Windows信息保护设备策略
Windows Information Protection (WIP)，以前被称为企业数据保护(EDP)，是一种Windows技术，防止企业数据的潜在泄漏。数据泄露可能发生在将企业数据共享给非企业保护的应用程序、应用程序之间或组织网络之外。有关更多信息，请参见使用Windows信息保护(WIP)保护您的企业数据．
您可以在端点管理中创建一个设备策略，以指定在您设置的强制级别上需要Windows信息保护的应用程序。Windows Information Protection策略适用于运行Windows 10(1607及以上版本)或Windows 11的话机、平板电脑和桌面。
端点管理包括一些常见的应用程序，你可以添加其他的。您可以为策略指定影响用户体验的强制级别。例如，你可以:
阻止任何不适当的数据共享。
警告不适当的数据共享，并允许用户覆盖策略。
在记录日志并允许不适当的数据共享时，以静默方式运行WIP。
为了将应用程序排除在Windows信息保护之外，在Microsoft AppLocker XML文件中定义应用程序，然后将这些文件导入端点管理。
要添加或配置此策略，请转到配置>设备策略．有关更多信息，请参见设备的政策．
Windows Phone和Windows Desktop/Tablet设置
桌面应用程序(Windows 10和Windows 11桌面)，存储应用程序(Windows 10手机，Windows 10和Windows 11平板电脑):端点管理包括一些常见的应用程序，如上例所示。你可以根据需要编辑或删除这些应用程序。
添加其他应用程序:在桌面应用程序或存储应用程序表,点击添加并提供应用程序信息。
允许应用程序可以读取、创建和更新企业数据。否认应用程序无法访问企业数据。免除应用程序可以读取企业数据，但不能创建或修改数据。
注意:
从Windows 11开始，微软提供记事本作为商店应用程序，而不是传统的桌面应用程序。为了使记事本在Windows 11设备上运行生效，需要将记事本从桌面应用程序表中删除，然后添加到商店应用程序表中。
AppLocker XML文件:微软提供了一个与WIP存在兼容性问题的微软应用程序列表。若要从WIP中排除这些应用程序，请单击浏览上传列表。端点管理将上传的AppLocker XML文件和配置的桌面和商店应用程序合并到发送到设备的策略中。有关更多信息，请参见Windows信息保护的推荐屏蔽列表．
执法水平:选择一个选项以指定“Windows信息保护”保护和管理数据共享的方式。默认为从．
0-Off:WIP处于关闭状态，不能保护或审核数据。
1-Silent:WIP静默运行，记录不适当的数据共享，并且不会阻塞任何事情。您可以通过CSP的报告．
2-Override:WIP警告用户可能不安全的数据共享。用户可以覆盖警告并共享数据。此模式将操作(包括用户重写)记录到审计日志中。
3-Block:WIP阻止用户完成可能不安全的数据共享。
保护域名:您的企业用于其用户身份的域。这个受管理标识域列表与主要域一起构成了管理企业的标识。列表中的第一个域是Windows UI中使用的主要企业标识。使用管道(|)分隔列表项。例如:
domain1.com | domain2.com数据恢复证书:点击浏览然后选择一个恢复证书用于恢复加密文件的数据。该证书与EFS (encryption file system)的DRA (data recovery agent)证书相同，只是通过MDM下发，不通过Group Policy下发。如果恢复证书不可用，请创建它。详细信息请参见本节的“创建数据恢复证书”。
网络域名:组成企业边界的域列表。WIP保护到此列表中完全限定域的所有通信流。这个设置，带有IP范围设置，检测网络端点是企业内网还是个人内网。使用逗号分隔列表项。例如:corp.example.com, region.example.com
IP范围:企业IPv4和IPv6范围列表，用于定义企业网络内的计算机。WIP认为这些位置是企业数据共享的安全目的地。使用逗号分隔列表项。例如:
10.0.0.0-10.255.255.255, 2001:4898:: 2001:4898:7fff:飞行符:飞行符:飞行符:飞行符:飞行符自动检测IP范围:如果在，防止Windows自动检测IP范围。默认为从．
代理服务器:企业可以用于企业资源的代理服务器列表。如果在网络中使用代理，则需要此设置。如果没有代理服务器，当客户端位于代理后面时，企业资源可能不可用。例如，酒店和餐厅的某些Wi-Fi热点可能无法使用资源。列表项之间用“;”隔开。例如:
proxy.example.com: 80; 157.54.11.118:443内部代理服务器:您的设备通过代理服务器到达您的云资源的列表。使用这种服务器类型表明您连接到的云资源是企业资源。控件中的任何服务器都不要包含在此列表中代理服务器设置，用于非wip保护的流量。列表项之间用“;”隔开。例如:
example.internalproxy1.com; 10.147.80.50云资源:受WIP保护的云资源列表。对于每个云资源，您还可以选择在代理服务器列表以路由此云资源的流量。所有流量都通过代理服务器被视为企业流量。使用管道(|)分隔列表项。例如:
domain1.com: InternalProxy.domain1.com | domain2.com: InternalProxy.domain2.com锁下保护:仅限Windows 10手机。如果在，密码设备策略也是必需的。否则，部署Windows信息保护策略将失败。此外，如果这个政策是在,设置保护锁出现了。默认是从．
保护锁:仅限Windows 10手机。指定是否使用受锁定设备上员工PIN保护的密钥加密企业数据。应用程序无法读取锁定设备上的企业数据。默认为在．
注销时撤销WIP证书:指定当用户设备从Windows信息保护中注销时，是否撤销该设备上的本地加密密钥。加密密钥被撤销后，用户将无法访问加密的企业数据。如果从，密钥不会被撤销，用户退出注册后仍然可以访问受保护的文件。默认为在．
显示重叠图标:指定是否在资源管理器中包括企业文件的Windows信息保护图标叠加，以及在开始菜单中是否包括企业应用程序磁贴片。默认为从．
制作数据恢复证书
需要使用数据恢复证书才能启用Windows信息保护政策。
在运行端点管理控制台的机器上，打开命令提示符并导航到您希望在其中创建证书的文件夹(Windows\System32除外)。
运行这个命令:
密码/ r: ESFDRA当出现提示时，输入密码以保护私钥文件。
cipher命令创建一个.cer和一个.pfx文件。
在Endpoint Management控制台中，转到设置>证书并导入。cer文件，该文件适用于Windows 10和Windows 11平板电脑和Windows 10手机。
用户体验
当“Windows Information Protection”生效时，应用程序和文件中有一个图标:
如果用户将受保护的文件复制或保存到不受保护的位置，则会出现以下通知，具体取决于配置的实施级别。
