设备的政策

您可以通过创建策略配置端点管理如何与您的设备交互。尽管许多策略对所有设备都是通用的，但每个设备都有一组特定于其操作系统的策略。因此，你可能会发现不同的平台，甚至不同的Android设备制造商之间存在差异。

要查看每个平台可用的策略:

1. 在端点管理控制台中，转到配置>设备策略．
2. 点击添加．
3. 中的列表中显示每个设备平台政策纲领窗格。如果该窗格未打开，请单击显示过滤器．
4. 若要查看平台可用的所有策略的列表，请选择该平台。要查看可用于多个平台的策略列表，请选择其中的每个平台。策略只有应用于所选的每个平台时才会出现在列表中。

有关每个设备策略的概要描述，请参见设备策略摘要在本文中。

注意:

如果您的环境配置了组策略对象(GPOs):

在Windows 10和Windows 11操作系统下配置端点管理设备策略时，请注意以下原则。当一个或多个已注册设备上的策略发生冲突时，符合GPO的策略优先。

要查看Android企业容器支持哪些策略，请参见Android的企业．

先决条件

• 创建您计划使用的交付组。
• 安装任何必要的CA证书。

添加设备策略

创建设备策略的基本步骤如下:

1. 命名并描述策略。

   重要的是:

   不能在策略名称中使用“/”。如果这样做，稍后编辑策略时可能会出现错误。

2. 为一个或多个平台配置策略。
3. 创建部署规则(可选)。
4. 将策略分配给交付组。
5. 配置部署计划(可选)。

如果需要创建和管理设备策略，执行配置>设备策略．

添加策略。

1. 在设备的政策页面,点击添加．的添加新策略页面出现。

2. 单击一个或多个平台，可查看所选平台的设备策略列表。单击策略名称以继续添加策略。

   您也可以在搜索框中输入策略的名称。当你输入时，潜在的匹配就会出现。如果您的策略在列表中，请单击它。结果中只保留您选择的策略。点击它打开策略信息Page查看该策略。

3. 选择要包含在策略中的平台。所选平台的配置页面将出现在步骤5中。

4. 完成策略信息页，然后单击下一个．的策略信息Page收集策略名称等信息，以帮助您识别和跟踪策略。这个页面对于所有的策略都是相似的。

5. 完成平台页面。在步骤3中选择的每个平台都将显示平台页面。这些页面对于每个策略都是不同的。不同平台的策略可能不同。并非所有策略都适用于所有平台。

   有些页面包括项目表。若要删除现有项目，请将鼠标悬停在包含清单的行上，然后单击右侧的垃圾桶图标。在弹出的确认对话框中，单击删除．

   若要编辑现有项目，请将鼠标悬停在包含清单的行上，然后单击右侧的钢笔图标。

配置部署规则、分配和计划

有关配置部署规则的详细信息，请参见部署资源．

1. 在平台页面上展开部署规则然后配置以下设置。的基地选项卡默认显示。

   • 在列表中，单击选项指定部署条件。您可以选择在满足所有条件或满足任何条件时部署策略。默认选项为所有．
   • 点击新规则定义条件。
   • 在列表中，单击条件，例如设备的所有权而且BYOD．
   • 点击新规则如果你想添加更多的条件。您可以添加任意多的条件。

2. 单击先进的选项卡将规则与布尔选项结合起来。你选择的条件基地标签出现。

3. 您可以使用更高级的布尔逻辑来组合、编辑或添加规则。

   • 点击和，或,或不．

   • 在列表中，选择要添加到规则的条件。然后，点击加号(+)，将条件添加到规则中。

     在任何时候，您都可以单击选择条件，然后单击编辑或删除．

   • 点击新规则添加另一个条件。

4. 点击下一个要移动到下一个平台页面，或者当所有平台页面完成时，移动到作业页面。

5. 在作业页中，选择要应用策略的交付组。如果单击某个交付组，则组将出现在交付组接收应用程序分配盒子。

   交付组接收应用程序分配在选择交付组之前不会显示。

6. 在作业页面,扩大部署计划然后配置如下设置:

   • 旁边部署,点击在调度部署或单击从防止部署。默认选项为在．
   • 旁边部署计划,点击现在或晚些时候．默认选项为现在．
   • 如果你点击晚些时候，单击日历图标，然后选择部署的日期和时间。
   • 旁边部署条件,点击在每一个连接上或者点击仅当以前的部署失败时．默认选项为在每一个连接上．

   • 旁边部署为始终在线连接,点击在或从．默认选项为从．

     注意:

     中配置了调度后台部署键时，此选项适用>服务器属性．

     always-on选项:

     • 对于iOS设备不可用
     • 对于开始使用10.18.19或更高版本的端点管理的客户，Android、Android企业和Chrome OS不可用
     • 对于在10.18.19版本之前开始使用端点管理的客户，不建议用于Android, Android企业和Chrome OS

     您配置的部署计划对所有平台都是相同的。您所做的任何更改都适用于所有平台，除了部署为始终在线连接．

7. 点击保存．

   策略显示在设备的政策表格

从设备中移除设备策略

从设备中删除设备策略的步骤取决于平台。

• 安卓

  若要从Android设备中删除设备策略，请使用端点管理卸载设备策略。有关信息，请参见端点管理卸载设备策略．

• iOS和macOS

  若要从iOS或macOS设备中移除设备策略，请使用“配置文件移除设备策略”。在iOS和macOS设备上，所有策略都是MDM配置文件的一部分。因此，您可以仅为要删除的策略创建配置文件删除设备策略。其余的策略和概要文件保留在设备上。有关信息，请参见配置文件移除设备策略．

• Windows 10和Windows 11

  不能直接从Windows Desktop或Tablet设备中删除设备策略。但是，您可以使用以下两种方法:

  • 取消注册设备，然后将一组新策略推送到设备。然后用户重新注册继续。

  • 推送安全操作，选择性地擦除特定设备。该操作将删除设备上的所有企业应用程序和数据。然后从仅包含该设备的交付组中删除设备策略，并将交付组推到该设备。然后用户重新注册继续。

• 铬操作系统

  若要从Chrome OS设备中删除设备策略，可以从仅包含该设备的交付组中删除设备策略。然后将交付组推到设备。

编辑设备策略

若要编辑策略，请选中策略前的复选框。选项菜单出现在策略列表的上方。或者，单击列表中的策略以显示更多控件。

单击，查看策略的详细信息显示更多．

单击，编辑设备策略的所有设置编辑．

如果你点击删除，出现确认对话框。点击删除再次删除策略。

检查策略部署状态

工具上，单击策略行配置>设备策略页以检查其部署状态。

当策略部署挂起时，用户可以通过轻按从Secure Hub刷新策略参数设置>设备信息>刷新策略．

过滤已添加的设备策略列表

您可以根据策略类型、平台和关联交付组筛选已添加的策略列表。在配置>设备策略页面,点击显示过滤器．在列表中，选择要查看的项目的复选框。

点击保存此视图保存一个过滤器。控件下面的按钮中显示筛选器的名称保存此视图按钮。

设备策略摘要

设备策略名称	设备策略说明
AirPlay镜像	将特定的AirPlay设备(如Apple TV或另一台Mac计算机)添加到iOS设备。您还可以将设备添加到受监督设备的允许列表中。该选项限制用户只能使用允许列表中的AirPlay设备。
AirPrint	将AirPrint打印机添加到iOS设备上的AirPrint打印机列表。此策略可以更容易地支持打印机和设备位于不同子网的环境。
比例导引	确定用于将您的设备连接到特定电话运营商的通用分组无线服务(GPRS)的设置。大多数新手机都已经定义了这个设置。如果您的组织不使用消费者APN从移动设备连接到internet，请使用此策略。
应用程序访问	定义设备上必需的、可选的或禁止的应用程序列表。然后，您可以创建一个自动操作，以响应设备是否符合该应用程序列表。
应用程序属性	为iOS设备指定属性，例如托管应用程序包ID或每个应用程序的VPN标识符。
应用程序配置	远程配置支持托管配置的应用程序的各种设置和行为。为此，部署一个XML配置文件(称为属性列表或plist)到iOS设备。或者，将键/值对部署到Windows 10手机、桌面或平板设备。
应用库存	收集托管设备上应用程序的目录。端点管理然后将库存与部署到这些设备上的任何应用程序访问策略进行比较。通过这种方式，你可以检测到应用程序访问允许列表或阻止列表中的应用程序，然后相应地采取行动。
应用锁	定义用户在iOS或某些Android设备上可以或不能运行的应用程序列表。能把iPad变成售货亭。
应用程序权限	在工作配置文件中配置对Android企业应用程序的请求如何处理谷歌所谓的“危险”权限。
应用程序的限制	为您希望阻止用户在三星Knox设备上安装的应用程序创建阻止列表。您还可以为允许用户安装的应用程序创建允许列表。
应用程序卸载	从用户设备中删除应用程序。
App卸载限制	指定用户可以或不能卸载的应用程序。
应用程序保护	仅针对Microsoft Edge浏览器，此策略指定Windows Defender应用程序保护设置。包括是否屏蔽企业站点的外部内容。
应用程序的通知	控制iOS用户如何接收来自指定应用程序的通知。
自动更新管理的应用程序	控制如何在Android企业设备上更新已安装的托管应用程序。
磁盘加密	在Windows 10和Windows 11设备上配置BitLocker界面的可用设置。
浏览器	定义用户设备是否可以使用浏览器或设备可以使用哪些浏览器功能。
日历(CalDAV)	将日历(CalDAV)帐户添加到iOS或macOS设备。CalDAV帐户允许用户与任何支持CalDAV的服务器同步调度数据。
细胞	配置蜂窝网络设置。
连接调度	Android设备需要连接回Endpoint Management进行MDM管理、应用推送和策略部署。如果您没有将此策略发送到设备，并且没有启用谷歌FCM，则设备无法连接回服务器。
联系人(CardDAV)	添加iOS联系人(CardDAV)到iOS或macOS设备。CardDAV帐户允许用户与任何支持CardDAV的服务器同步联系人数据。
内容	控制Chrome OS的各种网页内容选项，包括要显示什么主页以及如何处理弹出窗口。
复制应用程序到三星容器	将已经安装在设备上的应用程序复制到支持的三星设备上的Knox容器。复制到Knox容器的应用程序只有在用户登录到Knox容器时才可用。
凭证	在端点管理中使用PKI配置启用集成身份验证。例如，使用PKI实体、密钥存储库、凭据提供程序或服务器证书。
定制的XML	提供设备发放、设备特性启用、设备配置、故障管理等自定义功能。
后卫	为台式机和平板电脑配置Windows 10和Windows 11的Windows Defender设置。
设备保护	启用安全引导、UEFI锁定和虚拟化等安全特性。
设备运行状况认证	要求Windows 10和Windows 11设备报告其运行状况状态。为此，他们将特定的数据和运行时信息发送给健康认证服务(HAS)进行分析。HAS创建并返回一个健康认证证书，然后设备将该证书发送给端点管理。当端点管理收到运行状况认证证书时，它可以根据该证书的内容部署您配置的自动操作。
设备名称	设置iOS和macOS设备的名称，以便识别设备。您可以使用宏、文本或两者的组合来定义设备名称。
教育配置	为Apple Education配置教师和学生设备。如果教师使用课堂应用程序，则需要“教育配置”设备策略。支持iOS (iPadOS)设备。
端点管理选项	当从Android设备连接到端点管理时，配置安全集线器行为。
终端管理卸载	从Android设备上卸载端点管理。部署时，此策略将从部署组中的所有设备中删除端点管理。
企业中心	通过企业中心公司商店将应用程序分发到Windows phone。端点管理对于Windows Phone安全集线器的一种模式只支持一种企业集线器策略。例如，不要使用不同版本的端点管理安全之家(Secure Home)创建多个Enterprise Hub策略。您只能在设备注册期间部署初始Enterprise Hub策略。
交换	启用设备本地邮件客户端的ActiveSync邮件功能。
文件	为用户添加执行某些功能的脚本文件到端点管理。或者，您可以添加您希望Android设备用户能够在其设备上访问的文档文件。在添加文件时，还可以指定要将文件存储在设备上的目录。
FileVault	此策略允许您在注册的macOS设备上启用FileVault设备加密。您还可以控制用户登录时可以跳过FileVault设置的次数。适用于macOS 10.7或更高版本。
防火墙	配置防火墙。您提供了希望在设备上允许或阻止的IP地址、端口和主机名。您还可以配置代理和代理重路由设置。
字体	为iOS和macOS设备添加字体。字体必须为TrueType (. ttf)或OpenType (. oft)字体。端点管理不支持字体集合(。TTC .OTC)。
主界面布局	指定被监控的iOS设备上iOS主界面的应用程序和文件夹的布局。
导入设备配置	从Workspace Hub设备导入模板配置文件。
导入iOS & macOS配置文件	将iOS和macOS设备的设备配置XML文件导入到端点管理。该文件包含您使用Apple Configurator准备的设备安全策略和限制。
键盘守卫管理	在用户解锁设备键盘保护和工作挑战键盘保护之前，控制用户可用的功能。您还可以控制完全管理和专用设备的设备键盘保护功能。例如，您可以禁用锁定屏幕功能，如指纹解锁、信任代理和通知。
亭	限制三星安全设备上的应用程序使用。您可以将可用的应用程序限制为一个或多个特定应用程序。此策略适用于只运行特定类型或类别应用程序的企业设备。该策略还允许您为设备主屏幕选择自定义图像，并为kiosk模式选择锁屏壁纸。
诺克斯企业平台	KPE (Knox Platform for Enterprise) Premium许可证密钥。
发射器配置	指定Android设备上Citrix Launcher的设置，例如允许的应用程序和Launcher图标的自定义标志图像。
LDAP	提供有关用于iOS设备的LDAP服务器的信息，包括任何必要的帐户信息，例如LDAP服务器主机名。该策略还提供了一组LDAP搜索策略，用于查询LDAP服务器。
位置	允许您在地图上对设备进行地理定位，假设设备已为安全集线器启用了GPS。将此策略部署到设备后，可以从端点管理发送定位命令。然后，设备响应其位置坐标。端点管理还支持地理围栏和跟踪策略。
锁屏消息	设置消息丢失时在以下设备上显示:共享ipad的登录窗口和受监管的iOS设备的锁屏。
邮件	在iOS和macOS设备上配置邮件账号。
管理书签	将书签文件夹部署到Chrome OS设备。
管理配置	控制Android企业设备的各种应用程序配置选项和应用程序限制。
管理域	定义应用于电子邮件和Safari浏览器的托管域。托管域通过控制哪些应用程序可以打开使用Safari从域下载的文档来帮助您保护企业数据。对于iOS监控的设备，您可以指定url或子域来控制用户如何从浏览器打开文档、附件和下载。
地图	指定要下载到受监管的Windows 10手机设备的映射。微软地图配置服务提供商(CSP)只支持德国、英国和美国的地图。
最大常驻用户	指定共享iPad的最大用户数。支持iOS和iPadOS设备。
MDM选项	管理查找我的手机和iPad激活锁在监管的iOS设备。
网络	允许管理员将Wi-Fi路由器详细信息部署到被管理的设备。路由器的详细信息包括SSID、认证数据和配置数据。
网络使用情况	设置网络使用规则，以指定托管应用程序如何在iOS设备上使用网络，如蜂窝数据网络。这些规则只适用于托管应用程序。托管应用程序是通过端点管理部署到用户设备的应用程序。
办公室	将Microsoft Office应用程序部署到任何运行Windows 10(版本1709或更高)或Windows 11的设备上。
组织信息	指定端点管理部署到iOS设备的警报消息的组织信息。
操作系统更新	将最新的操作系统更新部署到受支持和监督的设备。
密码	强制被管理设备上的PIN码或密码。您可以在设备上设置密码的复杂度和超时时间。
密码锁定宽限期	指定共享iPad屏幕在用户必须输入密码才能解锁屏幕之前保持锁定的分钟数。支持iOS和iPadOS设备。
个人热点	允许用户在不在Wi-Fi网络范围内时连接到互联网。用户通过iOS设备上的蜂窝数据连接，使用个人热点功能。
电源管理	控制Chrome OS设备在使用交流电或电池电源时如何响应空闲时间。
配置文件删除	从macOS设备中移除应用程序配置文件。
配置文件	指定要发送到设备的企业分发配置文件。当你开发和代码签署一个iOS企业应用程序时，你通常会包含一个配置文件。苹果要求应用程序在iOS设备上运行的配置文件。如果配置文件丢失或过期，当用户点击打开它时，应用程序崩溃。
配置文件移除	删除iOS配置文件。
代理	为运行iOS的设备指定全局HTTP代理设置。每个设备只能部署一个全局HTTP代理策略。
公共会话	配置Chrome OS设备为guest模式下的公共设备。
限制	提供数百个选项来锁定和控制托管设备上的特性和功能。限制选项示例:禁用摄像头或麦克风，强制漫游规则，强制访问第三方服务，如应用程序商店。
漫游	配置iOS设备是否允许语音漫游和数据漫游。如果禁用语音漫游，则自动禁用数据漫游。
三星MDM许可密钥	指定在部署SAFE策略和限制之前必须部署到设备上的内置三星企业许可证管理(ELM)密钥。端点管理还支持三星企业固件无线(E-FOTA)服务。端点管理支持和扩展三星企业(SAFE)和三星诺克斯政策。

连	配置iOS和macOS设备从外部SCEP服务器获取证书。您还可以使用SCEP从连接到Endpoint Management的PKI向设备交付证书。为此，以分布式模式创建PKI实体和PKI提供者。
单点登录帐号	创建SSO帐户，以便用户仅在访问端点管理和内部公司资源时一次性登录。用户不需要在设备上存储任何凭据。端点管理将企业用户凭据用于跨应用程序(包括来自应用程序商店的应用程序)的SSO帐户。该策略与Kerberos身份验证兼容。适用于iOS。
存储加密	加密内部和外部存储。对于某些设备，此策略阻止用户在其设备上使用存储卡。
商店	指定应用商店网页剪辑是否出现在用户设备的主屏幕上。
订阅的日历	将订阅的日历添加到iOS设备的日历列表中。在将日历添加到用户设备上的订阅日历列表之前，请确保已订阅日历。
条款和条件	要求用户接受公司管理到公司网络的连接的特定策略。当用户使用端点管理注册他们的设备时，他们必须接受条款和条件才能注册他们的设备。拒绝条款和条件将取消注册过程。
隧道	定义任何移动设备应用程序的客户端组件和应用程序服务器组件之间的代理参数。
VPN	提供对使用传统VPN网关技术的后端系统的访问。此策略提供部署到设备上的VPN网关连接详细信息。Endpoint Management支持多个VPN提供商，包括Cisco AnyConnect、Juniper和Citrix VPN。如果您的VPN网关支持此选项，您可以将此策略链接到CA，并按需启用VPN。
壁纸	添加.png或.jpg文件，可在iOS设备锁屏、主屏或两者同时设置壁纸。如果需要在ipad和iphone上使用不同的墙纸，请创建不同的墙纸策略，并部署给不同的用户。
Web剪辑	将网站的快捷方式或网页剪辑与用户设备上的应用程序一起显示。您可以指定自己的图标来代表iOS、macOS和Android设备的web剪辑。Windows平板电脑只需要一个标签和一个URL。
网页内容过滤器	在iOS设备上过滤网页内容。Endpoint Management使用Apple自动过滤功能和您添加的站点来允许列表和阻止列表。仅适用于iOS监控设备。
Windows代理	启用此策略可在Windows台式机和平板电脑上运行上传的PowerShell脚本。
Windows GPO配置	为Citrix Workspace Environment Management支持的任何Windows设备配置组策略对象(GPOs)。
Windows Hello for Business	启用Windows特性，以便用户可以在其设备上配置Windows Hello for Business。该策略还允许您配置密码限制和其他安全功能。
Windows信息保护	指定需要按照您为策略设置的强制级别进行Windows信息保护的应用程序。该策略适用于Windows 10和Windows 11受监管的设备。

按平台划分设备策略

政策	iOS	macOS	Android的企业	Android (Legacy DA)	铬操作系统	Windows桌面/平板电脑	Windows Phone	其他
AirPlay镜像设备策略	X	X
AirPrint设备策略	X
APN设备策略	X			X
App访问设备策略	X			X
App属性设备策略	X
App配置设备策略	X					X	X
App库存设备策略	X	X	X	X		X	X
App锁定设备策略	X			X		X
应用程序权限设备策略			X
应用限制设备策略					X
App卸载设备策略	X	X	X	X			X
应用程序卸载限制设备策略								X
应用防护设备策略						X
应用通知设备策略	X
自动更新管理的应用程序			X
BitLocker设备策略						X	X
浏览器设备策略								X
Calendar (CalDav)设备策略	X	X
蜂窝设备策略	X
连接调度设备策略			X	X	X
Contacts (CardDAV)设备策略	X	X
内容设备策略					X
复制应用程序到三星容器设备策略								X
凭据设备策略	X	X	X	X	X	X	X
自定义XML设备策略			X			X	X
防御设备策略						X	X
设备防护设备策略						X
设备健康状况认证设备策略						X
设备名称设备策略	X	X
配置设备策略	X
端点管理选项设备策略			X	X
端点管理卸载设备策略				X
企业Hub设备策略							X
交换设备策略	X	X	X	X		X	X
文件设备策略			X	X
FileVault设备策略		X
防火墙设备策略		X				X
字体设备策略	X	X
主屏幕布局设备策略	X
Import Device Configuration设备策略								X
导入iOS & macOS Profile设备策略	X	X
Keyguard管理设备策略			X
Kiosk设备策略			X		X	X
用于企业设备策略的Knox平台			X
启动器配置设备策略			X	X
LDAP设备策略	X	X
位置设备策略	X		X	X
锁屏消息设备策略	X
邮件设备策略	X	X
托管书签设备策略					X
管理配置设备策略			X
托管域设备策略	X
映射设备策略							X
最大常驻用户设备策略	X
MDM选项设备策略	X
网络设备策略	X		X	X	X		X
网络使用设备策略	X
办公设备策略						X
组织信息设备策略	X
操作系统更新设备策略	X	X	X		X	X
密码设备策略	X	X	X	X		X	X
密码锁宽限期设备策略	X
个人热点设备策略	X
电源管理设备策略					X
配置文件移除设备策略	X	X
配置配置文件设备策略	X
配置配置文件移除设备策略	X
代理设备策略	X
公共会话设备策略					X
限制设备策略	X	X		X	X	X	X
漫游设备策略	X
三星MDM许可密钥设备策略			X
SCEP设备策略	X	X
Siri和听写策略	X
单点登录帐号设备策略	X
存储加密设备策略							X
存储设备策略	X			X		X
订阅日历设备策略	X
条款和条件设备政策	X			X		X	X
隧道设备策略				X
VPN设备策略	X	X		X	X	X	X
墙纸设备策略	X
网页剪辑设备策略	X	X		X		X
Web内容筛选器设备策略	X
Windows Agent设备策略						X
Windows GPO配置设备策略						X
Windows Hello for Business设备策略						X	X
Windows Information保护设备策略						X	X