Настройка MAM Policy в Intune
Содержание лекции: Настройка MAM Policy в Intune
Расшифровка лекции: Настройка MAM Policy в Intune
Полный текст первых минут лекции «Настройка MAM Policy в Intune» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Добро пожаловать на лекцию, на которой мы сделаем App Protection Policy, WIP Policy. Мы сделаем политику на уровне приложения. Заметьте, мы в Intune, в Apps, в приложениях, и идем делать политику защиты Group Policy на уровне приложения, а не на уровне девайса.
Это очень важно подчеркнуть, что мы делаем новую политику для айфонов, или для андроидов, и для Windows 10, которыми мы не управляем.
который не часть нашего домейна, и у нас нет MDM, и мы не можем делать политику на конкретное устройство.
Мы делаем политику на приложение, то есть политику, которую будет исполнять и защищать конкретное приложение, например, Outlook, например, браузер. И мы делаем эту новую политику, даем ей название MAM Mobile Application Management Test Policy.
Еще раз я подчеркиваю, мы эту политику можем распространить на девайсы, которые в MDM enrollment или которые без MDM. С MDM это понятно, мы управляем устройством, но без MDM это самое интересное.
Предположим, пользователь не хочет, чтобы мы управляли централизованным его личным девайсом. И мы вот делаем without enrollment. With enrollment это через MDM.
Если мы делаем без MDM, и это наша цель, то он нам напоминает, что нам надо включить линки на мам в Azure AD. Это мы делали в предыдущей лекции, включили линк по умолчанию.
Мы делаем Without Enrollment и переходим на второй этап. На втором этапе нам надо выбрать, какие приложения будут под этой политикой. То есть, какие приложения будут работать с корпоративной информацией.
Тому будет доступна наша тайная корпоративная информация, каким приложением мы разрешаем быть внутри этого виртуального забора, который мы строим.
И это приложение должно быть enlightened, освещено новой технологией, чтобы работать без MDM. То есть разработчик приложения должен уметь работать с мамой, уметь работать в такой форме, в которой он разделяет личную информацию пользователя от корпоративной информации пользователя.
То есть это должно быть приложение, которое использует API, которые написаны Microsoft'ом и специально запрограммированное такое приложение, чтобы работать без MDM'а.
Короче, эти приложения, которые я должен выбрать сейчас, они должны быть специально написаны с поддержкой этого мама, этого Weep'а. И мы можем выбрать здесь приложение, которое Microsoft нам дали в списке, или из магазина Microsoft какое-то приложение, или из нашего десктопа.
То есть мы выбираем, на какие приложения будет распространяться эта политика и кому можно будет подходить к корпоративной внутренней информации. Мы можем выбрать приложение для десктопа, обычные.
Мы можем из магазина, а можем, потому что Microsoft нам уже заранее сюда вбили готовые их приложения. Я могу сказать, только Edge может подходить к корпоративной информации и, например, там Word и Excel.
Конечно, я могу сделать несколько политик разных и сделать одну политику для Excel, а другую политику для браузера Edge. Все, на кого распространяется политика, у них есть свои security требования, требования по безопасности.
И эти приложения, которые будут в этом списке, будут иметь подход к корпоративной тайной информации. Вот мы решили, что наш забор будет проходить через эти приложения.
Все эти приложения будут внутри нашей защищенной зоны с помощью WIPA, который встроен в Windows. Заметьте, что здесь есть все Office приложения, также OneDrive и также Notepad.
То есть Microsoft написали Notepad в той форме, что поддерживало разделение между личной информацией и корпоративной информацией. Это называется Enlightened, освещенные приложения.
Вот наш список из всех приложений, которые будут принимать нашу политику и на следующем третьем этапе мы переходим на конкретные настройки в нашей политике. Что мы делаем? Мы даем доступ к корпоративной информации без ограничений или мы блокируем утечку корпоративной информации в другие приложения, в другие веб-сайты?
Или мы предупреждаем пользователя, что ты случайно перекидываешь корпоративную информацию в публичные места, например, в Gmail, или делаешь copy-paste в неразрешенное место, и он может сказать, да, я уверен, что я хочу это делать.
То есть пользователю разрешено переносить и сделать override, то есть не блокировка, а сделать override, перезаписать ограничения по блокировке, то есть разрешить перенос этой информации.
Мы можем сделать silent, тихий режим, в котором он будет переносить спокойно информацию корпоративную в личные приложения, и мы будем это записывать в log-файл.
Проблема, что этот лог-файл находится внутри Windows, и мы до него не можем добраться, но этот режим хороший, если мы хотим для себя сделать тесты, посмотреть, какими приложениями пользователь работает, и что мы все настроили правильно, то есть мы можем делать тихий режим, в который человек будет работать как обычно, а мы будем смотреть влоги и следить за корпоративной
информацией. Еще раз я подчеркиваю, лог он местный внутри Windows, и надо к нему как-то организовать себе подход. Это тест режим такой, silent.
И последний режим это off, то есть вообще выключить, чтобы он спокойно копировал корпоративную информацию в личные места, и логи не записывались. Я выбираю блок, потому что я не хочу, чтобы пользователь мог переносить информацию, даже если он это хочет.
Я блокирую все насильно, делаю блок и определяю, какой домейн мы будем защищать. Наш основной домен north.practicue.com. Если у меня есть более одного домейна, то в Advanced Settings я смогу настроить еще дополнительные домейны.
Это и есть та граница, которую я очерчиваю. Мы на четвертом этапе в Advanced Settings, и мы здесь как раз можем добавить обычные домейны, которые наша система будет защищать.
То, что мы будем говорить, что находится внутри границ нашей организации. Это и есть домейны, и это и есть линки. Мы сюда можем вбить линки, и мы это сделаем