限制设备策略
注意:
如果升级包含新的“限制”设备策略设置,则必须编辑并保存策略。Endpoint Management 在保存升级后的“限制”设备策略之后才部署升级的策略。
限制设备策略允许或限制用户设备上的某些特性或功能,例如相机。可以设置安全限制和媒体内容的限制。还可以设置关于用户能够安装和无法安装的应用程序类型的限制。大多数限制设置默认为开或允许。主要的例外情况是 iOS 安全 - 强制功能和所有 Windows Tablet 功能,其默认值为关或限制。
如果您为任何选项选择开,则意味着用户可以执行该操作或使用该功能。例如:
- 相机:如果设置为开,用户将可以使用其设备上的相机。如果设置为关,用户将无法在其设备上使用相机。
- 屏幕截图:如果设置为开,用户可以在其设备上拍摄屏幕截图。如果设置为关,则用户无法在其设备上拍摄屏幕截图。
如果您同时配置了限制设备策略和网亭设备策略,则限制设备策略优先。
要添加或配置此策略,请转至配置 > 设备策略。有关详细信息,请参阅设备策略。
iOS 设置
某些 iOS 限制策略设置仅适用于特定版本的 iOS,如此处和 Endpoint Management 控制台限制策略页面中所述。
当设备在用户注册模式、未受监督(完全 MDM)模式或受监督模式下注册时,这些设置适用。下表显示了适用于 iOS 13 及更高版本的每个设置的注册模式。
- Automated Device Enrollment(自动设备注册):受监督的设备。这些是通过批量注册注册的设备。
- Device Enrollment(设备注册):未受监督的设备。这些设备单独注册,整个设备完全进行 MDM。
- 用户Enrollment(用户注册):仅托管特定用户的设备。有关用户注册的详细信息,请参阅 Apple 文档。
当设备在用户注册模式,未受监督(完全MDM)模式或受监督模式下注册时,iOS限制策略设置可能会适用。下表显示了适用于 iOS 13 及更高版本的每个限制策略设置的注册模式。
(Apple 注册类型)
如表中所示,自 iOS 13 起,以前在未受监督和监督模式下可用的某些设置仅在监督模式下可用。以下规则适用:
- 如果受监管的 iOS 13+ 设备在 Endpoint Management 中注册,这些设置将应用到该设备。
- 如果不受监督的 iOS 13+ 设备在 Endpoint Management 中注册,这些设置将不应用到该设备。
- 如果 iOS 12(或更低版本)的设备已在 Endpoint Management 中注册,然后升级到 iOS 13,则不会发生任何变化。这些设置与升级之前一样应用到设备。
有关将 iOS 设备设置为受监督模式的信息,请参阅使用 Apple Configurator 2 部署设备。
设置 | 用户注册 | 不受监督 | 受监督 |
---|---|---|---|
允许硬件控制 | |||
相机 | 否 | 是 | 是 |
FaceTime | 否 | 否 | 是 |
屏幕截图 | 是 | 否 | 是 |
允许“课堂”应用程序远程观察学生的屏幕 | 否 | 否 | 是 |
允许“课堂”应用程序运行 AirPlay 和查看屏幕而不提示 | 否 | 否 | 是 |
照片流 | 否 | 是 | 是 |
共享照片流 | 否 | 是 | 是 |
允许共用的 iPad 临时会话 | 否 | 否 | 是 |
语音拨号 | 否 | 是 | 是 |
Siri | 是 | 是 | 是 |
设备锁定时允许 | 是 | 是 | 是 |
Siri 猥亵语言过滤器 | 否 | 否 | 是 |
安装应用程序 | 否 | 否 | 是 |
允许在漫游时执行全局后台获取 | 否 | 是 | 是 |
允许使用应用程序 | |||
Apple App Store | 否 | 否 | 是 |
应用内购买 | 否 | 是 | 是 |
所有购买均需使用 Apple App Store 密码 | 否 | 是 | 是 |
Safari | 否 | 否 | 是 |
自动填充 | 否 | 否 | 是 |
强制显示欺诈警告 | 是 | 是 | 是 |
启用 JavaScript | 否 | 是 | 是 |
阻止弹出窗口 | 否 | 是 | 是 |
接受 Cookie | 否 | 是 | 是 |
网络 - 允许执行 iCloud 操作 | |||
iCloud 文档和数据 | 否 | 否 | 是 |
iCloud 备份 | 否 | 是 | 是 |
iCloud 照片钥匙链 | 否 | 是 | 是 |
iCloud 照片库 | 否 | 是 | 是 |
安全 - 强制 | |||
加密备份 | 是 | 是 | 是 |
有限广告跟踪 | 否 | 是 | 是 |
首次 AirPlay 配对时输入通行码 | 是 | 是 | 是 |
需要配对的 Apple Watch 才能使用腕部监测 | 是 | 是 | 是 |
使用 AirDrop 共享托管文档 | 是 | 是 | 是 |
安全 - 允许 | |||
接受不可信 SSL 证书 | 否 | 是 | 是 |
自动更新证书信任设置 | 否 | 是 | 是 |
Require managed pasteboard(需要托管粘贴板) | 是 | 是 | 是 |
在非托管应用程序中使用托管应用程序的文档 | 是 | 是 | 是 |
非托管应用程序读取托管联系人 | 否 | 否 | 是 |
托管应用程序写入非托管联系人 | 否 | 否 | 是 |
在托管应用程序中使用非托管应用程序的文档 | 是 | 是 | 是 |
诊断结果提交到 Apple | 是 | 是 | 是 |
通过 Touch ID 解锁设备 | 否 | 是 | 是 |
锁定时接收 Wallet 通知 | 否 | 是 | 是 |
提交 | 否 | 是 | 是 |
托管应用程序的 iCloud 同步 | 是 | 是 | 是 |
企业书籍备份 | 是 | 是 | 是 |
企业书籍的笔记和重点同步 | 是 | 是 | 是 |
Spotlight 中的 Internet 结果 | 否 | 是 | 是 |
企业应用程序信任 | 否 | 是 | 是 |
仅监管设置 - 允许 | |||
允许修改 eSIM | 否 | 否 | 是 |
擦除所有内容和设置 | 否 | 否 | 是 |
屏幕时间 | 否 | 否 | 是 |
播客 | 否 | 否 | 是 |
安装配置文件 | 否 | 否 | 是 |
Touch ID and Face ID modification(Touch ID 和面容 ID 修改) | 否 | 否 | 是 |
从设备安装应用程序 | 否 | 否 | 是 |
键盘快捷方式 | 否 | 否 | 是 |
已配对 Apple Watch | 否 | 否 | 是 |
修改通行码 | 否 | 否 | 是 |
修改设备名称 | 否 | 否 | 是 |
修改壁纸 | 否 | 否 | 是 |
自动下载应用程序 | 否 | 否 | 是 |
AirDrop | 否 | 否 | 是 |
iMessage | 否 | 否 | 是 |
Siri 用户生成的内容 | 否 | 否 | 是 |
iBooks | 否 | 否 | 是 |
删除应用程序 | 否 | 是 | 是 |
游戏中心 | 否 | 否 | 是 |
添加好友 | 否 | 否 | 是 |
多人游戏 | 否 | 否 | 是 |
修改帐户设置 | 否 | 否 | 是 |
修改应用程序手机网络数据设置 | 否 | 否 | 是 |
修改应用程序手机网络数据设置 | 否 | 否 | 是 |
Allow network drive connections(允许建立网络驱动器连接) | 否 | 否 | 是 |
Allow USB device connections(允许使用 USB 设备连接) | 否 | 否 | 是 |
Allow Find My Device(允许查找我的设备) | 否 | 否 | 是 |
允许“查找我的好友”设置 | 否 | 否 | 是 |
修改“查找我的好友”设置 | 否 | 否 | 是 |
与非 Configurator 主机配对 | 否 | 否 | 是 |
预测键盘 | 否 | 否 | 是 |
键盘自动更正 | 否 | 否 | 是 |
键盘拼写检查 | 否 | 否 | 是 |
允许使用 QuickPath 键盘 | 否 | 否 | 是 |
定义查找 | 否 | 否 | 是 |
单应用程序捆绑 ID | |||
新闻 | 否 | 否 | 是 |
Apple 音乐服务 | 否 | 否 | 是 |
Apple 音乐 | 否 | 否 | 是 |
通知修改 | 否 | 否 | 是 |
受限应用程序使用 | 否 | 否 | 是 |
诊断提交修改 | 否 | 否 | 是 |
蓝牙修改 | 否 | 否 | 是 |
允许听写 | 否 | 否 | 是 |
修改 Wi-Fi 是打开还是关闭 | 否 | 否 | 是 |
仅加入通过网络策略安装的 Wi-Fi 网络 | 否 | 否 | 是 |
允许“课堂”应用程序运行 AirPlay 和查看屏幕而不提示 | 否 | 否 | 是 |
允许“课堂”应用程序锁定到应用程序以及锁定设备而不提示 | 否 | 否 | 是 |
自动加入“课堂”应用程序课程而不提示 | 否 | 否 | 是 |
允许 AirPrint | 否 | 否 | 是 |
允许在钥匙串中存储 AirPrint 凭据 | 否 | 否 | 是 |
允许使用 iBeacon 发现 AirPrint 打印机 | 否 | 否 | 是 |
仅允许通过 AirPrint 打印到证书受信任的目标打印机 | 否 | 否 | 是 |
添加 VPN 配置 | 否 | 否 | 是 |
修改手机网络套餐设置 | 否 | 否 | 是 |
删除系统应用程序 | 否 | 否 | 是 |
设置新的附近的设备 | 否 | 否 | 是 |
允许 USB 受限模式 | 否 | 否 | 是 |
强制执行延迟的软件更新 | 否 | 否 | 是 |
强制执行的软件更新延迟 | 否 | 否 | 是 |
强制课堂申请离开课程的权限 | 否 | 否 | 是 |
在自动填充之前强制执行身份验证 | 否 | 否 | 是 |
强制自动填写日期和时间 | 否 | 否 | 是 |
密码自动填充 | 否 | 否 | 是 |
密码邻近请求 | 否 | 否 | 是 |
密码共享 | 否 | 否 | 是 |
允许修改个人热点 | 否 | 否 | 是 |
安全 - 在锁屏界面中显示 | |||
控制中心 | 是 | 是 | 是 |
通知 | 是 | 是 | 是 |
“今天”视图 | 是 | 是 | 是 |
媒体内容 - 允许 | |||
成人音乐、博客及 iTunes U 资料 | 否 | 否 | 是 |
iBooks 中暴露的性内容 | 否 | 是 | 是 |
评级地区 | 否 | 是 | 是 |
电影 | 否 | 是 | 是 |
电视节目 | 否 | 是 | 是 |
应用程序 | 否 | 是 | 是 |
- 允许硬件控制
- 相机:允许用户在其设备上使用相机。
- FaceTime:允许用户在其设备上使用 FaceTime。适用于受监督的 iOS 设备。
- 屏幕截图:允许用户在其设备上截取屏幕截图。
- 允许“课堂”应用程序远程观察学生的屏幕:如果未选中此限制,教师将无法使用“课堂”应用程序远程观察学生的屏幕。默认设置为选中,教师可以使用“课堂”应用程序观察学生的屏幕。允许“课堂”应用程序运行 AirPlay 和查看屏幕而不提示的设置确定学生是否接收向教师授予权限的提示。适用于受监督的 iOS 设备。
- 允许“课堂”应用程序运行 AirPlay 和查看屏幕而不提示:如果选中此限制,教师可以在学生的设备上执行 AirPlay 和查看屏幕操作,而不提示授予权限。默认设置为未选中。适用于受监督的 iOS 设备。
- 照片流:允许用户使用 MyPhotoStream 通过 iCloud 与其所有 iOS 设备共享照片。
- 共享照片流:允许用户使用 iCloud Photo Sharing 与同事、朋友和家人共享照片。
- Allow shared iPad temporary session(允许共享 iPad 临时会话):阻止访问共享 iPad 上的临时会话。
- 语音拨号:在用户设备上启用拨号。
- Siri:允许用户使用 Siri。
- 设备锁定时允许:允许用户在其设备锁定时使用 Siri。
Siri 猥亵语言过滤:启用 Siri 猥亵语言过滤。默认为限制此功能,也就是说不会进行猥亵语言过滤。
有关 Siri 和安全性的详细信息,请参阅Siri 和听写策略。
- 安装应用程序:允许用户安装应用程序。适用于受监督的 iOS 设备。
- 允许在漫游时执行全局后台获取:允许设备在漫游时自动向 iCloud 同步邮件帐户。设置为关时,在 iOS 手机漫游时将禁用全局后台获取活动。默认值为开。
- 相机:允许用户在其设备上使用相机。
- 允许使用应用程序
- Apple App Store:允许用户访问 Apple App Store。适用于受监督的 iOS 设备。
- 应用程序内购买:允许用户进行应用程序内购买。
- 所有购买均需使用 Apple App Store 密码:需要密码才能进行应用程序内购买。默认为限制此功能,也就是说进行应用程序内购买无需密码。
- Safari:允许用户访问 Safari。适用于受监督的 iOS 设备。
- 自动填充:允许用户在 Safari 上设置用户名和密码自动填充功能。
- 强制显示欺诈警告:如果启用此设置,则当用户访问可疑网络钓鱼 Web 站点时,Safari 会向用户发出警报。默认为限制此功能,也就是说不会发出警报。
- 启用 JavaScript:允许在 Safari 上运行 JavaScript。
- 阻止弹出窗口:查看 Web 站点时阻止弹出窗口。默认为限制此功能,也就是说不阻止弹出窗口。
- 接受 Cookie:设置为接受 Cookie 的程度。在列表中,选择某个选项以允许或限制 Cookie。默认选项为总是,即允许所有 Web 站点在 Safari 中保存 Cookie。其他选项为仅限当前 Web 站点、从不和仅来自访问的 Web 站点。
网络 - 允许执行 iCloud 操作
- iCloud 文档和数据:允许用户将文档和数据同步到 iCloud。适用于受监督的 iOS 设备。
- iCloud 备份:允许用户向 iCloud 备份其设备。
- iCloud 钥匙串:允许用户在 iCloud 钥匙串中存储密码、Wi-Fi 网络信息、信用卡信息以及其他信息。
- 云照片库:允许用户访问其 iCloud 照片库。
安全 - 强制
默认为限制以下功能,即不启用任何安全功能。
- 加密备份:强制加密到 iCloud 的备份。
- 有限广告跟踪:阻止有针对性的广告跟踪。
- 首次 AirPlay 配对时输入通行码:需要使用屏幕上显示的一次性代码验证已启用 AirPlay 的设备才可以使用 AirPlay。
- 需要配对的 Apple Watch 才能使用腕部监测:需要配对的 Apple Watch 才能使用腕部监测。
- 使用 AirDrop 共享托管文档:将此选项设置为开会使 AirDrop 显示为非托管放置目标。
安全 - 允许
- 接受不可信 SSL 证书:允许用户接受 Web 站点的不可信 SSL 证书。
- 自动更新证书信任设置:允许自动更新可信证书。
- Require managed pasteboard(需要托管粘贴板):允许复制和粘贴功能遵循应用到在非托管应用程序中使用托管应用程序中的文档和在托管应用程序中使用非托管应用程序中的文档的相同限制。 例如,配置以下各项:
- Require managed pasteboard(需要托管粘贴板):开
- 在非托管应用程序中使用托管应用程序中的文档:关
- 在托管应用程序中使用非托管应用程序中的文档:开 将策略部署到 iOS 设备后,用户无法将数据从托管应用程序复制并粘贴到非托管应用程序,但可以将数据从非托管应用程序复制并粘贴到托管应用程序。
- 在非托管应用程序中使用托管应用程序中的文档:允许用户将托管(企业)应用程序中的数据移动到非托管(私人)应用程序。
- 在托管应用程序中使用非托管应用程序中的文档:允许用户将非托管(私人)应用程序中的数据移动到托管(企业)应用程序。
- 将诊断结果提交给 Apple:允许将有关用户设备的匿名诊断数据发送给 Apple。
- Touch ID or Face ID to unlock device(通过 Touch ID 或面容 ID 解锁设备):允许用户使用 Touch ID 或面容 ID 解锁其设备。
- Wallet notifications when locked(锁定时接收 Wallet 通知):允许 Wallet 通知显示在锁屏界面上。
- Handoff:允许用户从一台 iOS 设备向附近的另一台 iOS 设备转移活动。
- 托管应用程序的 iCloud 同步:允许用户向 iCloud 同步托管应用程序。
- 企业通讯簿备份:允许将企业通讯簿备份到 iCloud。
- 企业书籍的笔记和重点同步:允许用户添加到企业书籍的笔记和重点同步到 iCloud。
- 企业应用程序信任:允许信任企业应用程序。企业应用程序是指为贵组织自定义的任何应用程序。这些产品可以在内部开发,也可以从外部供应商处开发并购买。有关其他信息,请参阅Install custom enterprise apps on iOS(在 iOS 上安装自定企业级应用)。
- Spotlight 中的 Internet 结果:允许 Spotlight 显示来自 Internet 以及设备的搜索结果。
- 非托管应用程序读取托管联系人:可选。仅当非托管应用程序中来自托管应用程序的文档处于禁用状态时才可用。如果启用,则非托管应用程序可以读取托管帐户的联系人数据。默认设置为关。截至 iOS 12 适用。
- 托管应用程序写入非托管联系人:可选。如果启用,则允许托管应用程序将联系人写入非托管帐户的联系人。如果非托管应用程序中来自托管应用程序的文档处于启用状态,则此限制无效。默认设置为关。截至 iOS 12 适用。
仅监管设置 - 允许
这些设置仅适用于受监管设备。有关将 iOS 设备设置为受监督模式的步骤,请参阅使用 Apple Configurator 2 部署设备。
- 允许修改 eSIM:允许用户更改其设备上的 eSIM 设置。
- 擦除所有内容和设置:允许用户擦除其设备中的所有内容和设置。
- 屏幕时间:允许用户启用“屏幕时间”。
- 播客:允许用户下载和同步播客。
- 安装配置文件:允许用户安装并非由您部署的配置文件。
- Touch ID and Face ID modification(Touch ID 和面容 ID 修改):允许用户更改或删除其 Touch ID 或面容 ID。
- 从设备安装应用程序:允许用户安装应用程序。禁用此设置将阻止最终用户安装新应用程序。App Store 处于禁用状态,其图标将从主屏幕中删除。
- 键盘快捷方式:允许用户为其常用的字词或短语创建自定义键盘快捷方式。
- 配对的 Apple Watch:允许用户将 Apple Watch 与受监督的设备配对。
- 修改通行码:允许用户在受监督的设备上更改通行码。
- 修改设备名称:允许用户更改其设备的名称。
- 修改壁纸:允许用户在更改其设备上的壁纸。
- 自动下载应用程序:允许下载应用程序。
- AirDrop:允许用户与附近的 iOS 设备共享照片、视频、Web 站点、位置及其他信息。
- iMessage:允许用户使用 iMessage 通过 Wi-Fi 传递文本消息。
- Siri 用户生成的内容:允许 Siri 从 Web 查询用户生成的内容。用户,而非传统新闻记者;生成用户生成的内容。例如,在 Twitter 或 Facebook 上找到的内容是用户生成的。
- iBooks:允许用户使用 iBooks 应用程序。
- 删除应用程序:允许用户从其设备中删除应用程序。
- 游戏中心:允许用户在其设备上通过游戏中心在线玩游戏。
- 添加好友:允许用户向好友发送玩游戏通知。
- 多人游戏:允许用户在其设备上启动多人游戏。
- 修改帐户设置:允许用户修改其设备帐户设置。
- 修改应用程序手机网络数据设置:允许用户修改使用手机网络数据的方式。
- Allow network drive connections(允许建立网络驱动器连接):阻止连接到“文件”应用程序中的网络驱动器。
- Allow USB device connections(允许建立 USB 设备连接):阻止连接到“文件”应用程序中的任何已连接的 USB 设备。
- Allow Find My Device(允许查找我的设备):禁用“Find My app”(查找我的应用程序)中的Find My Device(查找我的设备)选项。
- Allow Find My Friends settings(允许“查找我的好友”设置):禁用“查找我的好友”应用程序中的查找我的好友选项。
- 修改“查找我的好友”设置:允许用户更改其“查找我的好友”设置。
- 与非 Configurator 主机配对:允许管理员控制用户设备可以与哪些设备配对。禁用此设置将阻止配对,与运行 Apple Configurator 的监督主机配对除外。如果未配置任何监督主机证书,将禁用所有配对。
- 预测键盘:允许用户设备使用预测键盘,在用户键入时提供建议单词。如果要管理标准化测试,不允许用户访问建议的单词,在此类情况下可以禁用此选项。
- 键盘自动更正:允许用户设备使用键盘自动更正。如果要管理标准化测试,不允许用户访问自动更正,在此类情况下可以禁用此选项。
- 键盘拼写检查:在键入时允许用户设备使用拼写检查。如果要管理标准化测试,不允许用户访问拼写检查,在此类情况下可以禁用此选项。
- 定义查找:在键入时允许用户设备使用定义查找。如果要管理标准化测试,不允许用户在键入时查找定义,在此类情况下可以禁用此选项。
- 单应用程序捆绑包 ID:创建允许保留设备的控制权并阻止与其他应用程序或功能进行交互的应用程序的列表。 要添加应用程序,请单击添加,键入应用程序名称,然后单击保存。对要添加的每个应用程序重复该过程。
- 新闻:允许用户使用新闻应用程序。
- Apple 音乐服务:允许用户使用 Apple 音乐服务。如果您不允许使用 Apple 音乐服务,则音乐应用程序以经典模式运行。
- Apple 音乐:允许用户使用 Apple 音乐。
- 修改通知:允许用户修改通知设置。
受限应用程序使用:允许用户使用所有应用程序或者使用或不使用某些应用程序,具体取决于您提供的捆绑包 ID。仅适用于受监督的设备。如果选择仅允许某些应用程序,请添加捆绑包 ID 为
com.apple.webapp
的应用程序以允许 Web 剪辑。注意:
自 iOS 11 起,Apple 引入了对适用于应用程序限制的策略所做的更改。Apple 不再允许您通过限制适当的 iOS 应用程序包来删除对“设置”应用程序和“电话”应用程序的访问权限。
配置限制设备策略以阻止某些应用程序,然后部署了该策略之后:如果以后要允许这些应用程序中的一些或全部,更改并部署限制设备策略不会更改显示。在这种情况下,iOS 不会将更改应用于 iOS 配置文件。要继续操作,请使用配置文件删除策略删除 iOS 配置文件,然后部署更新的限制设备策略。
如果将此设置更改为仅允许某些应用程序:部署此策略之前,建议使用苹果部署计划注册的设备的用户从设置助理登录其苹果帐户。否则,用户可能必须在其设备上禁用双重身份验证,才能登录其 Apple 帐户并访问允许的应用程序。
- 修改诊断提交:允许用户在设置 > Diagnostics & Usage(诊断和使用)窗格中修改诊断提交和应用程序分析设置。
- 修改蓝牙:允许用户修改蓝牙设置。
- 允许听写:仅在监督下使用。如果此限制设置为关,则不允许听写输入,包括语音转换为文本。默认设置为开。
- Modify whether Wi-Fi is on or off(修改 Wi-Fi 是打开还是关闭):阻止在“设置”或“控制中心”中打开或关闭 Wi-Fi。进入飞行模式也没有任何影响。此限制并不妨碍选择要使用的 Wi-Fi 网络。
- 仅加入通过网络策略安装的 Wi-Fi 网络:可选。仅在监督下使用。如果此限制设置为开,则仅在 Wi-Fi 网络是通过配置文件设置的情况下设备才能加入这些网络。默认设置为关。
- 允许“课堂”应用程序运行 AirPlay 和查看屏幕而不提示:如果选中此限制,教师可以在学生的设备上执行 AirPlay 和查看屏幕操作,而不提示授予权限。默认设置为未选中。适用于受监督的 iOS 设备。
- 允许“课堂”应用程序锁定到应用程序以及锁定设备而不提示:如果此限制设置为开,“课堂”应用程序会自动将用户设备锁定到某个应用程序并锁定设备,而不提示用户。默认设置为关。适用于运行 iOS 11(最低版本)的受监督设备。
- 自动加入“课堂”应用程序课程而不提示:如果此限制设置为开,“课堂”应用程序会自动将用户加入到课程中,而不提示用户。默认设置为关。适用于运行 iOS 11(最低版本)的受监督设备。
- 允许 AirPrint:如果此限制设置为关,用户将无法通过 AirPrint 打印。默认设置为开。此限制设置为开时,将显示这些额外的限制。适用于运行 iOS 11(最低版本)的受监督设备。
- 允许在钥匙串中存储 AirPrint 凭据:如果未选中此限制,AirPrint 用户名和密码将不存储在钥匙串中。默认设置为选中。适用于运行 iOS 11(最低版本)的受监督设备。
- 允许使用 iBeacon 发现 AirPrint 打印机:如果未选中此限制,则禁止 iBeacon 发现 AirPrint 打印机。此设置将阻止虚假 AirPrint 蓝牙信标对网络流量进行网络钓鱼。默认设置为选中。适用于运行 iOS 11(最低版本)的受监督设备。
- 仅允许通过 AirPrint 打印到证书受信任的目标打印机:如果选中此限制,用户可以使用 AirPrint 仅打印到证书受信任的目标打印机。默认设置为未选中。适用于运行 iOS 11(最低版本)的受监督设备。
- 添加 VPN 配置:如果此限制设置为关,用户将无法创建 VPN 配置。默认设置为开。适用于运行 iOS 11(最低版本)的受监督设备。
- 修改手机网络套餐设置:如果此限制设置为关,用户将无法修改手机网络套餐设置。默认设置为开。适用于运行 iOS 11(最低版本)的受监督设备。
- 删除系统应用程序:如果此限制设置为关,用户将无法从其设备中删除系统应用程序。默认设置为开。适用于运行 iOS 11(最低版本)的受监督设备。
- 设置新的附近的设备:如果此限制设置为“关”,用户将无法设置新的附近的设备。默认设置为开。适用于运行 iOS 11(最低版本)的受监督设备。
- 允许 USB 受限模式:如果设置为关,设备在锁定状态下可以始终连接到 USB 附属设施。默认值为开。仅适用于 iOS 11.3 及更高版本的受监督设备。
- 强制执行延迟的软件更新:如果设置为开,则延迟软件更新对用户的可见性。设置此限制后,用户在软件更新发布日期后的指定天数之后才能看到软件更新。默认设置为关。仅适用于 iOS 11.3 及更高版本的受监督设备。“操作系统更新”策略中包含用于控制设备接收更新的频率的更多设置。请参阅“操作系统更新”设备策略。
- 强制执行的软件更新延迟(天):允许您指定在设备上延迟软件更新的天数。最长延迟时间为90天。默认值为30天。仅适用于 iOS 11.3 及更高版本的受监督设备。
- 强制课堂申请离开课程的权限:如果设置为开,通过“课堂”应用程序在非托管课程中注册的学生在尝试离开课程时将向教师申请权限。默认设置为关。仅适用于 iOS 11.3 及更高版本的受监督设备。
- Force authentication before autofill(在自动填充之前强制执行身份验证):强制用户在使用自动填充功能之前进行身份验证。
- 强制自动填写日期和时间:允许您在受监督设备上自动设置日期和时间。如果设置为开,设备用户将无法在常规 > 日期和时间下取消选中自动设置。仅当设备可以确定其位置时,设备上的时区才会更新。也就是说,当设备启用了手机网络连接或启用了带定位服务的 Wi-Fi 连接时。默认设置为关。仅适用于 iOS 12 及更高版本的受监督设备。
- 密码自动填充:可选。如果禁用,用户将无法使用“自动填充密码”或“自动使用强密码”功能。默认值为开。截至 iOS 12 适用。
- 密码邻近请求:可选。如果禁用,用户的设备将不从附近的设备请求密码。默认值为开。截至 iOS 12 适用。
- 密码共享:可选。如果禁用,用户将无法使用“AirDrop 密码”功能共享其密码。默认值为开。截至 iOS 12 适用。
- Allow personal hotspot modification(允许修改个人热点):阻止用户更改个人热点设置。
- 安全 - 在锁屏界面中显示
- 控制中心:允许访问锁屏界面上的控制中心。控制中心允许用户轻松修改飞行模式、Wi-Fi、蓝牙、请勿打扰模式和锁定旋转设置。
- 通知:允许在锁屏界面上显示通知。
- “今天”视图:允许在锁屏界面上显示“今天”视图,此视图汇总了天气及当天的日历项目等信息。
- 媒体内容 - 允许
- 成人音乐、博客及 iTunes U 资料:允许用户设备上出现成人资料。
- iBooks 中暴露的性内容:允许从 iBooks 下载成人资料。
- 评分地区:设置从其获得家长控制评分的地区。在列表中,单击某个国家/地区以设置评分地区。默认值为美国。
- 电影:设置是否允许在用户设备上播放电影。如果允许播放电影,可以选择为电影设置评分级别。在列表中,单击某个选项以允许或限制在设备上播放电影。默认值为“允许所有电影”。
- 电视节目:设置是否允许在用户设备上播放电视节目。如果允许播放电视节目,可以选择为电视节目设置评分级别。在列表中,单击某个选项以允许或限制在设备上播放电视节目。默认值为“允许所有电视节目”。
- 应用程序:设置是否允许在用户设备上使用应用程序。如果允许使用应用程序,可以选择为应用程序设置评分级别。在列表中,单击某个选项以允许或限制在设备上使用应用程序。默认值为“允许所有应用程序”。
- 策略设置
- 删除策略:选择计划删除策略的方法。可用选项包括选择日期和删除前的持续时间(小时)
- 选择日期:单击日历可选择具体删除日期。
- 删除前的持续时间(小时):键入发生策略删除操作之前的小时数。仅适用于 iOS 6.0 及更高版本。
- 配置文件作用域:选择此策略是应用于用户还是整个系统。默认值为用户。此选项仅适用于 iOS 9.3 及更高版本。
- 删除策略:选择计划删除策略的方法。可用选项包括选择日期和删除前的持续时间(小时)
macOS 设置
设置 | 不受监督 | 受监督 |
---|---|---|
应用程序 | ||
允许使用游戏中心 | 否 | 是 |
允许添加游戏中心好友 | 否 | 是 |
允许多人游戏 | 否 | 是 |
允许修改游戏中心帐户 | 是 | 是 |
允许应用商店采用 | 是 | 是 |
允许 Safari 自动填充 | 否 | 是 |
需要提供管理员密码才能安装或更新应用程序 | 是 | 是 |
将应用商店限制为仅提供软件更新 | 是 | 是 |
限制允许打开的应用程序 | 是 | 是 |
媒体 | ||
允许 AirDrop | 否 | 是 |
功能 | ||
锁定桌面图片 | 否 | 是 |
允许使用相机 | 否 | 是 |
允许 Apple 音乐 | 否 | 是 |
允许 Spotlight 推荐 | 是 | 是 |
允许查找 | 是 | 是 |
允许使用本地帐户的 iCloud 密码 | 是 | 是 |
允许 iCloud 文档和数据 | 是 | 是 |
允许 iCloud 桌面和文档 | 否 | 是 |
允许iCloud钥匙串同步 | 否 | 是 |
允许 iCloud 邮件 | 是 | 是 |
允许 iCloud 通讯录 | 是 | 是 |
允许 iCloud 日历 | 是 | 是 |
允许 iCloud 提醒事项 | 是 | 是 |
允许 iCloud 书签 | 是 | 是 |
允许 iCloud 备忘录 | 是 | 是 |
允许 iCloud 照片 | 是 | 是 |
允许自动解锁 | 是 | 是 |
允许 Touch ID 解锁 Mac | 是 | 是 |
强制执行延迟的软件更新 | 否 | 是 |
密码自动填充 | 否 | 是 |
密码邻近请求 | 否 | 是 |
密码共享 | 是 | 是 |
- 首选项
- 限制系统首选项中的项目:允许或限制用户访问系统首选项。默认值为关,表示完全允许用户访问系统首选项。如果启用,可以配置以下设置。
- 系统首选项窗格:选择是启用还是禁用选择的设置。默认为启用所有设置,即默认情况下为开。
- 用户和组
- 常规
- 辅助工具
- App Store
- 软件更新
- 蓝牙
- CD 和 DVD
- 日期和时间
- 桌面和屏幕保护程序
- 显示
- 基站
- 节能程序
- 扩展
- 光纤通道
- iCloud
- Ink
- Internet 帐户
- 键盘
- 语言和文字
- Mission Control
- 鼠标
- 网络
- 通知
- 家长控制
- 打印机和扫描仪
- 配置文件
- 安全和隐私
- 共享
- 声音
- 听写和语音
- Spotlight
- 启动磁盘
- Time Machine
- 触控板
- Xsan
- 系统首选项窗格:选择是启用还是禁用选择的设置。默认为启用所有设置,即默认情况下为开。
- 限制系统首选项中的项目:允许或限制用户访问系统首选项。默认值为关,表示完全允许用户访问系统首选项。如果启用,可以配置以下设置。
- 应用程序
- 允许使用游戏中心:允许用户通过游戏中心在线玩游戏。默认值为开。
- 允许添加游戏中心好友:允许用户向好友发送玩游戏通知。默认值为开。
- 允许多人游戏:允许用户发起多人游戏。默认值为开。
- 允许修改游戏中心帐户:允许用户修改其游戏中心帐户设置。默认值为开。
- 允许应用商店采用:允许或限制应用商店采用 OS X 中预先存在的应用程序。默认设置为开。
- 允许 Safari 自动填充:允许 Safari 自动使用其存储的密码、地址和其他基本信息填充 Web 站点上的字段。默认值为开。
- 需要提供管理员密码才能安装或更新应用程序:需要提供管理员密码才能安装或更新应用程序。默认值为关,表示无需提供管理员密码。
- 将应用商店限制为仅提供软件更新:将应用商店限制为仅提供更新,这样会在应用商店中禁用除“更新”之外的所有选项卡。默认值为关,即允许完整的应用商店访问。
- 限制允许打开的应用程序:限制或允许用户可以使用的应用程序。默认值为“关”,表示所有应用程序均可以使用。如果启用,请配置以下设置:
- 允许运行的应用程序:单击添加,输入允许启动的应用程序的名称和捆绑包 ID,然后单击保存。对于 Citrix 移动生产力应用程序,请在添加应用程序时使用软件包 ID字段中的 ID。请对允许启动的每个应用程序重复此步骤。
- 不允许使用的文件夹:单击添加,键入要限制用户访问的文件夹的文件路径(例如,/Applications/Utilities),然后单击保存。为不希望用户访问的所有文件夹重复此步骤。
- 允许使用的文件夹:单击添加,键入要允许用户访问的文件夹的文件路径,然后单击保存。为希望用户可以访问的所有文件夹重复此步骤。
- 小组件
- 仅允许运行以下控制板小组件:如果设置为开,用户只能运行此设置中配置的控制板小组件。默认值为关,表示允许用户运行所有小组件。如果启用,可以配置以下设置:
- 允许运行的小组件:单击添加,键入允许运行的小组件的名称和 ID,然后单击保存。为希望在控制板上运行的每个小组件重复执行此步骤。
- 仅允许运行以下控制板小组件:如果设置为开,用户只能运行此设置中配置的控制板小组件。默认值为关,表示允许用户运行所有小组件。如果启用,可以配置以下设置:
- 媒体
- 允许 AirDrop:允许用户与附近的 iOS 设备共享照片、视频、Web 站点、位置及其他信息。
- 共享
- 自动启用新共享服务:选择是否自动启用共享服务。
- 邮件:选择是否允许使用共享的邮箱。
- Facebook:选择是否允许使用共享的 Facebook 帐户。
- 视频服务 - Flickr、Vimeo、Tudou 和 Youku:选择是否允许使用共享的视频服务。
- 添加到 Aperture:选择是否允许将共享功能添加到 Aperture。
- 新浪微博:选择是否允许使用共享的新浪微博帐户。
- Twitter:选择是否允许使用共享的 Twitter 帐户。
- 消息:选择是否允许对消息进行共享访问。
- 添加到 iPhoto:选择是否允许将共享功能添加到 iPhoto。
- 添加到阅读列表:选择是否允许将共享功能添加到阅读列表。
- AirDrop:选择是否允许使用共享的 AirDrop 帐户。
- 功能
- 锁定桌面图片:选择用户是否可以更改桌面图片。默认值为关,表示用户可以更改桌面图片。
- 允许使用相机:选择用户是否可以在其 Mac 上使用相机。默认值为关,表示用户无法使用相机。
- 允许 Apple 音乐:允许用户使用 Apple 音乐服务(macOS 10.12 及更高版本)。如果您不允许使用 Apple 音乐服务,则音乐应用程序以经典模式运行。仅适用于受监督的设备。默认值为开。
- 允许 Spotlight 推荐:选择用户是否可以使用 Spotlight 推荐搜索其 Mac 并提供来自 Internet 和 App Store 的 Spotlight 推荐。默认值为关,表示阻止用户使用 Spotlight 推荐。
- 允许查找:选择用户是否可以使用上下文菜单或 Spotlight 搜索菜单查找字词的定义。默认值为“关”,表示阻止用户在其 Mac 上使用查找。
- 允许使用本地帐户的 iCloud 密码:选择用户是否可以使用其 Apple ID 和 iCloud 密码登录其 Mac。启用此策略意味着用户对其 Mac 上的所有登录屏幕仅使用一个 ID 和密码。默认值为开,表示允许用户使用其 Apple ID 和 iCloud 密码访问其 Mac。
- 允许使用 iCloud 文档和数据:选择是否允许用户在其 Mac 上访问存储在 iCloud 上的文档和数据。默认值为开,表示阻止用户在其 Mac 上使用 iCloud 文档和数据。
- 允许 iCloud 桌面和文档:(macOS 10.12.4 及更高版本)默认选中。
- 允许iCloud钥匙串同步:允许iCloud钥匙串同步(macOS 10.12 及更高版本)。默认值为开。
- 允许 iCloud 邮件:允许用户使用 iCloud 邮件(macOS 10.12 及更高版本)。默认值为开。
- 允许 iCloud 通讯录:允许用户使用 iCloud 通讯录(macOS 10.12 及更高版本)。默认值为开。
- 允许 iCloud 日历:允许用户使用 iCloud 日历(macOS 10.12 及更高版本)。默认值为开。
- 允许 iCloud 提醒事项:允许用户使用 iCloud 提醒事项(macOS 10.12 及更高版本)。默认值为开。
- 允许 iCloud 书签:允许用户与 iCloud 书签同步(macOS 10.12 及更高版本)。默认值为开。
- 允许 iCloud 备忘录:允许用户使用 iCloud 备忘录(macOS 10.12 及更高版本)。默认值为开。
- 允许 iCloud 照片:如果将此设置更改为关,未完全从 iCloud 照片库中下载的所有照片都将从本地设备存储中删除(macOS 10.12 及更高版本)。默认值为开。
- 允许自动解锁:有关此选项及 Apple Watch 的信息,请参阅https://www.imore.com/auto-unlock(macOS 10.12 及更高版本)。默认值为开。
- 允许 Touch ID 解锁 Mac:(macOS 10.12.4 及更高版本)。默认值为开。
- 强制执行延迟的软件更新:如果设置为开,此设置将延迟软件更新对用户的可见性。用户在软件更新发布日期后的指定天数之后才能看到软件更新。默认设置为关。仅适用于运行 macOS 10.13.4 及更高版本的受监督设备。“操作系统更新”策略中包含用于控制设备接收更新的频率的更多设置。请参阅“操作系统更新”设备策略。
- 强制执行的软件更新延迟(天):指定在设备上延迟软件更新的天数。最大值为 90 天。默认值为30。仅适用于运行 macOS 10.13.4 及更高版本的受监督设备。
- 密码自动填充:可选。如果禁用,用户将无法使用“自动填充密码”或“自动使用强密码”功能。默认值为开。(macOS 10.14 及更高版本)
- 密码邻近请求:可选。如果禁用,用户的设备将不从附近的设备请求密码。默认值为开。(macOS 10.14 及更高版本)
- 密码共享:可选。如果禁用,用户将无法使用“AirDrop 密码”功能共享其密码。默认值为开。(macOS 10.14 及更高版本)
tvOS 设置
- 安全性和媒体设置 - 允许
- 首次 AirPlay 配对时输入通行码:需要使用屏幕上显示的一次性代码验证已启用 AirPlay 的设备才可以使用 AirPlay。
- iBooks 中暴露的性内容:允许从 iBooks 下载成人资料。
- 成人音乐、博客及 iTunes U 资料:允许用户设备上出现成人资料。
- 应用程序内购买:允许用户进行应用程序内购买。
- 所有购买均需使用 Apple App Store 密码:需要密码才能进行应用程序内购买。默认为限制此功能,也就是说进行应用程序内购买无需密码。
- 仅监管设置 - 允许
- 修改设备名称:允许用户更改其设备的名称。
- 允许与 Apple TV Remote 应用程序配对:允许用户将其设备与 Apple TV Remote 应用程序配对。
Siri 猥亵语言过滤:Siri 猥亵语言过滤:启用 Siri 猥亵语言过滤。默认为限制此功能,也就是说不会进行猥亵语言过滤。
有关 Siri 和安全性的详细信息,请参阅Siri 和听写策略。
- 启用 AirPlay:允许用户在此设备上通过流技术推送内容或镜像其 iOS 设备屏幕。
受限应用程序使用:允许用户使用所有应用程序或者使用或不使用某些应用程序,具体取决于您提供的捆绑包 ID。仅适用于受监督的设备。
配置限制设备策略以阻止某些应用程序,然后部署了该策略之后:如果以后要允许这些应用程序中的一些或全部,更改并部署限制设备策略不会更改显示。在这种情况下,iOS 不会将更改应用于 iOS 配置文件。
如果将此设置更改为仅允许某些应用程序:部署此策略之前,建议使用苹果部署计划注册的设备的用户从设置助理登录其苹果帐户。否则,用户可能必须在其设备上禁用双重身份验证,才能登录其 Apple 帐户并访问允许的应用程序。
- 策略设置
- 删除策略:选择计划删除策略的方法。可用选项包括选择日期和删除前的持续时间(小时)
- 选择日期:单击日历可选择具体删除日期。
- 删除前的持续时间(小时):键入发生策略删除操作之前的小时数。
- 允许用户删除策略:可以选择用户何时可以从其设备中删除策略。从菜单中选择始终、需要通行码或从不。如果选择需要通行码,请在删除通行码字段中键入通行码。不适用于 iOS。
- 删除策略:选择计划删除策略的方法。可用选项包括选择日期和删除前的持续时间(小时)
Android 设置
- 相机:允许用户在其设备上使用相机。如果设置为关,则将禁用相机。默认值为开。
Android Enterprise 设置
当新的或已恢复出厂设置的 Android 设备在工作配置文件模式下注册时,运行 Android 9.0-10.x 的设备会注册为具有工作配置文件的完全托管设备。运行 Android 11+ 的设备将注册为企业拥有的设备上的工作配置文件。限制策略可以应用到设备上的工作配置文件,也可以应用到托管设备。
在企业拥有的设备上的工作配置文件模式下注册的设备上,以下限制不起作用:
- 允许备份服务
- 启用系统应用程序
- 保持键盘锁不锁定设备
- 允许使用状态栏
- 保持设备屏幕处于打开状态
- 允许用户控制应用程序设置
- 允许用户配置用户凭据
- 允许 VPN 配置
- 允许 USB 大容量存储
- 允许恢复出厂设置
- 允许卸载应用程序
- 允许使用非 Google Play 应用程序
- 允许跨配置文件复制和粘贴
- 启用应用程序验证
- 允许帐户管理
- 允许打印
- 允许使用 NFC
- 允许添加用户
默认情况下,如果某个设备是在工作配置文件模式下在 Android Enterprise 中注册的,USB 调试和未知来源设置在该设备上将处于禁用状态。
观看此视频以了解更多:
- 应用到具有工作配置文件/企业拥有的设备上的工作配置文件的完全托管设备:允许为具有工作配置文件的完全托管设备配置凭据策略设置。这些设备也称为 COPE(企业拥有但由个人使用)设备。当此设置设为开时,选择以下设置之一:
- 工作配置文件:您配置的限制设置仅适用于设备上的工作配置文件。
- 托管设备:您配置的限制设置仅适用于设备。
当此设置设为关时,您配置的凭据设置将应用到设备,但明确应用于工作配置文件的设置除外。默认设置为关。
当应用到具有工作配置文件/企业拥有的设备上的工作配置文件的完全托管设备处于关闭状态时,请配置以下设置:
安全性
- 允许帐户管理:允许在工作配置文件和托管设备中向帐户中添加对象。默认设置为关。
- Allow copy and paste from work profile(允许从工作配置文件复制和粘贴):如果设置为On(开),用户可以将工作配置文件中的应用程序中的数据复制并粘贴到个人配置文件中的应用程序。默认设置为关。
- Allow data sharing from personal profile(允许从个人配置文件共享数据):如果设置为On(开),用户可以将个人配置文件中的 应用程序中的文件和数据复制、粘贴和共享到工作配置文件中的应用程序。默认设置为关。
- 允许屏幕捕获:允许用户记录或捕获设备屏幕的屏幕拍图。默认设置为关。
- 允许使用相机:允许用户使用设备摄像头拍照并制作视频。默认设置为关。
- 允许 VPN 配置:允许用户创建 VPN 配置。适用于运行 Android 6 及更高版本的工作配置文件设备以及完全托管设备。默认值为开。
- 允许备份服务:允许用户备份其设备上的应用程序和系统数据。默认值为开。
- 允许使用 NFC:允许用户使用近场通信 (NFC) 从其设备向其他设备发送 Web 页面、照片、视频或其他内容。适用于 MDM 4.0 及更高版本。默认值为开。
- 允许配置位置提供程序:允许用户在其设备上打开 GPS。适用于 Android API 28 及更高版本。默认值为开。
允许位置共享:对于托管配置文件,设备所有者可以覆盖此设置。默认设置为关。
提示:
可以在 Endpoint Management 中创建定位设备策略以强制实施地理边界。请参阅位置设备策略。
- 允许用户配置用户凭据:指定用户是否可以在托管密钥库中配置凭据。默认值为开。
- 允许打印:如果为开,则此设置允许用户打印到任何可通过用户设备访问的打印机。默认值为关。适用于:Android 9 及更高版本。
- 允许 USB 调试:默认值为关。
应用程序
- 启用系统应用程序:允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序,请单击系统应用程序列表表中的添加。
- 系统应用程序列表:要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称,可以使用 Android Debug Bridge (
adb
) 调用 Android 软件包管理器 (pm
) 命令。例如,adb shell "pm list packages -f name"
,其中“name”为软件包名称的一部分。有关详细信息,请参阅https://developer.android.com/studio/command-line/adb。对于 Android Enterprise 设备,可以使用Android Enterprise 应用程序权限策略限制应用程序权限。
- 系统应用程序列表:要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称,可以使用 Android Debug Bridge (
- 禁用应用程序:阻止列出的指定应用程序在设备上运行。默认设置为关。要禁用已安装的应用程序,请将该设置更改为开,然后单击应用程序列表表中的添加。
- 应用程序列表:要阻止的应用程序的列表。请将禁用应用程序设置为开并添加应用程序。请键入应用程序软件包名称。更改和部署某个应用程序列表将覆盖之前的应用程序列表。例如:如果禁用了 com.example1 和 com.example2,然后将列表更改为 com.example1 和 com.example3,Endpoint Management 将启用 com.example.2。
- 启用应用程序验证:允许操作系统扫描应用程序以检测恶意行为。默认值为开。
- 启用 Google 应用程序:允许用户将 Google Mobile Services 中的应用程序下载到设备中。默认值为开。
- 允许使用非 Google Play 应用程序:允许从 Google Play 之外的应用商店安装应用程序。默认设置为关。
- Allow non-Google Play apps for all profiles(允许所有配置文件使用非 Google Play 应用程序):如果设置为On(开),则用户可以在设备上的所有配置文件中安装 Google Play 以外的其他应用商店中的应用程序。默认设置为关。
- 允许用户控制应用程序设置:允许用户卸载应用程序、禁用应用程序、清除缓存和数据、强制停止任何应用程序以及清除默认设置。用户将从“设置”应用程序执行这些操作。默认值为关。
- 允许卸载应用程序:允许用户从托管的 Google Play Store 中卸载应用程序。默认设置为关。
- 启用系统应用程序:允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序,请单击系统应用程序列表表中的添加。
BYOD 工作配置文件
- 启用已连接的应用程序:如果启用,用户可以选择能够利用工作和个人数据跨工作和个人配置文件进行通信的应用程序。启用后,点按“添加”,选择所需的应用程序,然后点按“保存”。启用此功能需要工作配置文件。默认设置为关。
- 允许在主屏幕上显示工作配置文件应用程序小组件:如果此设置设为开,则用户可以将工作配置文件应用程序小组件放置在设备主屏幕上。如果此设置设为关,则用户无法将工作配置文件应用程序小组件放置在设备主屏幕上。默认设置为关。
- Apps with allowed widgets(具有允许的小组件的应用程序):要允许显示在主屏幕上的应用程序的列表。将允许在主屏幕上显示工作配置文件应用程序小组件设置为开并添加应用程序。单击添加并从列表中选择希望允许在主屏幕上显示其小组件的应用程序。单击保存。重复该过程将允许更多应用程序小组件。
- 允许在设备联系人中添加工作配置文件联系人:在家长配置文件中显示托管 Android Enterprise 配置文件中的联系人,以便接收传入呼叫(Android 7.0 及更高版本)。默认设置为关。
仅限完全托管设备
- 允许添加用户:允许用户在设备上添加新用户。默认值为开。
- 允许数据漫游:允许用户在漫游时使用手机网络数据。默认值为“关”,即在用户设备上禁用漫游。默认设置为关。
- 允许短信:允许用户发送和接收短消息。默认设置为关。
- 允许使用状态栏:如果为开,此设置将在托管设备和专用设备(又称为 COSU 设备)上启用状态栏。此设置将禁用通知、快速设置以及其他促使退出全屏模式的屏幕叠加。用户可以转到系统设置并查看通知。适用于 Android 6.0 及更高版本。默认设置为关。
- 允许使用蓝牙:允许用户使用蓝牙。默认值为开。
- 允许蓝牙共享:如果未选择,用户将无法在其设备上建立传出蓝牙共享。默认处于选中状态。
- 允许配置日期和时间:允许用户在其设备上更改日期和时间。默认值为开。
- 允许恢复出厂设置:允许用户在其设备上恢复出厂设置。默认值为开。
- 保持设备屏幕处于打开状态:如果此设置设为开,设备插入时设备屏幕保持打开状态。默认设置为关。
- 允许 USB 大容量存储:允许通过 USB 连接在用户的设备与计算机之间传输大型数据文件。默认值为开。
- 允许使用麦克风:允许用户在其设备上使用麦克风。默认值为开。
- 允许网络共享:允许用户配置便携式热点和网络共享数据。默认设置为关。
- 保持键盘锁不锁定设备:如果为开,此设置将在托管设备和专用设备(又称为 COSU 设备)上的锁屏界面上禁用键盘锁。默认设置为关。
- 允许更改 Wi-Fi:如果为开,用户可以打开或关闭 Wi-Fi 并连接到 Wi-Fi 网络。默认值为开。
- 允许文件传输:允许通过 USB 进行文件传输。默认设置为关。
Samsung
- 启用 TIMA 密钥库:TIMA 密钥库为对称密钥提供基于 TrustZone 的安全密钥存储。RSA 密钥对和证书路由到默认密钥库提供商进行存储。默认设置为关。
- 允许共享列表:允许用户在“共享方式”列表中的应用程序之间共享内容。默认值为开。
- 启用审核日志:启用事件审核日志的创建,以便对设备进行取证分析。默认设置为关。
Samsung: 仅限完全托管设备
- 启用 ODE 可信引导验证:使用 ODE 可信引导验证建立从引导加载程序到系统映像的信任链。默认值为开。
- 仅允许紧急呼叫:允许用户在其设备上启用“仅限紧急呼叫”模式。默认设置为关。
- 允许固件恢复:允许用户在其设备上恢复固件。默认值为开。
- 允许快速加密:允许仅加密已使用的内存空间。此加密与完全磁盘加密(用于加密所有数据)完全不同。该数据包括设置、应用程序数据、已下载的文件和应用程序、媒体及其他文件。默认值为开。
- 启用通用准则模式:将设备置于通用准则模式。通用准则配置强制执行严苛的安全流程。默认值为开。
- 启用重新启动横幅:当用户的设备重新启动时,显示 DoD 批准的系统使用通知消息或横幅。默认设置为关。
- 允许更改设置:允许用户更改其完全托管设备上的设置。默认值为开。
- 启用后台数据使用:允许应用程序在后台同步数据,适用于完全托管设备。默认值为开。
- 允许使用剪贴板:允许用户在其设备上将数据复制到剪贴板。
- 允许剪贴板共享:允许用户在其设备和某个计算机之间共享剪贴板内容(MDM 4.0 及更高版本)。
- 允许使用 Home 键:允许用户在其完全托管设备上使用Home键。默认值为开。
- 允许模拟位置:允许用户伪造其 GPS 位置。适用于完全托管设备。默认设置为关。
- NFC:允许用户在其完全托管设备上使用 NFC(MDM 3.0 及更高版本)。默认值为开。
- 允许关闭电源:允许用户关闭其完全托管设备(MDM 3.0 及更高版本)的电源。默认值为开。
- 允许使用 Wi-Fi Direct:允许用户通过其 Wi-Fi 连接直接连接到其他设备。默认值为开。如果为开,则必须启用允许更改 Wi-Fi设置。
- 允许使用 SD 卡:允许用户在其设备上使用 SD 卡(如果可用)。默认值为开。
- 允许 USB 主机存储:当 USB 设备连接到用户的设备时,允许用户的设备充当 USB 主机。然后,用户的设备为 USB 设备提供电源。默认值为开。
- 允许使用语音拨号器:允许用户在其设备上使用语音拨号器(MDM 4.0 及更高版本)。默认值为开。
- 允许 S Beam:允许用户使用 NFC 和 Wi-Fi Direct 与其他人共享内容(MDM 4.0 及更高版本)。默认值为开。
- 允许 S Voice:允许用户在其设备上使用智能个人助手和知识导航器(MDM 4.0 及更高版本)。默认值为开。
- 允许 USB 网络共享:允许用户使用其 USB 连接与其他设备共享移动数据连接。默认值为关。如果为开,则允许网络共享设置也必须为开。
- 允许蓝牙网络共享:允许用户使用其蓝牙连接与其他设备共享移动数据连接。默认值为关。如果为开,则允许网络共享设置也必须为开。
- 允许蓝牙共享:如果未选择,用户将无法在其设备上建立传出蓝牙共享。默认处于选中状态。
- 允许 Wi-Fi 网络共享:允许用户使用其 Wi-Fi 连接与其他设备共享移动数据连接。默认值为关。如果为开,则允许网络共享设置也必须为开。
- 允许传入 MMS:允许用户接收 MMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 允许传出 MMS:允许用户发送 MMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 允许传入 SMS:允许用户接收 SMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 允许传出 SMS:允许用户发送 SMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 配置移动网络:允许用户使用其手机网络数据连接。默认设置为关。
- 按天限制(MB):输入移动数据用户每天可以使用的 MB 数。默认值为 0,表示禁用此功能(MDM 4.0 及更高版本)。
- 按周限制(MB):输入移动数据用户每周可以使用的 MB 数。默认值为 0,表示禁用此功能(MDM 4.0 及更高版本)。
- 按月限制(MB):输入移动数据用户每月可以使用的 MB 数。默认值为 0,表示禁用此功能(MDM 4.0 及更高版本)。
- 仅允许建立安全的 VPN 连接:允许用户仅使用安全连接(MDM 4.0 及更高版本)。默认值为开。
- 允许录制音频:允许用户使用其设备录制音频(MDM 4.0 及更高版本)。默认值为开。如果为开,则必须打开允许使用麦克风设置。
- 允许录制视频:允许用户使用其设备录制视频(MDM 4.0 及更高版本)。默认设置为关。如果为开,则必须打开允许使用相机设置。
- 允许漫游时推送消息:允许用户使用手机网络数据进行推送。默认设置为关。如果为开,则必须启用允许数据漫游设置。
- 允许漫游时自动同步:允许用户使用手机网络数据进行同步。默认设置为关。如果为开,则必须启用允许数据漫游设置。
- 允许漫游时语音通话:允许用户使用手机网络数据进行语音通话。默认设置为关。如果为开,则必须启用允许数据漫游设置。
Samsung: 完全托管设备
- 启用吊销检查:启用对已吊销证书的检查。默认设置为关。
当适用于具有工作配置文件/企业拥有的设备上的工作配置文件的完全托管设备设置为“开”且对于具有工作配置文件的完全托管设备,请将策略应用到设置为工作配置文件时,请配置以下设置:
安全性
- 允许帐户管理:允许在工作配置文件和托管设备中向帐户中添加对象。默认设置为关。
- 允许跨配置文件复制粘贴:如果为开,用户可以在 Android Enterprise 配置文件中的应用程序和个人区域中的应用程序之间执行复制和粘贴操作。默认设置为关。
- 允许屏幕捕获:允许用户记录或捕获设备屏幕的屏幕拍图。默认设置为关。
- 允许使用相机:允许用户使用设备摄像头拍照并制作视频。默认设置为关。
- 允许配置位置提供程序:允许用户在其设备上打开 GPS。适用于 Android API 28 及更高版本。默认值为开。
允许位置共享:对于托管配置文件,设备所有者可以覆盖此设置。默认设置为关。
提示:
可以在 Endpoint Management 中创建定位设备策略以强制实施地理边界。请参阅位置设备策略。
- 允许用户配置用户凭据:指定用户是否可以在托管密钥库中配置凭据。默认值为开。
- 允许打印:如果为开,则此设置允许用户打印到任何可通过用户设备访问的打印机。默认值为关。适用于:Android 9 及更高版本。
应用程序
- 启用系统应用程序:允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序,请单击系统应用程序列表表中的添加。
- 系统应用程序列表:要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称,可以使用 Android Debug Bridge (
adb
) 调用 Android 软件包管理器 (pm
) 命令。例如,adb shell "pm list packages -f name"
,其中“name”为软件包名称的一部分。有关详细信息,请参阅https://developer.android.com/studio/command-line/adb。对于 Android Enterprise 设备,可以使用Android Enterprise 应用程序权限策略限制应用程序权限。
- 系统应用程序列表:要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称,可以使用 Android Debug Bridge (
- 禁用应用程序:阻止列出的指定应用程序在设备上运行。默认设置为关。要禁用已安装的应用程序,请将该设置更改为开,然后单击应用程序列表表中的添加。
- 应用程序列表:要阻止的应用程序的列表。请将禁用应用程序设置为开并添加应用程序。请键入应用程序软件包名称。更改和部署某个应用程序列表将覆盖之前的应用程序列表。例如:如果禁用了 com.example1 和 com.example2,然后将列表更改为 com.example1 和 com.example3,Endpoint Management 将启用 com.example.2。
- 启用应用程序验证:允许操作系统扫描应用程序以检测恶意行为。默认值为开。
- 启用 Google 应用程序:允许用户将 Google Mobile Services 中的应用程序下载到设备中。默认值为开。
- 允许使用非 Google Play 应用程序:允许从 Google Play 之外的应用商店安装应用程序。默认设置为关。
- 允许用户控制应用程序设置:允许用户卸载应用程序、禁用应用程序、清除缓存和数据、强制停止任何应用程序以及清除默认设置。用户将从“设置”应用程序执行这些操作。默认值为关。
- 允许卸载应用程序:允许用户从托管的 Google Play Store 中卸载应用程序。默认设置为关。
- 启用系统应用程序:允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序,请单击系统应用程序列表表中的添加。
BYOD 工作配置文件
- 允许在主屏幕上显示工作配置文件应用程序小组件:如果此设置设为开,则用户可以将工作配置文件应用程序小组件放置在设备主屏幕上。如果此设置设为关,则用户无法将工作配置文件应用程序小组件放置在设备主屏幕上。默认设置为关。
- Apps with allowed widgets(具有允许的小组件的应用程序):要允许显示在主屏幕上的应用程序的列表。将允许在主屏幕上显示工作配置文件应用程序小组件设置为开并添加应用程序。单击添加并从列表中选择希望允许在主屏幕上显示其小组件的应用程序。单击保存。重复该过程将允许更多应用程序小组件。
- 允许在设备联系人中添加工作配置文件联系人:在家长配置文件中显示托管 Android Enterprise 配置文件中的联系人,以便接收传入呼叫(Android 7.0 及更高版本)。默认设置为关。
- 允许在主屏幕上显示工作配置文件应用程序小组件:如果此设置设为开,则用户可以将工作配置文件应用程序小组件放置在设备主屏幕上。如果此设置设为关,则用户无法将工作配置文件应用程序小组件放置在设备主屏幕上。默认设置为关。
Samsung
- 启用 TIMA 密钥库:TIMA 密钥库为对称密钥提供基于 TrustZone 的安全密钥存储。RSA 密钥对和证书路由到默认密钥库提供商进行存储。默认设置为关。
- 允许共享列表:允许用户在“共享方式”列表中的应用程序之间共享内容。默认值为开。
- 启用审核日志:启用事件审核日志的创建,以便对设备进行取证分析。默认设置为关。
Samsung: 完全托管设备
- 启用吊销检查:启用对已吊销证书的检查。默认设置为关。
当适用于具有工作配置文件/企业拥有的设备上的工作配置文件的完全托管设备设置为“开”且对于具有工作配置文件的完全托管设备,请将策略应用到设置为托管设备时,请配置以下设置:
安全性
- 允许帐户管理:允许在工作配置文件和托管设备中向帐户中添加对象。默认设置为关。
- 允许跨配置文件复制粘贴:如果为开,用户可以在 Android Enterprise 配置文件中的应用程序和个人区域中的应用程序之间执行复制和粘贴操作。默认设置为关。
- 允许屏幕捕获:允许用户记录或捕获设备屏幕的屏幕拍图。默认设置为关。
- 允许使用相机:允许用户使用设备摄像头拍照并制作视频。默认设置为关。
- 允许 VPN 配置:允许用户创建 VPN 配置。适用于运行 Android 6 及更高版本的工作配置文件设备以及完全托管设备。默认值为开。
- 允许备份服务:允许用户备份其设备上的应用程序和系统数据。默认值为开。
- 允许使用 NFC:允许用户使用近场通信 (NFC) 从其设备向其他设备发送 Web 页面、照片、视频或其他内容。适用于 MDM 4.0 及更高版本。默认值为开。
- 允许配置位置提供程序:允许用户在其设备上打开 GPS。适用于 Android API 28 及更高版本。默认值为开。
允许位置共享:对于托管配置文件,设备所有者可以覆盖此设置。默认设置为关。
提示:
可以在 Endpoint Management 中创建定位设备策略以强制实施地理边界。请参阅位置设备策略。
- 允许用户配置用户凭据:指定用户是否可以在托管密钥库中配置凭据。默认值为开。
- 允许打印:如果为开,则此设置允许用户打印到任何可通过用户设备访问的打印机。默认值为关。适用于:Android 9 及更高版本。
- 允许 USB 调试:默认值为关。
应用程序
- 启用系统应用程序:允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序,请单击系统应用程序列表表中的添加。
- 系统应用程序列表:要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称,可以使用 Android Debug Bridge (
adb
) 调用 Android 软件包管理器 (pm
) 命令。例如,adb shell "pm list packages -f name"
,其中“name”为软件包名称的一部分。有关详细信息,请参阅https://developer.android.com/studio/command-line/adb。对于 Android Enterprise 设备,可以使用Android Enterprise 应用程序权限策略限制应用程序权限。
- 系统应用程序列表:要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称,可以使用 Android Debug Bridge (
- 禁用应用程序:阻止列出的指定应用程序在设备上运行。默认设置为关。要禁用已安装的应用程序,请将该设置更改为开,然后单击应用程序列表表中的添加。
- 应用程序列表:要阻止的应用程序的列表。请将禁用应用程序设置为开并添加应用程序。请键入应用程序软件包名称。更改和部署某个应用程序列表将覆盖之前的应用程序列表。例如:如果禁用了 com.example1 和 com.example2,然后将列表更改为 com.example1 和 com.example3,Endpoint Management 将启用 com.example.2。
- 启用应用程序验证:允许操作系统扫描应用程序以检测恶意行为。默认值为开。
- 启用 Google 应用程序:允许用户将 Google Mobile Services 中的应用程序下载到设备中。默认值为开。
- 允许使用非 Google Play 应用程序:允许从 Google Play 之外的应用商店安装应用程序。默认设置为关。
- 允许用户控制应用程序设置:允许用户卸载应用程序、禁用应用程序、清除缓存和数据、强制停止任何应用程序以及清除默认设置。用户将从“设置”应用程序执行这些操作。默认值为关。
- 允许卸载应用程序:允许用户从托管的 Google Play Store 中卸载应用程序。默认设置为关。
- 启用系统应用程序:允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序,请单击系统应用程序列表表中的添加。
仅限完全托管设备
- 允许添加用户:允许用户在设备上添加新用户。默认值为开。
- 允许数据漫游:允许用户在漫游时使用手机网络数据。默认值为“关”,即在用户设备上禁用漫游。默认设置为关。
- 允许短信:允许用户发送和接收短消息。默认设置为关。
- 允许使用状态栏:如果为开,此设置将在托管设备和专用设备(又称为 COSU 设备)上启用状态栏。此设置将禁用通知、快速设置以及其他促使退出全屏模式的屏幕叠加。用户可以转到系统设置并查看通知。适用于 Android 6.0 及更高版本。默认设置为关。
- 允许使用蓝牙:允许用户使用蓝牙。默认值为开。
- 允许蓝牙共享:如果未选择,用户将无法在其设备上建立传出蓝牙共享。默认处于选中状态。
- 允许配置日期和时间:允许用户在其设备上更改日期和时间。默认值为开。
- 允许恢复出厂设置:允许用户在其设备上恢复出厂设置。默认值为开。
- Allow factory reset protection(允许恢复出厂设置保护):如果设置为On(开),则在使用恢复模式重置设备时,用户必须提供重置前设备上的帐户的凭据。如果在重置之前设置了设备锁,他们还可以提供设备锁。如果设置为Off(关),则重置后无需进行身份验证。默认值为开。
- 保持设备屏幕处于打开状态:如果此设置设为开,设备插入时设备屏幕保持打开状态。默认设置为关。
- 允许 USB 大容量存储:允许通过 USB 连接在用户的设备与计算机之间传输大型数据文件。默认值为开。
- 允许使用麦克风:允许用户在其设备上使用麦克风。默认值为开。
- 允许网络共享:允许用户配置便携式热点和网络共享数据。默认设置为关。启用此设置时,这些设置适用于 Samsung 设备:
- 保持键盘锁不锁定设备:如果为开,此设置将在托管设备和专用设备(又称为 COSU 设备)上的锁屏界面上禁用键盘锁。默认设置为关。
- 允许更改 Wi-Fi:如果为开,用户可以打开或关闭 Wi-Fi 并连接到 Wi-Fi 网络。默认值为开。
- 允许文件传输:允许通过 USB 进行文件传输。默认设置为关。
Samsung
- 启用 TIMA 密钥库:TIMA 密钥库为对称密钥提供基于 TrustZone 的安全密钥存储。RSA 密钥对和证书路由到默认密钥库提供商进行存储。默认设置为关。
- 允许共享列表:允许用户在“共享方式”列表中的应用程序之间共享内容。默认值为开。
- 启用审核日志:启用事件审核日志的创建,以便对设备进行取证分析。默认设置为关。
Samsung: 仅限完全托管设备
- 启用 ODE 可信引导验证:使用 ODE 可信引导验证建立从引导加载程序到系统映像的信任链。默认值为开。
- 仅允许紧急呼叫:允许用户在其设备上启用“仅限紧急呼叫”模式。默认设置为关。
- 允许固件恢复:允许用户在其设备上恢复固件。默认值为开。
- 允许快速加密:允许仅加密已使用的内存空间。此加密与完全磁盘加密(用于加密所有数据)完全不同。该数据包括设置、应用程序数据、已下载的文件和应用程序、媒体及其他文件。默认值为开。
- 启用通用准则模式:将设备置于通用准则模式。通用准则配置强制执行严苛的安全流程。默认值为开。
- 启用重新启动横幅:当用户的设备重新启动时,显示 DoD 批准的系统使用通知消息或横幅。默认设置为关。
- 允许更改设置:允许用户更改其完全托管设备上的设置。默认值为开。
- 启用后台数据使用:允许应用程序在后台同步数据,适用于完全托管设备。默认值为开。
- 允许使用剪贴板:允许用户在其设备上将数据复制到剪贴板。默认值为开。
- 允许剪贴板共享:允许用户在其设备和某个计算机之间共享剪贴板内容(MDM 4.0 及更高版本)。
- 允许使用 Home 键:允许用户在其完全托管设备上使用Home键。默认值为开。
- 允许模拟位置:允许用户伪造其 GPS 位置。适用于完全托管设备。默认设置为关。
- NFC:允许用户在其完全托管设备上使用 NFC(MDM 3.0 及更高版本)。默认值为开。
- 允许关闭电源:允许用户关闭其完全托管设备(MDM 3.0 及更高版本)的电源。默认值为开。
- 允许使用 Wi-Fi Direct:允许用户通过其 Wi-Fi 连接直接连接到其他设备。默认值为开。如果为开,则必须启用允许更改 Wi-Fi设置。
- 允许使用 SD 卡:允许用户在其设备上使用 SD 卡(如果可用)。默认值为开。
- 允许 USB 主机存储:当 USB 设备连接到用户的设备时,允许用户的设备充当 USB 主机。然后,用户的设备为 USB 设备提供电源。默认值为开。
- 允许使用语音拨号器:允许用户在其设备上使用语音拨号器(MDM 4.0 及更高版本)。默认值为开。
- 允许 S Beam:允许用户使用 NFC 和 Wi-Fi Direct 与其他人共享内容(MDM 4.0 及更高版本)。默认值为开。
- 允许 S Voice:允许用户在其设备上使用智能个人助手和知识导航器(MDM 4.0 及更高版本)。默认值为开。
- 允许 USB 网络共享:允许用户使用其 USB 连接与其他设备共享移动数据连接。默认值为关。如果为开,则允许网络共享设置也必须为开。
- 允许蓝牙网络共享:允许用户使用其蓝牙连接与其他设备共享移动数据连接。默认值为关。如果为开,则允许网络共享设置也必须为开。
- 允许 Wi-Fi 网络共享:允许用户使用其 Wi-Fi 连接与其他设备共享移动数据连接。默认值为关。如果为开,则允许网络共享设置也必须为开。
- 允许传入 MMS:允许用户接收 MMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 允许传出 MMS:允许用户发送 MMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 允许传入 SMS:允许用户接收 SMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 允许传出 SMS:允许用户发送 SMS 消息。默认设置为关。如果为开,则必须打开允许 SMS设置。
- 配置移动网络:允许用户使用其手机网络数据连接。默认设置为关。
- 按天限制(MB):输入移动数据用户每天可以使用的 MB 数。默认值为 0,表示禁用此功能(MDM 4.0 及更高版本)。
- 按周限制(MB):输入移动数据用户每周可以使用的 MB 数。默认值为 0,表示禁用此功能(MDM 4.0 及更高版本)。
- 按月限制(MB):输入移动数据用户每月可以使用的 MB 数。默认值为 0,表示禁用此功能(MDM 4.0 及更高版本)。
- 仅允许建立安全的 VPN 连接:允许用户仅使用安全连接(MDM 4.0 及更高版本)。默认值为开。
- 允许录制音频:允许用户使用其设备录制音频(MDM 4.0 及更高版本)。默认值为开。如果为开,则必须打开允许使用麦克风设置。
- 允许录制视频:允许用户使用其设备录制视频(MDM 4.0 及更高版本)。默认设置为关。如果为开,则必须打开允许使用相机设置。
- 允许漫游时推送消息:允许用户使用手机网络数据进行推送。默认设置为关。如果为开,则必须启用允许数据漫游设置。
- 允许漫游时自动同步:允许用户使用手机网络数据进行同步。默认设置为关。如果为开,则必须启用允许数据漫游设置。
- 允许漫游时语音通话:允许用户使用手机网络数据进行语音通话。默认设置为关。如果为开,则必须启用允许数据漫游设置。
Samsung: 完全托管设备
- 启用吊销检查:启用对已吊销证书的检查。默认设置为关。
Windows Desktop/Tablet 设置
- Wi-Fi 设置
- 允许 Internet 共享:允许设备通过将其设为 Wi-Fi 热点与其他设备共享其 Internet 连接。
- 连接
- 允许使用蓝牙:允许设备通过蓝牙进行连接。
- 允许通过手机网络使用 VPN:允许设备通过 VPN 连接到手机网络。
- 允许在漫游时通过手机网络使用 VPN:允许设备在通过手机网络漫游时使用 VPN。
- 允许使用手机网络数据漫游:允许用户在漫游时使用手机网络数据。
- 帐户
- 允许使用 Microsoft 帐户连接:允许设备使用 Microsoft 帐户进行与电子邮件无关的连接身份验证和服务。
- 允许使用非 Microsoft 电子邮件:允许用户添加非 Microsoft 电子邮件帐户。
- 系统
- 允许使用存储卡:允许设备使用存储卡。
- 遥测:在列表中,单击某个选项以允许或限制设备发送遥测信息。默认值为允许。其他选项为不允许和允许,次要数据请求除外。
- Allow app access to Location service(允许应用程序访问定位服务):允许应用程序访问定位服务。
- 允许预览内部版本:允许用户预览 Microsoft 内部版本。
- 相机:仅限 Windows Desktop/Tablet
- 允许使用相机:允许用户使用其设备相机。
- 蓝牙:仅限 Windows Desktop/Tablet
- 允许使用可发现模式:允许蓝牙设备查找本地设备。
- 本地设备名称:本地设备的名称。
- 体验:仅限 Windows Desktop/Tablet
- 允许使用 Cortana:允许用户访问 Cortana(智能个人助手和知识导航器)。
- 允许发现设备:允许对设备进行网络发现。
- 允许手动取消注册 MDM:允许用户手动从 Endpoint Management MDM 中取消注册其设备。
- 允许同步设备设置:允许用户在漫游时在 Windows 10 和 Windows 11 设备之间同步设置。
- 超出锁定范围:仅限 Windows Desktop/Tablet
- Allow toast notifications on lock screen(允许在锁屏界面上显示 Toast 通知):允许在锁屏界面上显示 Toast 通知。仅限 Windows Desktop/Tablet
- 应用程序
- Allow automatic updates from app store(允许从应用商店自动更新):允许应用商店中的应用程序自动更新。仅限 Windows Desktop/Tablet。
- 隐私:仅限 Windows Desktop/Tablet
- 允许输入个性化:允许运行输入个性化服务。输入个性化服务改进了基于用户键入内容的预测输入(例如手写笔和触摸键盘)。
- 设置:仅限 Windows Desktop/Tablet。
- 允许自动播放:允许用户更改自动播放设置。
- 允许使用流量感知:允许用户更改流量感知设置。
- 允许设置日期时间:允许用户更改日期和时间设置。
- 允许设置语言:允许用户更改语言设置。
- 允许设置电源睡眠:允许用户更改电源和睡眠设置。
- 允许设置区域:允许用户更改区域设置。
- 允许设置登录选项:允许用户更改登录设置。
- 允许设置工作区:允许用户更改工作区设置。
- 允许使用您的帐户:允许用户更改帐户设置。
Amazon 设置
- 允许硬件控制
- 恢复出厂设置:允许用户在其设备上恢复出厂设置
- 配置文件:允许用户在其设备上更改硬件配置文件。
- 允许使用应用程序
- 非 Amazon 应用商店应用程序:允许用户在其设备上安装非 Amazon 应用商店应用程序。
- 社交网络:允许用户从其设备访问社交网络。
- 网络
- 蓝牙:允许用户使用蓝牙。
- Wi-Fi 开关:允许应用程序更改 Wi-Fi 连接状态。
- Wi-Fi 设置:允许用户更改 Wi-Fi 设置。
- 配置移动网络:允许用户使用其手机网络数据连接。
- 漫游数据:允许用户在漫游时使用手机网络数据。
- 定位服务:允许用户使用 GPS。
- USB 操作:
- 调试:允许用户设备通过 USB 连接到计算机以进行调试。
Chrome OS 设置
用户策略
- 禁用自动填充:选择是否允许启用 Chrome 浏览器的自动填充功能。如果此策略设置为开,则不允许启用自动填充功能。默认值为开。
- 禁用保存密码:选择是否允许在 Chrome 浏览器中启用保存密码功能。如果此策略设置为开,则不允许启用保存密码功能。默认值为开。
- 禁用页面翻译:选择是否允许在 Chrome 浏览器中翻译使用其他语言的 Web 页面。如果此策略设置为开,则不允许启用 Web 页面的翻译功能。默认值为开。
- 阻止图像:选择是否允许在 Chrome 浏览器中显示 Web 页面中的图像。如果此策略设置为开,则不在 Chrome 浏览器中显示 Web 页面中的图像。默认设置为关。
- 禁用隐身模式:如果设置为开,Chrome OS 设备用户将无法在 Chrome 中打开隐身窗口。需要 Google Workspace Chrome 配置。默认值为开。
- Disable saving browsing history(禁用保存浏览历史记录):如果设置为开,用户将无法保存浏览历史记录、覆盖此设置或同步 Chrome OS 设备中的标签页。需要 Google Workspace Chrome 配置。默认设置为关。
- Disable deleting browsing and download history(禁用删除浏览和下载历史记录):如果设置为开,用户将无法从 Chrome OS 设备中删除浏览或下载历史记录. 但是,即使您阻止用户从 Chrome 中删除历史记录,用户也能够直接编辑或删除历史记录数据库文件。浏览器本身可以随时过期或存档任何或全部历史记录项目。需要 Google Workspace Chrome 配置。默认设置为关。
- Disable printing(禁用打印):如果设置为开,用户将无法从 Google Chrome 打印。打印功能在扳手菜单、扩展程序和 Javascript 应用程序等位置中处于禁用状态。通过绕过 Google Chrome 进行打印的插件可以打印,例如在其上下文菜单中带有“打印”命令的 Flash 应用程序。需要 Google Workspace Chrome 配置。默认设置为关。
- Disable proceeding from the safe browsing warning page(禁用从安全浏览警告页面继续操作):如果设置为关,用户可以从警告页面继续从 Chrome OS 设备访问潜在的恶意站点。需要 Google Workspace Chrome 配置。默认值为开。
- Safe browsing mode(安全浏览模式):如果设置为关,Google 安全浏览模式永远不会激活。用户无法更改或覆盖 Chrome 中的“Protect you and your device from dangerous sites”(保护您和您的设备免受危险站点侵害)设置。需要 Google Workspace Chrome 配置。默认值为开。
- Enable bookmarks bar(启用书签栏):如果设置为开,Chrome 将显示书签栏。需要 Google Workspace Chrome 配置。默认值为开。
- Disable bookmarks bar edit(禁用书签栏编辑):如果设置为开,则用户无法添加、更新或删除书签。需要 Google Workspace Chrome 配置。默认值为开。
- Disable task manager end process(禁用任务管理器结束进程):如果设置为开,则禁用任务管理器中的结束进程按钮。需要 Google Workspace Chrome 配置。默认值为开。
- 显示主页按钮:如果设置为开,Chrome 将显示浏览器主页按钮。需要 Google Workspace Chrome 配置。默认值为开。
- External storage accessibility(外部存储可访问性):控制用户如何通过文件浏览器访问外部存储设备。需要 Google Workspace Chrome 配置。选项:
- 已禁用:无法访问外部存储。
- 只读:用户只能拥有外部存储的读取访问权限。
- 只写:用户只能拥有外部存储的写入访问权限。
默认值为已禁用。
- Web 站点:选择是否在 Chrome 浏览器中使用允许列表或阻止列表控制对 Web 站点的访问。如果选择允许列表,请指定允许的 URL 列表。如果选择阻止列表,请在 Google 管理控制台的 Chrome 策略中指定阻止列表的 URL 例外列表。最具体的过滤器决定阻止还是允许某个 URL。允许列表的优先级高于阻止列表。默认为阻止列表。做出选择后,请单击添加添加 Web 站点列表。
- Extension sources(扩展来源):指定允许用户安装扩展程序、应用程序和主题的 URL 列表。
设备策略
- 禁用来宾用户模式:如果设置为开,来宾用户将无法登录 Chrome OS 设备。需要 Google Workspace Chrome 配置。默认值为关。
- 单点登录 IDP 重定向:如果设置为开,则将启用基于 SAML 的单点登录。需要 Google Workspace Chrome 配置。默认值为开。
- Enable device state reporting(启用设备状态报告):如果设置为开,设备将报告其当前设备状态,包括固件,Chrome和平台版本以及启动模式。需要 Google Workspace Chrome 配置。默认值为开。
- Enable recent users reporting(启用最近的用户报告):如果设置为开,设备将报告最近登录到设备的用户列表。如果设备配置为擦除所有本地用户数据,则不会报告用户。需要 Google Workspace Chrome 配置。默认值为开。
- 单点登录 cookie 行为:如果设置为开,则会在用户每次使用 SAML 凭据登录时将 SAML IdP 设置的 cookie 传输到用户配置文件。如果设置为关,cookie 传输将仅在首次登录过程中进行。需要 Google Workspace Chrome 配置。默认值为开。
- 启用 App Runtime for Chrome (ARC):如果设置为开,则允许已注册的 Chrome OS 设备用户运行 Android 应用程序。在“应用程序限制”设备策略中指定 ARC 应用程序。需要 Google Workspace Chrome 配置。如果在当前用户会话中启用了短暂模式或多点登录,ARC 将不可用。如果设置为关Chrome OS,企业设备用户将无法运行Android应用程序。默认值为开。
- Forced re-enrollment(强制重新注册):如果设置为开,则强制设备在设备擦除后重新注册到其以前的 Google Workspace 域。需要 Google Workspace Chrome 配置。默认值为开。
- Device Disabled Message(设备已禁用消息):如果由于任何原因禁用了设备,用户将看到输入到此文本框中的消息。
- Sign-in autocomplete domain name(登录自动完成域名):如果设置为域名,例如
students.school.edu
,Chrome 会在用户登录时将域名显示为自动完成选项。如果留空,Chrome 则不会显示域名的自动完成选项。需要 Google Workspace Chrome 配置。 - 设备时区设置:
- System time zone(系统时区):选择 Chrome 设备的时区。
- Time zone detection(时区检测):指定用于检测时区的设置。需要 Google Workspace Chrome 配置。
- Users decide(用户决定):允许用户通过Chrome OS 设备上的标准日期和时间设置配置策略。
- 已禁用:拒绝访问时区信息。
- IP only(仅 IP):根据设备 IP 地址设置时区。
- WiFi access points(WiFi 接入点):根据用户的 Wi-Fi 连接设置时区。
- Use Location info(使用位置信息):通过检测用户的当前位置来设置时区。
- Users allowed to sign on(允许登录的用户):根据电子邮件后缀(例如
*@example.com
)限制能够登录 Chrome OS 设备的用户。