 2",
"platform": "android",
"dataProtectionSettings": {
"allowedDataStorageLocations": ["oneDriveForBusiness", "sharePoint"],
"blockDataTransferToOtherApps": "managedApps",
"blockDataTransferFromOtherApps": "managedApps",
"saveAsBlocked": true,
"clipboardSharingLevel": "managedAppsWithPasteIn",
"screenCaptureBlocked": true,
"encryptAppData": true,
"backupBlocked": true
},
"accessSettings": {
"pinRequired": true,
"minimumPinLength": 6,
"biometricEnabled": true,
"offlineGracePeriod": 720,
"offlineWipeInterval": 90
},
"conditionalLaunchSettings": {
"maxOsVersion": "15.0",
"minOsVersion": "12.0",
"jailbreakBlocked": true,
"maxPinRetries": 5
}
}
部署托管应用配置以实现端点自动化设置：
{
"displayName": "Email App Configuration",
"targetedManagedApps": ["com.microsoft.outlooklite"],
"settings": [
{"key": "com.microsoft.outlook.EmailProfile.AccountType", "value": "ModernAuth"},
{"key": "com.microsoft.outlook.EmailProfile.ServerName", "value": "outlook.office365.com"},
{"key": "com.microsoft.outlook.EmailProfile.AllowedDomains", "value": "corporate.com"}
]
}
Azure AD > 条件访问 > 新建策略：
- 用户：所有使用企业应用的用户
- 云应用：Office 365、自定义 LOB 应用
- 条件：所有平台
- 授予：要求应用保护策略
- 会话：应用强制限制
在两个平台上测试每项策略控制：
# 验证数据传输限制
1. 打开托管应用（Outlook）
2. 复制邮件正文中的文本
3. 尝试粘贴到非托管应用（备忘录）-- 应被阻断
4. 尝试粘贴到托管应用（Teams）-- 应可以粘贴
# 验证选择性擦除
1. 使用 MAM 注册测试设备
2. 在托管应用中访问企业数据
3. 从 Intune 门户触发选择性擦除
4. 验证企业数据已删除，个人数据完好无损
# 验证离线宽限期
1. 联网状态下访问托管应用
2. 断开网络连接
3. 宽限期到期后，验证应用访问被阻断
配置 MAM 监控仪表板：
| 术语 | 定义 |
|---|---|
| MAM（移动应用管理） | 无需完整设备注册的应用级策略，即 Mobile Application Management |
| 应用保护策略（App Protection Policy） | 在应用级别强制执行数据保护的规则集（加密、DLP、访问控制） |
| 选择性擦除（Selective Wipe） | 从托管应用中仅删除企业数据，同时保留个人数据 |
| 应用包装（App Wrapping） | 在不修改源代码的情况下，在构建后对应用应用 MAM SDK 策略的过程 |
| 容器化（Containerization） | 将企业应用数据隔离在独立于个人应用的加密容器中 |