Руководство: защита электронной почты Exchange Online на управляемых устройствах iOS с помощью Microsoft Intune

В этом руководстве показано, как использовать политики соответствия устройств Microsoft Intune условному доступу Microsoft Entra, чтобы разрешить устройствам iOS получать доступ к Exchange Online только в том случае, если они находятся под управлением Intune и используют приложение Outlook.

С помощью данного руководства вы изучите:

Предварительные условия

В этом руководстве используйте непроизводственные пробные подписки, чтобы не затрагивать рабочую среду. Войдите с помощью учетной записи, созданной при настройке пробной подписки. У этой учетной записи есть разрешения, необходимые для выполнения каждой задачи в этом руководстве.

Для этого руководства требуется тестовый клиент со следующими подписками:

• Подписка на Microsoft Intune (план 1) (регистрация для получения бесплатной пробной учетной записи)
• Microsoft Entra ID P1 (цены и варианты пробной версии)
• подписка "Приложения Microsoft 365 для бизнеса", которая включает Exchange (бесплатная пробная версия).

Вход в Intune

Чтобы использовать это руководство, войдите в Центр администрирования Microsoft Intune с помощью учетной записи, созданной при регистрации пробной подписки на Intune.

Создание профиля устройства электронной почты

Для этого руководства требуется профиль устройства с iOS/iPadOS Email. Чтобы создать профиль, следуйте инструкциям в шаге 11 "Создание профиля устройства". Для профиля электронной почты требуется, чтобы устройства с iOS/iPadOS использовали рабочую учетную запись электронной почты.

При создании профиля электронной почты назначьте его той группе устройств, которая будет использоваться позднее для политики соответствия устройств и политик условного доступа , созданных на последующих шагах этого руководства.

После создания профиля электронной почты вернитесь сюда для продолжения.

Создание политики защиты приложений

Для этого учебника требуется политика защиты приложений Intune, предназначенная для Outlook на iOS/iPadOS. Политика защиты приложений работает с политикой условного доступа, созданной позже, которая требует, чтобы политика защиты приложений существовала до того, как устройство сможет получить доступ к Exchange Online.

Чтобы создать политику защиты приложений, следуйте инструкциям в статье "Создание и назначение политик защиты приложений". При настройке политики используйте следующие параметры:

• Платформа. Выберите iOS/iPadOS.
• Приложения: задайте для параметра "Целевая политика" значение"Основные приложения Microsoft Apps" или выберите Microsoft Outlook по отдельности.
• Защита данных, требования к доступу и условный запуск: Примите значения по умолчанию для этого учебника (базовая защита корпоративных данных).
• Назначения: Назначьте политику той же группе пользователей, которая используется для политик соответствия требованиям и условного доступа в этом руководстве.

После создания политики защиты приложений вернитесь сюда для продолжения.

Создание политики соответствия требованиям для устройств iOS

Настройте политику соответствия требованиям Intune, в которой можно задать обязательные условия соответствия для устройств. В этом руководстве вы создадите политику соответствия устройств требованиям для устройств с iOS. Политики соответствия требованиям зависят от используемой платформы. Поэтому для каждой платформы устройств, которые вы хотите оценить, нужна отдельная политика соответствия требованиям.

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите>устройства для соответствия требованиям.

3. На вкладке Политики выберите Создать политику.

4. На странице "Создание политики " для параметра "Платформа " выберите iOS/iPadOS, а затем нажмите кнопку "Создать ", чтобы продолжить.

5. На вкладке " Основы " введите следующие свойства:

   • Имя: введите описательное имя для нового профиля. В этом примере введите тест политики соответствия iOS.
   • Описание: необязательно. Введите тест политики соответствия iOS.

   Нажмите кнопку Далее, чтобы продолжить.

6. На вкладке "Параметры соответствия требованиям ":

   1. Разверните Email, а затем присвойте параметру "Не удается настроить электронную почту на устройстве" значение "Требовать".

   2. Разверните раздел "Работоспособность устройства" и настройте для устройств со снятой защитой значение "Блокировка".

   3. Разверните раздел "Безопасность системы" и настройте следующие параметры:

      • Требовать пароль для разблокировки мобильных устройствТребовать
      • Простые пароли для блокировки
      • Минимальная длина пароля до 4

      Совет

      Значения по умолчанию, выделенные серым цветом и курсивом, представлены в качестве рекомендаций. Чтобы настроить параметр, вам нужно заменить рекомендованные значения.

      • Требуемый тип пароля — буквенно-цифровой
      • Максимум минут после блокировки экрана, прежде чем пароль потребуетсянемедленно,
      • Срок действия пароля (в днях) до 41
      • Количество предыдущих паролей для предотвращения повторного использования — до 5

   Чтобы продолжить, нажмите кнопку "Далее".

   

7. Нажмите кнопку "Далее", чтобы пропустить действия в случае несоответствия.

8. На вкладке "Назначения " в разделе "Включенные группы" выберите " Добавить все устройства" или выберите группу, содержащую только устройства, которым должна назначена эта политика. Убедитесь, что используется то же назначение, что и для профиля устройства электронной почты.

   Нажмите кнопку Далее, чтобы продолжить.

9. На вкладке "Рецензирование+создание " просмотрите параметры. При выборе Создать внесенные изменения сохраняются и назначается профиль.

Создание политики условного доступа

Затем с помощью Центра администрирования Microsoft Intune создайте политику условного доступа. Вы интегрируете условный доступ с Intune для управления устройствами и приложениями, которые могут подключаться к электронной почте и ресурсам вашей организации.

Политика условного доступа:

• Потребуйте, чтобы устройства, работающие на любой платформе, зарегистрировались в Intune и соответствовали вашей политике соответствия требованиям Intune, прежде чем эти устройства можно будет использовать для доступа к Exchange Online.
• Потребуйте, чтобы устройства использовали приложение Outlook для доступа к электронной почте.

Вы можете настроить политики условного доступа в Центре администрирования Microsoft Entra или в Центре администрирования Microsoft Intune. Для выполнения описанных ниже действий используется Центр администрирования Intune.

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите "Безопасность> конечной точки", "Условный доступ",>"Создание новой политики".

3. В поле Имя введите Тестовая политика для электронной почты Microsoft 365.

4. В разделе "Назначения" в разделе "Пользователи" или "Агенты" выберите 0 выбранных пользователей и групп. На вкладке "Включить " выберите "Все пользователи". Значение " Пользователи" обновляется до "Все пользователи".

5. Также в разделе "Назначения" в поле "Целевые ресурсы " выберите "Не выбирать целевые ресурсы". В раскрывающемся списке "Выберите, к чему применяется эта политика" выберите "Ресурсы (ранее — облачные приложения)".

   Затем, чтобы защитить электронную почту Microsoft 365 Exchange Online, выберите это приложение:

   1. На вкладке "Включить " нажмите кнопку "Выбрать ресурсы".
   2. В разделе "Выберите определенные ресурсы" выберите "Нет ", чтобы открыть панель "Ресурсы ".
   3. В списке ресурсов установите флажок для Office 365 Exchange Online и нажмите кнопку "Выбрать".

   

6. Также в разделе "Назначения" в поле "Условия " выберите "0 выбранных условий". На новой доступной странице для платформ устройств выберите Не настроено , чтобы открыть панель платформ устройств .

   1. Для параметра "Настройка" присвойте значение "Да".
   2. На вкладке "Включить " выберите любое устройство, а затем нажмите кнопку "Готово".

   

7. В разделе "Задания" снова откройте клиентские приложения условий>.

   1. Для параметра "Настройка" присвойте значение "Да".

   2. Для этого руководства выберите мобильные приложения и классические клиенты, входящие в состав современных клиентов проверки подлинности (в том числе Outlook для iOS и Outlook для Android). Снимите все остальные флажки.

   3. Выберите Готово и еще раз щелкните Готово.

   

8. В элементах управления доступом для параметра "Предоставление " выберите значение "Не настроено " для открытия области "Предоставление ":

   1. На панели Предоставить выберите Предоставить доступ.

   2. Выберите Требовать, чтобы устройство было отмечено как соответствующее.

   3. Выберите "Требовать политику защиты приложений".

   4. В разделе Для нескольких элементов управления выберите Требовать все выбранные элементы управления. Этот параметр гарантирует, что, когда устройство обратится к электронной почте, будут применяться оба выбранных требования.

   5. Щелкните Выбрать.

   

9. В разделе Включить политику выберите Вкл.

   

10. Нажмите "Создать ", чтобы сохранить изменения. Профиль назначен.

Проверка

С помощью созданных вами политик любое устройство iOS, которое пытается войти в электронную почту Microsoft 365, должно зарегистрироваться в Intune и использовать мобильное приложение Outlook для iOS / iPadOS. Чтобы проверить этот сценарий на устройстве iOS, попробуйте войти в Exchange Online с учетными данными любого пользователя из тестового клиента. Вам будет предложено зарегистрировать устройство и установить приложение Outlook Mobile.

1. Чтобы протестировать это на iPhone, перейдите в раздел "Параметры","Приложения>>","Почта>","Учетные записи почты","Добавить> учетную запись", а затем выберите Microsoft Exchange.

   Примечание.

   Путь в параметрах может отличаться в зависимости от версии iOS. Предыдущие шаги основаны на iOS 26. Последние действия см. в статье "Добавление учетной записи электронной почты на iPhone или iPad на сайте службы поддержки Apple".

2. Введите адрес электронной почты, назначенный для пользователя в тестовом клиенте, и щелкните Далее.

3. Выберите Вход.

4. Введите пароль тестового пользователя и щелкните Войти.

5. Появится сообщение о том, что для доступа к ресурсу необходимо настроить управление для устройства, а также ссылка для регистрации.

Очистка ресурсов

Если тестовые политики больше не нужны, их можно удалить.

1. Войдите в Центр администрирования Microsoft Intune.

2. Выберите>устройства для соответствия требованиям.

3. В списке Имя политики выберите тестовую политику и нажмите кнопку Удалить. Подтвердите удаление.

4. Выберите "Безопасность> конечной точки: условный доступ".

5. Выберите политику тестирования, а затем нажмите кнопку Удалить. Подтвердите удаление.

Дальнейшие действия

В рамках этого руководства вы создали политики, требующие регистрации устройств iOS в Intune и использования приложения Outlook для доступа к электронной почте Exchange Online. Сведения об использовании Intune с условным доступом для защиты других приложений и служб см. в разделе Настройка условного доступа.