Intune 中 Android Enterprise 的设备符合性设置

本文列出并介绍了可以在 Intune 中的 Android Enterprise 设备上配置的不同符合性设置。 作为移动设备管理 (MDM) 解决方案的一部分，使用这些设置将 root 设备标记为不合规、设置允许的威胁级别、启用 Google Play 保护等。

此功能适用于：

• Android Enterprise

作为 Intune 管理员，使用这些符合性设置来帮助保护组织资源。 若要详细了解合规性策略及其用途，请参阅 设备合规性入门。

开始之前

创建设备符合性策略 以访问可用设置。 对于“平台”，请选择“Android Enterprise”。

完全托管、专用和公司拥有的工作配置文件

本部分介绍适用于完全托管设备、专用设备和具有工作配置文件的公司拥有设备的符合性配置文件设置。 设置类别包括：

• Microsoft Defender for Endpoint
• 设备运行状况
• 设备属性
• 系统安全

Microsoft Defender for Endpoint

• 要求设备不超过计算机风险评分

  为Microsoft Defender for Endpoint评估的设备选择允许的最大计算机风险分数。 超过此分数的设备将被标记为不符合。

  • 未配置 (默认)
  • Clear
  • 低
  • 中
  • High

设备运行状况

• 取得 root 权限的设备

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 阻止 - 将根设备标记为不符合。

• 要求设备不高于设备威胁级别
  选择 移动威胁防御服务评估的最大允许设备威胁级别。 超过此威胁级别的设备被标记为不符合。 若要使用此设置，请选择允许的威胁级别：

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 安全 - 此选项是最安全的，意味着设备不能有任何威胁。 如果检测到设备存在任何级别的威胁，则会将其评估为不符合。
  • 低： - 如果仅存在低级别威胁，则设备被评估为合规。 低级以上的任意威胁都将使设备不合规。
  • 中 - 如果设备上存在的威胁级别为低级或中等级别，则设备被评估为符合性。 如果检测到设备具有高级威胁，则确定设备不符合要求。
  • 高 - 此选项是最不安全的，因为它允许所有威胁级别。 如果仅将此解决方案用于报告目的，则它可能很有用。

Google Play Protect

• 播放完整性判决 选择设备必须通过的完整性检查类型才能保持合规。 Intune 评估 Play 的完整性判断以确定符合性。 选项包括：

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 检查基本完整性：要求设备传递 Play 的基本完整性检查。
  • 检查基本完整性 & 设备完整性：要求设备检查传递 Play 的基本完整性检查和设备完整性。

• 使用硬件支持的安全功能检查强完整性
  （可选）可以要求设备传递强完整性检查。 仅当需要基本完整性检查或设备完整性检查时，此设置才可用。 选项包括：

  • 未配置 (默认) – 不会评估此设置是否符合性或不符合性。 默认情况下，Intune 从基本完整性检查评估判决。
  • 检查强完整性 - 要求设备检查传递 Play 的强完整性。 并非所有设备都支持这种类型的检查。 Intune 将此类设备标记为不符合。

  有关 Google Play 完整性服务的详细信息，请参阅以下 Android 开发人员文档：

  • Google Play 的完整性和签名服务

  • 完整性判决

设备属性

配置作系统版本的要求。

• 最低操作系统版本
  如果设备不符合最低 OS 版本要求，则会将其报告为不符合要求。 设备用户会看到一个链接，其中包含有关如何升级其 OS 的信息。 他们可以升级设备，然后访问组织资源。

  默认情况下，未配置任何版本。

• 最高操作系统版本
  当设备使用的 OS 版本高于规则中的版本时，将阻止对组织资源的访问。 系统会要求用户与其 IT 管理员联系。 在将规则更改为允许 OS 版本之前，此设备无法访问组织资源。

  默认情况下，未配置任何版本。

• 最低安全修补程序级别
  选择设备可以具有的最旧安全修补程序级别。 至少不是此修补程序级别的设备不符合要求。 日期必须采用 YYYY-MM-DD 格式输入。

  默认情况下，不配置日期。

系统安全

需要密码才能解锁设备。 如果未配置这些设置，密码将留给用户进行配置。

• 需要密码才可解锁移动设备

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 需要 - 用户必须输入密码才能访问其设备。

• 所需密码类型
  选择密码应仅包含数字字符，还是混合使用数字和其他字符。 选项包括：

  • 设备默认值 - 若要评估密码符合性，请务必选择除 设备默认值以外的密码强度。 默认情况下，OS 可能不需要设备密码，因此最好选择其他密码类型，以便在所有设备上实现更好的控制和一致性。
  • 需要密码，没有限制
  • 弱生物识别 - 有关此密码类型的详细信息，请参阅 强生物识别与弱生物识别 (打开 Android 开发人员博客) 。
  • 数字 (默认) - 密码只能是数字，例如 123456789。
  • 数值复数 - 不允许使用重复或连续数字，例如 1111 或 1234。
  • 字母 - 字母表中的字母是必需的。 不需要数字和符号。
  • 字母数字 - 包括大写字母、小写字母和数字字符。
  • 带符号的字母数字 - 包括大写字母、小写字母、数字字符、标点符号和符号。

  其他设置因密码类型而异。 如果适用，将显示以下设置：

  • 最短密码长度 输入密码必须具有的最小长度，介于 4 到 16 个字符之间。

  • 所需的字符数 输入密码必须包含的字符数，介于 0 到 16 个字符之间。

  • 所需的小写字符数 输入密码必须包含的小写字符数，介于 0 到 16 个字符之间。

  • 所需的大写字符数 输入密码必须包含的大写字符数，介于 0 到 16 个字符之间。

  • 所需的非字母字符数 输入非字母 (字母表中除字母以外的任何内容，) 密码必须包含 0 到 16 个字符。

  • 所需的数字字符数输入密码 (、、 23等数字字符1数，) 密码必须包含 0 到 16 个字符。

  • 所需的符号字符数 输入密码必须包含的符号字符数 (&、 #、 %等) 介于 0 到 16 个字符之间。

  • 需要密码之前处于非活动状态的最大分钟数 输入用户必须重新输入其密码之前的空闲时间。 选项包括默认值 “未配置”和 “1 分钟 到 8 小时”。

  • 密码过期之前的天数 输入必须更改设备密码之前的天数（介于 1 到 365 之间）。 例如，若要在 60 天后要求更改密码，请输入 60。 密码过期时，系统会提示用户创建新密码。

    默认情况下，不配置任何值。

  • 用户可重用密码之前所需的密码数 输入不能重复使用的最近密码数（介于 1 到 24 之间）。 使用此设置可限制用户创建以前使用的密码。

    默认情况下，未配置任何版本。

加密

• 要求对设备上的数据存储进行加密

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 需要 - 加密设备上的数据存储。

  无需配置此设置，因为 Android Enterprise 设备强制实施加密。

设备安全性

• Intune 应用运行时完整性
  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 必需 - 检查 Intune 应用是否已安装默认运行时环境，并且是否已正确签名。

个人拥有的工作配置文件

本部分介绍注册工作配置文件的个人设备可用的符合性配置文件设置。 设置类别包括：

• Microsoft Defender for Endpoint
• 设备运行状况
• 设备属性
• 系统安全

Microsoft Defender for Endpoint - 个人拥有的工作配置文件

• 要求设备不超过计算机风险评分
  为Microsoft Defender for Endpoint评估的设备选择允许的最大计算机风险分数。 超过此分数的设备将被标记为不符合。
  • 未配置 (默认)
  • Clear
  • 低
  • 中
  • High

设备运行状况 - 个人拥有的工作配置文件

• 取得 root 权限的设备

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 阻止 - 将根设备标记为不符合。

• 要求设备不高于设备威胁级别
  选择 移动威胁防御服务评估的最大允许设备威胁级别。 超过此威胁级别的设备被标记为不符合。 若要使用此设置，请选择允许的威胁级别：

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 安全 - 此选项是最安全的，意味着设备不能有任何威胁。 如果检测到设备存在任何级别的威胁，则会将其评估为不符合。
  • 低 - 如果仅存在低级别威胁，则设备被评估为符合性。 低级以上的任意威胁都将使设备不合规。
  • 中 - 如果设备上存在的威胁级别为低级或中等级别，则设备被评估为符合性。 如果检测到设备具有高级威胁，则确定设备不符合要求。
  • 高 - 此选项是最不安全的，因为它允许所有威胁级别。 如果仅将此解决方案用于报告目的，则它可能很有用。

Google Play 保护 - 个人拥有的工作配置文件

• 配置 Google Play Services

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 必需 - 要求安装并启用 Google Play 服务应用。 Google Play 服务应用支持安全更新，并且是经过认证的 Google 设备上的许多安全功能的基础级依赖项。

• 最新的安全提供程序

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 需要 - 要求最新的安全提供程序可以保护设备免受已知漏洞的伤害。

• 播放完整性判决 选择设备必须通过的完整性检查类型才能保持合规。 Intune 评估 Play 的完整性判断以确定符合性。 选项包括：

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 检查基本完整性：要求设备传递 Play 的基本完整性检查。
  • 检查基本完整性 & 设备完整性：要求设备检查传递 Play 的基本完整性检查和设备完整性。

• 使用硬件支持的安全功能检查强完整性
  （可选）可以要求设备传递强完整性检查。 仅当需要基本完整性检查或设备完整性检查时，此设置才可用。 选项包括：

  • 未配置 (默认) – 不会评估此设置是否符合性或不符合性。 默认情况下，Intune 会评估基本完整性检查。
  • 检查强完整性 - 要求设备检查传递 Play 的强完整性。 并非所有设备都支持这种类型的检查。 Intune 将此类设备标记为不符合。

  有关 Google Play 完整性服务的详细信息，请参阅以下 Android 开发人员文档：

  • Google Play 的完整性和签名服务

  • 完整性判决

设备属性 - 个人拥有的工作配置文件

作系统版本 - 适用于个人拥有的工作配置文件

配置作系统版本的要求。

• 最低作系统版本 如果设备不符合最低 OS 版本要求，则会将其报告为不符合要求。 设备用户会看到一个链接，其中包含有关如何升级其 OS 的信息。 他们可以升级设备，然后访问组织资源。

  默认情况下，未配置任何版本。

• 最高作系统版本 当设备使用的 OS 版本高于规则中的版本时，将阻止对组织资源的访问。 系统会要求用户与其 IT 管理员联系。 在将规则更改为允许 OS 版本之前，此设备无法访问组织资源。

  默认情况下，未配置任何版本。

系统安全性 - 个人拥有的工作配置文件

加密 - 用于个人拥有的工作配置文件

加密要求适用于个人拥有的工作配置文件。 无需配置此设置，因为 Android Enterprise 设备强制实施加密。

• 要求对设备上的数据存储进行加密
  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 需要 - 加密设备上的数据存储。

设备安全性 - 个人拥有的工作配置文件

为个人拥有的工作配置文件配置设备安全要求。

• 阻止来自未知源的应用

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 阻止 - 阻止启用了 安全>未知源 的设备， (Android 4.0 到 Android 7.x 上支持。Android 8.0 及更高版本) 不支持 。

  若要旁加载应用，必须允许未知源。 如果未旁加载 Android 应用，请将此功能设置为 “阻止 ”以启用此符合性策略。

  重要

  旁加载应用程序要求启用 “阻止来自未知源的应用” 设置。 仅当不在设备上旁加载 Android 应用时，才强制实施此符合性策略。

  无需配置此设置，因为 Android Enterprise 设备始终限制来自未知源的安装。

• 公司门户应用运行时完整性

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 要求 - 选择“需要”以确认公司门户应用满足以下所有要求：
    • 已安装默认运行时环境
    • 已正确签名
    • 未处于调试模式
    • 从已知源安装

• 在设备上阻止进行 USB 调试

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 阻止 - 阻止设备使用 USB 调试功能。

  无需为具有工作配置文件的 Android Enterprise 完全托管设备、专用设备和公司拥有的设备配置此设置，因为 USB 调试已禁用。

• 最低安全修补程序级别
  选择设备可以具有的最旧安全修补程序级别。 至少不是此修补程序级别的设备不符合要求。 日期必须采用 YYYY-MM-DD 格式输入。

  默认情况下，不配置日期。

• 需要密码才可解锁移动设备

  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 需要 - 用户必须输入密码才能访问其设备。

  此设置在设备级别应用。 如果只需要工作配置文件级别的密码，请使用配置策略。 有关详细信息，请参阅 Android Enterprise 设备配置设置。

以下设备安全设置适用于所有 Android 设备，但指定的设备除外。

• 密码还剩多少天到期
  输入必须更改设备密码之前的天数（介于 1 到 365 之间）。 例如，若要在 60 天后要求更改密码，请输入 60。 密码过期时，系统会提示用户创建新密码。

• 阻止重用的曾用密码数
  使用此设置可限制用户重复使用旧密码。 输入要阻止其重用的密码数（从 1 到 24）。 例如，输入 5 以便用户不能重复使用其过去 5 个密码中的任何一个。 当值为空时，Intune 不会更改或更新此设置。

• 最长经过多少分钟的非活动状态后需要提供密码
  输入允许的最大空闲时间，从 1 分钟到 8 小时。 在此时间之后，用户必须重新输入其密码才能返回到其设备。 选择“ 未配置 ” (默认) 时，不会评估此设置是否符合性或不符合性。

以下设备安全设置适用于运行 Android 12 及更高版本的设备。

• 密码复杂性
  选择运行 Android 12 及更高版本的设备的密码复杂性要求。 选项包括：

  • 无 - 不会评估此设置是否符合性或不符合性。
  • 低 - 允许重复 (4444) 或排序 (1234、4321、2468) 序列的模式或 PIN。
  • 中 - 长度、字母长度或字母数字长度必须至少为 4 个字符。 将阻止重复 (4444) 或排序 (1234、4321、2468) 序列的 PIN。
  • 高 - 长度必须至少为 8 个字符。 字母或字母数字长度必须至少为 6 个字符。 将阻止重复 (4444) 或排序 (1234、4321、2468) 序列的 PIN。

  此设置会影响设备上的两个密码：

  • 解锁设备的设备密码。
  • 允许用户访问工作配置文件的工作配置文件密码。

  如果设备密码复杂性太低，则会自动更改设备密码，以要求较高的复杂性。 最终用户必须更新设备密码以满足复杂性要求。 然后，当他们登录到工作配置文件时，系统会提示他们更新其工作配置文件密码，以匹配你在 “工作配置文件安全性>密码复杂性”下配置的复杂性级别。

  重要

  在密码复杂性设置可用之前，已使用 “所需密码类型 ”和 “最短密码长度 ”设置。 这些设置仍然可用，但 Google 已将其弃用用于具有工作配置文件的个人设备。

  以下是你需要了解的内容：

  • 如果“ 必需密码类型 ”设置从策略中的 “设备默认值 ”更改，则：

    • 新注册的 Android Enterprise 12+ 设备将自动使用 密码复杂性 设置和 “高 复杂性”。 因此，如果不希望 高 密码复杂性，请为 Android Enterprise 12+ 设备创建新策略，并配置 “密码复杂性 ”设置。

    • 现有 Android Enterprise 12+ 设备将继续使用 所需的密码类型 设置和配置的现有值。

      如果使用已配置的“必需密码类型”设置更改现有策略，则 Android Enterprise 12+ 设备将自动使用具有“高复杂性”的密码复杂性设置。

      对于 Android Enterprise 12+ 设备，建议配置 “密码复杂性 ”设置。

  • 如果 “所需密码类型 ”设置未从策略中的 “设备默认值 ”更改，则不会自动将密码策略应用于新注册的 Android Enterprise 12+ 设备。

以下设备安全设置适用于运行 Android 11 及更早版本的设备。

• 所需密码类型
  选择密码应仅包含数字字符，还是混合使用数字和其他字符。 选项包括：

  • 设备默认值：若要评估密码符合性，请务必选择除 设备默认值以外的密码强度。 默认情况下，OS 可能不需要设备密码，因此最好选择其他密码类型，以便在所有设备上实现更好的控制和一致性。
  • 低安全性生物识别：有关此密码类型的详细信息，请参阅 强生物识别与弱生物识别 (打开 Android 开发人员博客) 。
  • 至少 (默认) ：需要数字字符，例如 123456789。
  • 数值复数：不允许使用重复或连续数字，例如 1111 或 1234。 另输入：
  • 至少按字母顺序排列：需要字母表中的字母。 不需要数字和符号。 另输入：
  • 至少使用字母数字：需要大写字母、小写字母和数字字符。
  • 至少具有符号的字母数字：需要大写字母、小写字母、数字字符、标点符号和符号。

• 最短密码长度
  对于某些密码类型，将显示此设置。 输入所需的最小字符数，介于 4 到 16 个字符之间。

工作配置文件安全性 - 个人拥有的工作配置文件

配置工作配置文件安全性的密码要求。 否则，使用工作配置文件密码是可选的，由用户配置。

• 需要密码才能解锁工作配置文件
  要求设备用户具有受密码保护的工作配置文件。 选项包括：
  • 未配置 (默认) - 不会评估此设置是否符合性或不符合性。
  • 必需 - 用户必须输入密码才能访问其工作配置文件。

以下工作配置文件安全设置适用于所有 Android 设备。

• 密码还剩多少天到期
  输入必须更改工作配置文件密码之前的天数（介于 1 到 365 之间）。 例如，若要在 60 天后要求更改密码，请输入 60。 密码过期时，系统会提示用户创建新密码。

• 阻止重用的曾用密码数
  使用此设置可限制用户重复使用旧密码。 输入要阻止其重用的密码数（从 1 到 24）。 例如，输入 5 ，以便用户不能重复使用其过去 5 个密码中的任何一个。 当值为空时，Intune 不会更改或更新此设置。

• 最长经过多少分钟的非活动状态后需要提供密码
  输入允许的最大空闲时间，从 1 分钟到 8 小时。 在此时间之后，用户必须重新输入其密码才能返回到其工作配置文件。 选择“ 未配置 ” (默认) 时，不会评估此设置是否符合性或不符合性。

以下工作配置文件安全设置适用于运行 Android 12 及更高版本的设备。

• 密码复杂性
  在运行 Android 12 及更高版本的设备上选择工作配置文件的密码复杂性要求。 选项包括：

  • 无 - 不会评估此设置是否符合性或不符合性。
  • 低 - 允许重复 (4444) 或排序 (1234、4321、2468) 序列的模式或 PIN。
  • 中 - 长度、字母长度或字母数字长度必须至少为 4 个字符。 将阻止重复 (4444) 或排序 (1234、4321、2468) 序列的 PIN。
  • 高 - 长度必须至少为 8 个字符。 字母或字母数字长度必须至少为 6 个字符。 将阻止重复 (4444) 或排序 (1234、4321、2468) 序列的 PIN。

  此设置会影响设备上的两个密码：

  • 解锁设备的设备密码。
  • 允许用户访问工作配置文件的工作配置文件密码。

  如果设备密码复杂性太低，则会自动更改设备密码，以要求较高的复杂性。 最终用户必须更新设备密码以满足复杂性要求。 然后，当他们登录到工作配置文件时，系统会提示他们更新其工作配置文件密码，以匹配你在此处配置的复杂性。

  重要

  在密码复杂性设置可用之前，已使用 “所需密码类型 ”和 “最短密码长度 ”设置。 这些设置仍然可用，但 Google 已弃用它们用于具有工作配置文件的个人设备。

  以下是你需要了解的内容：

  • 如果“ 必需密码类型 ”设置从策略中的 “设备默认值 ”更改，则：

    • 新注册的 Android Enterprise 12+ 设备将自动使用 密码复杂性 设置和 “高 复杂性”。 因此，如果不希望 高 密码复杂性，请为 Android Enterprise 12+ 设备创建新策略，并配置 “密码复杂性 ”设置。

    • 现有 Android Enterprise 12+ 设备将继续使用 所需的密码类型 设置和配置的现有值。

      如果使用已配置的“必需密码类型”设置更改现有策略，则 Android Enterprise 12+ 设备将自动使用具有“高复杂性”的密码复杂性设置。

      对于 Android Enterprise 12+ 设备，建议配置 “密码复杂性 ”设置。

  • 如果 “所需密码类型 ”设置未从策略中的 “设备默认值 ”更改，则不会自动将密码策略应用于新注册的 Android Enterprise 12+ 设备。

这些工作配置文件安全设置适用于运行 Android 11 及更早版本的设备。

• 所需密码类型
  要求用户使用特定类型的密码。 选项包括：
  • 设备默认值 - 若要评估密码符合性，请务必选择除 设备默认值以外的密码强度。 默认情况下，OS 可能不需要工作配置文件密码，因此最好选择其他密码类型，以便在所有设备上实现更好的控制和一致性。
  • 低安全性生物识别：有关此密码类型的详细信息，请参阅 强生物识别与弱生物识别 (打开 Android 开发人员博客) 。
  • 至少 (默认) ：需要数字字符，例如 123456789。
  • 数值复数：不允许使用重复或连续数字，例如 1111 或 1234。
  • 至少按字母顺序排列：需要字母表中的字母。 不需要数字和符号。
  • 至少使用字母数字：需要大写字母、小写字母和数字字符。
  • 至少具有符号的字母数字：需要大写字母、小写字母、数字字符、标点符号和符号。
• 最短密码长度 对于某些密码类型，将显示此设置。 输入所需的最小字符数，介于 4 到 16 个字符之间。

后续步骤

• 为不符合要求的设备添加作，并使用范围标记筛选策略。
• 监视合规性策略。
• 请参阅 Android 设备的符合性策略设置 。