产品文档
XenMobile® Server
查看 PDF

Windows 信息保护设备策略

April 16, 2026
投稿者: 
C

Windows 信息保护 (WIP)（以前称为企业数据保护 (EDP)）是一种 Windows 技术，可防止企业数据潜在泄露。数据泄露可能通过将企业数据共享到非企业保护的应用程序、应用程序之间或组织网络外部而发生。有关详细信息，请参阅使用 Windows 信息保护 (WIP) 保护企业数据。

您可以在 XenMobile® 中创建设备策略，以指定需要 Windows 信息保护的应用程序以及您设置的强制级别。Windows 信息保护策略适用于运行 Windows 10 或 Windows 11 的受监管平板电脑和桌面设备。

XenMobile 包含一些常用应用程序，您也可以添加其他应用程序。您可以为策略指定一个影响用户体验的强制级别。例如，您可以：

  • 阻止任何不适当的数据共享。

  • 警告不适当的数据共享并允许用户覆盖策略。

  • 静默运行 WIP，同时记录并允许不适当的数据共享。

要将应用程序从 Windows 信息保护中排除，请在 Microsoft AppLocker XML 文件中定义这些应用程序，然后将这些文件导入 XenMobile。

要添加或配置此策略，请转至配置 > 设备策略。有关详细信息，请参阅设备策略。

Windows 10 和 Windows 11 设置

设备策略配置屏幕的图像

  • 桌面应用程序 (Windows 10 或 Windows 11 桌面)、应用商店应用程序 (Windows 10 或 Windows 11 平板电脑)：XenMobile 包含一些常用应用程序，如前面的示例所示。您可以根据需要编辑或删除这些应用程序。

    要添加其他应用程序：在桌面应用程序或应用商店应用程序表中，单击添加并提供应用程序信息。

    允许的应用程序可以读取、创建和更新企业数据。拒绝的应用程序无法访问企业数据。豁免的应用程序可以读取企业数据，但无法创建或修改数据。

    • AppLocker XML：Microsoft 提供了一个已知与 WIP 存在兼容性问题的 Microsoft 应用程序列表。要将这些应用程序从 WIP 中排除，请单击浏览以上传列表。XenMobile 会将上传的 AppLocker XML 和配置的桌面应用程序以及应用商店应用程序合并到发送到设备的策略中。有关详细信息，请参阅Windows 信息保护的建议阻止列表。

    • 强制级别：选择一个选项以指定您希望 Windows 信息保护如何保护和管理数据共享。默认为关。

      • 0-关：WIP 已关闭，不保护或审核您的数据。

      • 1-静默：WIP 静默运行，记录不适当的数据共享，并且不阻止任何内容。您可以通过 Reporting CSP 访问日志。

      • 2-覆盖：WIP 警告用户可能不安全的数据共享。用户可以覆盖警告并共享数据。此模式会将操作（包括用户覆盖）记录到审核日志中。

      • 3-阻止：WIP 阻止用户完成可能不安全的数据共享。

    • 受保护的域名：您的企业用于其用户身份的域。此托管身份域列表以及主域构成了您的管理企业的身份。列表中的第一个域是 Windows UI 中使用的主要公司身份。使用“ ”分隔列表项。例如：domain1.com | domain2.com

    • 数据恢复证书：单击浏览，然后选择一个恢复证书，用于加密文件的数据恢复。此证书与加密文件系统 (EFS) 的数据恢复代理 (DRA) 证书相同，只是通过 MDM 而非组策略交付。如果恢复证书不可用，请创建它。有关信息，请参阅本节中的“创建数据恢复证书”。

    • 网络域名：构成企业边界的域列表。WIP 保护此列表中完全限定域的所有流量。此设置与IP 范围设置一起，可检测专用网络上的网络终结点是企业还是个人。使用逗号分隔列表项。例如：corp.example.com,region.example.com

    • IP 范围：定义企业网络中计算机的企业 IPv4 和 IPv6 范围列表。WIP 将这些位置视为企业数据共享的安全目标。使用逗号分隔列表项。例如：

      10.0.0.0-10.255.255.255,2001:4898::-2001:4898:7fff:ffff:ffff:ffff:ffff:ffff

    • IP 范围列表是权威的：为防止 Windows 自动检测 IP 范围，请将此设置更改为开。默认为关。

    • 代理服务器：企业可用于公司资源的代理服务器列表。如果您在网络中使用代理，则需要此设置。如果没有代理服务器，当客户端位于代理后面时，企业资源可能不可用。例如，酒店和餐厅的某些 Wi-Fi 热点可能无法提供资源。使用逗号分隔列表项。例如：

      proxy.example.com:80;157.54.11.118:443

    • 内部代理服务器：您的设备用于访问云资源的代理服务器列表。使用此服务器类型表示您正在连接的云资源是企业资源。请勿在此列表中包含代理服务器设置中的任何服务器，这些服务器用于非 WIP 保护的流量。使用逗号分隔列表项。例如：

      example.internalproxy1.com;10.147.80.50

    • 云资源：受 WIP 保护的云资源列表。对于每个云资源，您还可以选择在代理服务器列表中指定一个代理服务器，以路由此云资源的流量。通过代理服务器路由的所有流量都将被视为企业流量。使用逗号分隔列表项。例如：

      domain1.com:InternalProxy.domain1.com,domain2.com:InternalProxy.domain2.com

    • 在取消注册时吊销 WIP 证书：指定当用户设备从 Windows 信息保护中取消注册时，是否从该设备吊销本地加密密钥。吊销加密密钥后，用户无法访问加密的公司数据。如果为关，则密钥不会被吊销，用户在取消注册后仍可访问受保护的文件。默认为开。

    • 显示叠加图标：指定是否在资源管理器中的公司文件和“开始”菜单中的仅限企业应用程序磁贴上包含 Windows 信息保护图标叠加。默认为关。

创建数据恢复证书

启用 Windows 信息保护策略需要数据恢复证书。

  1. 在运行 XenMobile 控制台的计算机上，打开命令提示符并导航到要创建证书的文件夹（Windows\System32 除外）。

  2. 运行此命令：

    cipher /r:ESFDRA
<!--NeedCopy-->

  3. 出现提示时，输入密码以保护私钥文件。

cipher 命令会创建一个 .cer 和一个 .pfx 文件。

  1. 在 XenMobile 控制台中，转至设置 > 证书并导入 .cer 文件，该文件适用于 Windows 10 和 Windows 11 平板电脑。

用户体验

当 Windows 信息保护生效时，应用程序和文件会包含一个图标：

Windows 信息保护图标示例

Windows 信息保护图标示例

如果用户将受保护的文件复制或保存到非受保护位置，则会根据配置的强制级别显示以下通知。

通知示例

Windows 信息保护设备策略
April 16, 2026
投稿者: 
C
April 16, 2026
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.