消费化接受策略 Microsoft Corporation 发布日期 :2011 年 4 月 摘要工作人员越来越希望使用自己的设备进行工作, 例如, 平板电脑 智能手机和便携式计算机 若要使 IT 部门能够接受消费化, 必须评估和了解用户需求和设备类型, 以将企业风险和数据风险降到最低 在适当规划和

Transcription

1 消费化接受策略 Microsoft Corporation 发布日期 :2011 年 4 月 摘要工作人员越来越希望使用自己的设备进行工作, 例如, 平板电脑 智能手机和便携式计算机 若要使 IT 部门能够接受消费化, 必须评估和了解用户需求和设备类型, 以将企业风险和数据风险降到最低 在适当规划和管理之下, 消费化可以使企业提高生产率, 凸显竞争优势 本文描述了相关策略和最佳方法, 可帮助确保公司资产安全, 在获得更强大支持的员工和 IT 之间建立新的角色关系, 即让他们成为合作伙伴

2 版权信息 此文档所包含的信息仅代表 Microsoft Corporation 截至发布日期为止对所述问题的观点 由于 Microsoft 必须对不断变化的市场情况做出响应, 因此不得将本文档解释为 Microsoft 做出的承诺, 且 Microsoft 无法保证提供的信息在发表之日后仍准确无误 此白皮书仅供参考 Microsoft 未对本文中的信息做任何明示或默示担保 遵守所有适用的版权法是用户的责任 在不限制版权法许可的权利的前提下, 未经 Microsoft Corporation 的明确书面许可, 无论出于何种目的, 均不得以任何形式或借助任何手段 ( 包括电子 机械 影印 录制或其他形式 ) 对本文档中任何部分进行复制 存储或引入检索系统或传播 Microsoft 可能拥有涉及本文档中的主题的专利 专利申请 商标 版权或其他知识产权 除非 Microsoft 提供的书面许可协议中有明确规定, 本文档并不授予有关这些专利 商标 版权或其他知识产权的权利的许可 2011 Microsoft Corporation 保留所有权利 本文档示例中涉及的公司 组织 产品 域名 电子邮件地址 徽标 人物 地点和事件均属虚构 与任何真实的公司 组织 产品 域名 电子邮件地址 徽标 人物 地点或事件无关, 也不应进行这方面关系的推断 Microsoft Active Directory ActiveSync AppLocker Bing BitLocker BitLocker To Go BranchCache Forefront Hotmail Hyper-V Internet Explorer Kinect Lync Outlook RemoteFX SharePoint Silverlight SkyDrive Windows Windows Intune Windows Live Windows Media Windows Server Windows Vista Xbox Xbox LIVE XNA 和 Zune 是 Microsoft Corporation 在美国和 / 或其他国家 / 地区的注册商标或商标

3 目录 1 执行摘要 什么是消费化必然趋势? 人们对新型工作场所的期望 面临的机会和挑战 成功要素 促成技术有哪些? 基于云的应用程序和服务 桌面虚拟化 VDI 文件夹重定向 应用程序虚拟化 选择合适的技术 支持多样化设备 用家庭计算机或自备计算机工作 平板电脑和平板计算机 :Windows 或非 Windows 设备 Windows 笔记本电脑 平板电脑和平板计算机 非 Windows 平板电脑和平板计算机 智能手机 如果企业计划接受消费化, 则主要的考虑事项是什么? 需要支持何种操作系统和硬件? 支持策略 更新方法 成本 如何实现合规? 使用何种应用程序? 如何部署和管理应用程序? 如何确保设备和数据的安全? 本地设备上的数据 仅存在于云或公司数据中心内的数据 启用网络访问 强化网络安全 用户身份验证 如何管理设备? 如何管理用户责任? 企业消费化管理解决方案 PC 和平板电脑 Windows 桌面优化 结合使用 Windows 和 Windows Intune VDI 智能手机 Windows 手机 非 Windows 手机 Microsoft 可以提供的帮助 总结... 25

4 1 执行摘要 工作场所的定义正在改变, 工作和个人生活之间的界限也在重新划定 用户的工作场所不再仅限于办公室, 他们往往在夜晚查收电子邮件, 在白天更新个人网站 他们在使用办公计算机的同时, 还可能使用便携式计算机 平板电脑和智能手机 现在, 许多设备都具备计算能力 智能手机和平板电脑等消费类设备现在也具有足够的能力来运行过去仅限于台式机和便携式计算机的应用程序 对于许多工作人员而言, 这些消费类设备似乎代表着计算的未来, 并能提高他们的工作效率 大多数企业的 IT 基础结构都受到严格管理, 看起来繁琐累赘且限制性高 灵活性低 由于市场上有多种设备可供消费者选择, 因此员工在工作时更愿意使用他们自己的设备, 这迫使 IT 部门必须支持员工这一日益增长的需求, 以保持企业的工作效率和竞争力 能够适当地接受消费化, 同时将企业风险及数据风险降到最低, 正是 IT 部门面临的挑战 许多较新的设备起初并不用于企业, 所以需要仔细规划, 以达到多数企业要求的管理和控制水平 作为企业技术和消费类技术的行业领先者,Microsoft 独一无二的行业地位使我们能够了解消费化, 并能引导企业以负责任的最佳方式接受消费化 此白皮书为正在考虑是否应接受最新消费化趋势的组织提供了具体指导 本文研究了企业内消费化的压力和主要方案, 讨论了包括法律问题 合规性问题和技术问题在内的考虑要点, 并提供了不同消费化管理方法的示例 2 什么是消费化必然趋势? 消费化是企业中由用户最终决定用什么设备 应用程序和服务来完成工作的一个日渐成风的趋势 2.1 人们对新型工作场所的期望 工作环境正在改变, 很大一部分原因是移动设备和远程工作技术的发展 很多工作人员有一部分时间不在办公室工作, 或许一周中他们有部分时间在家工作, 使得工作和生活的界线越来越模糊 如今, 许多工作人员都使用自己的设备, 并且可以自由选择是否在上班时间以外 ( 例如在上下班途中 ) 工作, 这样极有可能提高用户的工作效率 如果要求技术狂使用老式设备工作, 并且要受软件 应用程序和网络访问方面的诸多限制, 则他们的积极性会受到打击 最近的一项研究证实了这个趋势 例如,Unisys 委托 IDC 进行了一项调研表明, 事实上用户使用家用计算机的时间中有 40% 花费在工作上 此外, 用户使用智能手机的时间中有 50% 花费在与工作相关的事情上 1 1 IDC 与 Unisys 的 IT 消费化基准研究,2010 年 6 月 4

5 2.2 面临的机会和挑战 消费化是企业中由用户最终决定用什么设备 应用程序和服务来完成工作的一个日渐成风的趋势 通过尊重员工的选择并为其提供最新 最好的技术,IT 可以帮助企业提高生产效率 降低成本并保持竞争力 事实上, 最近一项研究表明,83% 的 IT 决策者认为消费化的影响大多都是积极的 2 然而, 接受消费化并非一项简单的任务, 它需要 IT 部门进行详细规划 公司应评估如何在确保各方面工作效率的同时保护数据 遵守相关规定并对 PC 和设备进行适当管理 这使 IT 部门的压力不断增加, 他们需要在保持环境安全和良好管理的同时提供能够吸引最终用户的解决方案 我们可以以医院为例了解这些机遇和挑战 医院是使用和创造个人数据的最大机构, 医务人员需要能在医院中的任何地方访问这些数据 通常情况下, 他们通过移动数据车来访问这些数据, 这使得 IT 部门的压力不断增加, 因为他们要让医务人员能够使用更多移动设备 然而, 健康保险携带和责任法案 (HIPAA) 和 针对经济和临床健康的医疗保健信息科技法案 (HIPAA) 中包含的隐私和安全要求提出了特殊的挑战, 尤其是移动设备也可以访问患者数据 3 成功要素 要使不受管理的消费类设备可以顺利在工作场所使用, 公司需解决若干关键问题 : 1. 评估并了解您的用户 第一阶段, 评估员工目前在工作时使用何种消费级应用程序和设备 为最终用户及其遇到的典型方案创建配置文件也会很有帮助 根据用户对企业的影响以及用户需求, 您可能对用户使用消费类技术的接受程度有所不同, 而且对于公司内不同类型的用户, 您也会有不同的消费化步调和方法 最近 Microsoft 委托 Forrester Consulting 进行了一项题为 巧妙的员工细分可帮助您更好地识别并满足员工的需求 3 的研究, 可以该研究为例, 评估其他大中型组织的技术分配方式 促成这些决策的原因及其对企业的影响 2. 评估并了解内容和信息敏感度 用户及其使用和生成的内容有不同的信息敏感级别 例如, 有些用户处理敏感的法律问题, 而其他用户处理的信息可供人公开阅读 同样地, 有些数据 ( 例如, 销售合同 ) 具有高度敏感性, 这些数据应保存在实施安全管理的存储内 而其他一些数据 ( 例如, 营销手册 ) 可以通过 Windows Live SkyDrive 等消费类技术进行共享, 这不会给组织带来任何风险 消费类技术与其他任何技术一样, 企业在使用这种技术时也需要认真负责, 也就是说, 您需要对风险进行评估, 然后确定您的组织可以接受哪些风险, 不可以接受哪些风险 2 IT 经理选择性接受消费化,Forrester Consulting 代表 Microsoft 于 2011 年 2 月执行的一项委托研究 3 巧妙的员工细分可帮助您更好地识别并满足员工的需求,Forrester Consulting 代表 Microsoft 于 2011 年 2 月执行的一项委托研究 5

6 3. 评估并了解您的设备类型和应用程序需求 设备不一定对所有任务都适合 : a. 一些没有键盘或其他丰富输入机制的设备可能适用于某些类型的数据使用, 但不适用于数据创建 b. 拥有丰富的用户界面及完整键盘 鼠标支持的台式机和便携式计算机, 加上带触摸功能或笔触功能的计算机或平板计算机, 通常可以为数据创建和操作任务提供最佳环境 Windows 平板计算机和平板电脑可以提供完整的 Windows 体验 ( 包括 Adobe Flash 和 Microsoft Silverlight ) 自定义选项以及可管理性 4. 定义一个成功解决方案的标准 考虑将来会带来哪些益处, 怎样来衡量这些益处 5. 使用促成技术来实现解决方案 除了桌面虚拟化以外, 还可以使用促成技术 ( 例如, 基于云的应用程序和服务 ) 来规划如何保护敏感数据 访问数据并共享 提供应用程序交付与访问所需的工具, 以及提供一个集中管理的环境 6. 更新组织政策 组织政策应能反映您的解决方案, 这需要除 IT 以外的其他部门协作, 从而考虑到法律 人力资源和金融方面的问题 7. 试部署解决方案 邀请志愿用户试验您的解决方案 他们应具备很高的积极性和热情来帮助您的企业创建消费化策略 不要只对单一设备进行试验, 因为这种设备未必适用于所有用户 一鞋难合众人脚 8. 计划持续改进 通常, 初次部署的项目未必理想 9. 确保该项目可提升业务价值 该项目不应只用来使特定用户受益 您应该确定用户方案和工作效率需求, 并确保该项目满足这些要求并支持您的业务目标 10. 提供实施资源和开发资源 需要考虑一件事, 即提供充足的资源来支持和发展跨多个平台的应用程序和数据交付 可分配资源的等级会影响成功实施消费化项目可能需要的费用和时间安排 11. 采纳该项目 向所有员工或最有可能受益的员工推行该项目 4 促成技术有哪些? IT 部门需要适应新的设备环境 用户对扩大工作设备选择范围的渴求越来越强烈, 这一要求可以通过引入个人设备或者扩大公司硬件选择范围来满足 公司应对能够提高工作场所中消费类设备工作效率和使用安全性的新技术进行评估 这些技术应 : 保护敏感数据 允许数据访问和共享 提供用于应用程序交付和访问的工具 能集中管理 多数企业都无法实现消费化计划, 除非可以满足以上多数或全部要求 例如, 如果用户使用自己的个人便携式计算机进行工作, 并在同一桌面实例上混用个人应用程序和数据以及公司应用程序和数据, 则会产生很高的风险性, 轻则导致不兼容, 重则导致数据丢失和法律问题 ( 例如, 将恶意软件或非法下载带入工作场所 ) 6

7 4.1 基于云的应用程序和服务 云计算包括基于 Web 的应用程序或 Web 托管的服务以及集中的服务器场和数据中心, 您可以从任何类型的联网设备获取服务器场和数据中心的数据 所有基于云的计算都拥有一个共同的特点, 即端点在理论上独立于设备 ; 通过将设备上的浏览器作为 通用客户端, 您无需为访问应用程序的每种设备都配备特定于某一操作系统的客户端软件 然而, 如果消费类设备采用云应用程序访问公司数据, 则需要考虑以下几项 : 浏览器要求 关键的要求是, 用户设备上的浏览器应支持这些应用程序 例如, 规定使用某些特定的受支持的浏览器版本 屏幕大小 您可能存在屏幕面积的问题, 尤其是对于外形体积较小的设备 通过良好的设计 ( 例如, 避免固定页面大小 ) 可以在一定程度上缓解这个问题 Microsoft Office 365 和 Office Web Apps 是两款优秀的云应用程序示例 Office 365 包括网络版的 Microsoft Exchange SharePoint 和 Lync, 可用于 Windows PC Windows Phone 7 和 Macintosh 计算机 Office 365 还包括 iphone BlackBerry Nokia 和 Android 设备支持的一些功能 有些手机可以提供更加完整的 Office 365 支持 例如, 您可以使用 Windows Phone 7 将 SharePoint Workspace 同步到手机, 并在脱机状态下处理公司的 Office 文档 其他一些云应用程序示例包括 Windows Live Mesh 2011 Windows Live SkyDrive 和 Windows Intune, 其中 Windows Live Mesh 2011 用于跨设备同步文件及远程访问 PC,Windows Live SkyDrive 用于存储和共享文档和其 他文件,Windows Intune 用于基于云的 PC 管理 4.2 桌面虚拟化 VDI 在虚拟桌面基础结构 (VDI) 中,Windows 桌面环境在集中式服务器上的虚拟机中实现运行和管理 通过采用远程桌面协议 (RDP), 该服务器能将用户桌面远程呈现在客户端计算机或其他设备上 VDI 对用户桌面实施集中管理和部署, 但其中添加了一项针对用户的功能, 使用户能够访问他们自己的个性化桌面, 定义自己独一无二的桌面设置, 如有必要还可拥有管理员权限 ( 例如, 当用户为开发人员时 ) 与 VDI 相比, 使用会话虚拟化可以使用户通过会话来共享基于单一服务器的桌面 您可以使用会话虚拟化对整个桌面的呈现进行虚拟化或仅对特定应用程序进行虚拟化 您可以使用远程桌面服务 ( 包含在 Windows Server 2008 R2 中 ) 来交付 VDI 和基于会话的桌面 文件夹重定向 文件夹重定向是策略的组成部分, 有时称作用户状态虚拟化, 通过文件夹重定向可以将用户数据和设置安全地存储在中央位置, 而且, 如果用户处于脱机状态, 则可将这些数据和设置缓存在本地桌面中 数据的主要备份保存在网络中, 所以, 如果 PC 丢失或被盗, 仍可轻松恢复数据, 且自动重新应用用户设置 7

8 4.2.3 应用程序虚拟化 经过虚拟化的应用程序在一个受保护的孤立虚拟化环境中运行, 无需传统意义上的安装 如果组织部署了虚拟应用程序, 则可减少应用程序之间的冲突 Microsoft 采用 Microsoft Application Virtualization (App-V) 实现应用程序虚拟化, 这是 Microsoft Desktop Optimization Pack (MDOP) 中的一部分 您可以通过企业软件分发系统 ( 例如,Microsoft System Center Configuration Manager) 或通过 Microsoft 部署工具包 (MDT) 将 App-V 应用程序以流式传输的方式传送给需要的用户 此外, 您可以通过使用独立媒体来部署 App-V 应用程序 您可以集中管理和维护 App-V 应用程序, 这样企业便能进行一次性更新并确保组织的合规性 更新将无缝交付给用户 Citrix XenApp 是一种 Microsoft 合作伙伴解决方案, 它将传统应用程序和 App-V 虚拟应用程序的支持延伸到多种设备, 包括智能手机和其他非 Windows 设备 4.3 选择合适的技术 评估技术时, 需要提出三个主要问题 : 1. 对客户端设备有什么影响? 影响程度较低的技术通常无客户端安装, 或只需一个轻型代理即可 影响程度较高的技术通常需要在客户端上安装一个或多个代理 2. 需要怎样的 IT 投资水平? 低投资的解决方案通常使用或扩展当前的基础结构, 或使用云技术 高投资的解决方案需要新的基础结构 3. 您需要何种级别的控制? 若只有单一应用程序或只启用了基准安全级别, 则需要低级别的控制 若支持整个环境, 则需要高级别的控制 例如, 终端服务器计算和 VDI 对客户端的影响都比较小, 但是 VDI 通常需要更大规模的 IT 投资和控制系统 同样, 管理技术对客户端的影响较大, 但您可以通过使用基于云的管理工具来降低成本 ( 图 1) 图 1. 如何确定技术对成本 控制和客户端的影响程度 8

9 设备对公司资源 ( 包括电子邮件 文档和企业应用程序 ) 的访问权限应取决于设备符合组织标准的程度 组织对该设备的信任程度越高, 访问权限越大 信息访问级别确定了用户在使用该设备时的工作效率 例如, 即使不受管理的设备也能访问电子邮件和日历应用程序, 但除非用户还获得了访问文档和企业应用程序的权限, 否则工作效率仍会受到限制 ( 图 2) 图 2. 应用程序访问会对受管理和不受管理设备的工作效率产生什么影响 5 支持多样化设备 由于存在多种消费化方案, 这迫使 IT 部门支持多样化设备 5.1 用家庭计算机或自备计算机工作 现在, 许多组织都开始正式支持在家工作, 并允许员工使用他们的家用计算机进行工作 Microsoft 委托 Forrester Consulting 对 150 家公司进行了一项调查, 结果得出,37% 的 IT 决策者支持某种形式的自备计算机 (BYOC) 计划, 还有 26% 的决策者有计划这样做 4 这些计划可能还包括对计算机采购方面的经济支持 4 IT 经理选择性接受消费化,Forrester Consulting 代表 Microsoft 于 2011 年 2 月执行的一项委 托研究 9

10 自备计算机 (BYO) 计划涉及一项自愿协议, 员工依照该协议在工作场所使用自己的计算机或其他设备 在某些情况下, 用户通过津贴获得经济支持, 员工可以获得一笔资金, 用于购买设备并作为某一段时间 ( 例如,3 年 ) 的支持 BYO 适用于任何设备, 例如, 任何计算机 (BYOC) 或任何类型的 PC (BYOPC) IT 应考虑到 BYO 的潜在复杂性 Forrester Consulting 的研究表明 5,56% 的 IT 决策者将于 2011 年实施 BYOC 计划,33% 的 IT 决策者将于 2012 年全面部署 BYOC 计划 然而, 多数 IT 经理会面临一些重要的工作, 即, 确定哪部分业务线或员工可以参与 BYOC 计划, 如何向用户发放津贴, 如何确定公司政策和 BYOC 计划的规则, 以及如何锁定公司数据 应用程序和网络访问的安全控制 5.2 平板电脑和平板计算机 :Windows 或非 Windows 设备 随着一系列平板电脑和平板计算机的推出,Windows 和非 Windows 设备的外形选择也越来越多, 这也是促进消费化的一个重要因素 即使 IT 提供硬件, 用户还是渴望拥有更广泛的选择 除了比较传统的键盘和鼠标外, 平板计算机一般还包括触摸屏, 您可以根据需要旋转触摸屏隐藏键盘 专业供应商可能会生产面向特定市场的平板计算机, 例如, 工业 医疗 酒店管理和户外应用 平板电脑类似于平板计算机, 但它没有专用的物理键盘 ; 平板电脑的外形体积也比平板计算机或更传统的便携式计算机小 Windows 笔记本电脑 平板电脑和平板计算机 Windows 7 包括一系列新的触摸功能, 这些新功能支持触摸屏上的手势动作和针对高精度输入 ( 例如, 手写识别 签名捕获和数据输入应用程序 ) 的手写笔输入 某些专用设备可能使用其他 Windows 操作系统, 例如 Windows Embedded 销售点 (POS) 设备和用于物流和仓储应用的手持式业务线 (LOB) 设备 然而, 您可以通过 System Center Configuration Manager 等技术管理所有 Windows 计算机, 这些计算机都能成为 Active Directory 域的一部分 非 Windows 平板电脑和平板计算机 非 Windows 平板电脑和平板计算机可能运行不同操作系统, 例如 Apple ios Android Linux 等 尽管对于其中一些操作系统而言, 类 Unix 系统可能有一个相同的起源, 但它们提供不同的用户界面以及不同级别的安全性和可管理性 这类设备采用多种操作系统, 所以企业必须采用一种系统的管理方法, 否则安全性会受到影响 5.3 智能手机 一般来说, 智能手机是一种移动电话, 这种移动电话的计算能力足以运行非常强大的迷你应用程序 ( 或应用程序 ) 并提供友好的用户界面, 以与这些应用程序和手机本身的功能进行交互 智能手机可能采用 Windows 操作系统和非 Windows 操作系统 5 IT 经理选择性接受消费化,Forrester Consulting 代表 Microsoft 于 2011 年 2 月执行的一项委 托研究 10

11 Windows Phone 7 是一款最新版本的 Windows 智能手机操作系统 它除了支持一系列企业功能 ( 例如, 用于 Office 文件管理的内置 SharePoint Workspace 和 Exchange ActiveSync ) 外, 还支持丰富的触摸屏用户界面 非 Windows 智能手机包括运行 Apple ios Android Symbian 等操作系统的设备 这些操作系统大多数都支持触摸屏界面和基于供应商的特定企业管理功能 6 如果企业计划接受消费化, 则主要的考虑事项是什么? 正在考虑实现消费化方法的企业应从几个关键技术领域和策略领域的角度对他们目前的设备和计划接受的设备进行检查 6.1 需要支持何种操作系统和硬件? 随着大量设备的推出, 企业应考虑是否对消费类设备或 BYO 设备的接受进行限制, 以及是否应该制定指导方针或更加规范的规则 类似的考虑事项也适用于归公司所有的硬件 在所有情况下, 企业都应关注提出的支持策略 设备更新方法以及支持这些设备可能需要的成本 支持策略 规划支持策略时需考虑的事项包括 : 支持多少平台, 每个平台使用哪些版本? 支持哪几种浏览器? 是否要强制使用标准映像? 是否存在应用标准映像的方法? 谁负责提供设备支持? 是否要强制规定一个硬件更新周期? 需要支持何种外围设备? 设备丢失或被盗时该怎么办? 如果设备出现故障, 是否有备用机? 如何停止使用已达到使用寿命的设备? 设备最小规格是多少? 例如, 如果员工参与 BYOPC 计划, 该计划规定所购买的笔记本电脑必须提供现场保修服务, 您仍需考虑当笔记本电脑返回至供应商处进行维修且用户暂时没有硬件可用时该怎么办 更新方法 进行更新管理规划时需考虑的事项包括 : 如何管理新版本的固件或操作系统, 或如何管理主要更新? 如何管理安全更新? 11

12 更新时是否有可能遇到跨供应商的问题? 以手机为例, 手机运营商是否拒绝进行操作系统更新? 各个平台的典型操作系统更新流程是什么? 谁提供更新 : 供应商 运营商或其他人? 他们采用何种安全模型? 更新服务提供商针对及时更新做出了什么承诺? 采用什么机制交付更新? 如果硬件供应商不再提供支持 ( 例如, 零件停产或缺货 ), 应该怎么办? 例如, 对于 Windows 计算机,Microsoft 负责操作系统和 Microsoft 应用程序软件的所有功能更新和安全更新 Microsoft 进行全天候的安全问题监控和研究, 并通过博客和 Microsoft 安全响应中心 (MSRC) 网站定期公布安全问题, 且在每个月的第二个星期二发布安全更新 对于非 Windows 设备, 了解设备供应商和提供商所采用的更新方法非常重要 成本 评估支持预算时需考虑的事项包括 : 维护操作系统和硬件可能需要多少成本? 更新是否需要支付费用或进行订阅? 例如, 可免费获得支持的 Windows 操作系统和应用程序更新, 其中包括以服务包形式交付的重大更新 6.2 如何实现合规? 如何确保并证实合规性是所有允许在工作场所使用非标准设备的企业所面临的主要风险, 也是在办公室以外进行工作所面临的主要风险 对于管制力度较强的行业 ( 例如, 医疗保健 制药 金融服务和政府机构 ), 这尤其是个挑战 例如, 在美国, 针对公司管治的萨班斯 - 奥克斯利法案 (SOX) 中包含了重要的合规性要求 在考虑合规性时, 应提出以下几个关键问题 : 数据保存在哪里? 如果数据曾存储在本地设备上 ( 或拥有本地副本 ), 则当设备丢失或被盗时, 或员工离开公司时, 这些数据便存在安全风险 对于 Windows 计算机 平板计算机和平板电脑, 您可以使用 BitLocker 创建加密的本地数据库 您也可以结合策略使用该方法, 以确保公司数 据只能复制到加密的本地存储中, 或完全不能复制, 只能通过 VDI 等远程访问工具进行访问 是否存在需要考虑的当地法律? 对于智能手机和非 Windows 平板电脑等设备, 如果某台设备 丢失或被盗, 能够远程擦除该设备上的设置和数据将显得非常重要 如果对员工的移动设备进 行远程刷机操作, 则在某些司法管辖区内可能会引起法律问题, 企业应就这一问题咨询律师 是否需要保留一份硬件清单, 以证明合规性? 如果您需要准确了解哪些设备连接网络并使用公 司数据, 则需要更高级别的管理 记录和清单编制规程 并非所有类型的设备均适合这种方法 12

13 6.3 使用何种应用程序? 在考虑如何向用户提供他们所需的应用程序时, 应提出以下几个关键问题 : 如何处理业务线应用程序? 是否所有应用程序都有必要在每台设备上可用? 应用程序供应商是否支持该设备? 有三种主要方法可用于提供多平台支持的应用程序 : 1. 对每种设备都采用现成的应用程序, 并尽快确定应用程序兼容性问题, 因为多种设备和多 个平台意味着需要多项测试 2. 使用自定义开发为每种设备创建或移植应用程序, 例如为 Windows Phone 7 创建 Microsoft XNA 或 Silverlight 4 应用程序 3. 使用设备无关技术 ( 例如,VDI 或云 ), 这种情况下, 使用何种端点设备来访问应用程序 并不重要, 而且对多平台上的应用程序支持并无要求 例如, 只要应用程序供应商提供广泛的设备支持, 就有可能在所有支持的设备上使用常用的应用程序 Windows Live Messenger 等常见的应用程序适用于 Windows 台式机 笔记本电脑 平板计算机 平板电脑和智能手机, 这些应用程序还有针对其他一些平台的版本 然而, 许多常见的企业应用程序并不适用于所有设备或只提供有限的支持 6.4 如何部署和管理应用程序? 在考虑如何向用户提供他们所需的应用程序的访问权限时, 应提出以下几个关键的部署和管理问题 : 如何向用户交付应用程序? 是否允许使用用户安装的应用程序, 或是否允许自我配置? 如何了解拥有什么应用程序? 是否确保实施版本控制? 在您支持的每个平台上, 典型应用程序都采用何种更新过程和交付机制? 如何管理应用程序生命周期, 包括应用程序更新? 谁提供应用程序的更新, 他们使用什么安全模型? 应用程序供应商针对及时更新做出了什么承诺? 是否存在一种方法能随着角色的转变 ( 或当用户离开公司时 ) 删除用户的应用程序访问权限? 如何支持审核工作和合规性报告工作? 例如, 除非全面核查了所有的 Microsoft 软件许可条款和许可证, 否则用户安装的应用程序都有可能存在问题 如果企业经营自己的 应用程序商店, 且该商店只提供获批的应用程序和一份针对特定用户定制的可用应用程序列表, 则可对自我配置进行管理 13

14 目前有若干种应用程序部署模型, 但并非所有这些模型都具备管理功能 : 公共的应用程序商店和商城 一个主要问题 ( 特别是对于手持式设备 ) 是 消费类应用程序 的使用, 您可以在特定于平台的应用程序商城 ( 例如 Windows Phone 7 Marketplace) 中购买这些应用程序 事实上, 其中一些应用程序可能以业务为重点, 但由于这些程序针对特定平台, 所以可能只能在公共商城购买 应用程序商城给 IT 部门带来以下几个挑战 : o 员工如何购买应用程序? o 以什么身份购买应用程序 : 个人身份还是公司身份? o 使用何种货币和支付方式? o 如何更新应用程序? 公司内部应用程序商店 人们对可由公司 IT 部门管理的商城的需求也日益增加 要满足这一需求,IT 部门可使用适当的方法来部署和管理现有全球应用程序商城内的应用程序 ( 例如在公共商城内开设私人商城 ), 或使用管理比较严格且只供内部使用的商城 强制部署工具 您可以通过网络使用 System Center Configuration Manager 2007 R2 等技术来部署软件, 包括应用程序更新和安全修补程序 应用程序白名单 白名单中列出了一系列获得批准的应用程序, 如果某个应用程序未获得批准, 则该应用程序将无法运行 如果能够对可在设备上运行的应用程序进行限制, 则将有助于防止潜在恶意软件的执行, 并确保仅经过测试和评估的应用程序可用 6.5 如何确保设备和数据的安全? 在考虑如何确保设备和数据的安全时, 应提出以下关键问题 : 如何控制对敏感数据的访问? 如何管理数据备份和数据恢复? 如何保护网络上的数据? 如何确保设备上的数据安全? 例如, 除非您能确保设备本身的数据安全, 否则, 无论使用何种设备, 都应将所有数据安全保存在公司数据中心 ( 或云 ) 中 这样能最大程度地降低设备丢失或被盗对企业及其数据产生的风险 因此, 用户应尽可能在线访问数据中心, 但当他们使用无法始终连接公司网络的漫游设备时, 也能使用脱机访问 ( 使用安全的本地数据 ) 根据数据存储位置的不同以及访问方式的不同, 还需要考虑其他特定的事项 本地设备上的数据 如果由于操作原因或其他原因致使某些数据缓存或存储在本地设备中, 则必须谨慎评估这样做造成的所有影响, 并采用适当的规程缓解对公司产生的所有风险, 例如, 在设备丢失或被盗情况下所产生的风险 对于可能存储敏感信息的所有设备, 应考虑以下关键问题 : 是否可以对本地数据进行加密? 设备上是否存在受保护的数据存储区域? 设备是否支持移动存储设备, 例如 SD 卡或 USB 驱动器? 14

15 如果有移动存储设备, 能否禁止访问该存储设备? 应备份哪些本地数据和设置, 如何进行备份? 如何防范恶意软件? 例如, 使用 VDI 访问公司资源有助于在可能受感染的用户设备 ( 例如, 智能手机或平板电脑 ) 和企业之间建立一个明确的防护屏障 虚拟桌面本身处于防火墙内部, 只要设备的 VDI 客户端禁止将本地数据复制或传输到虚拟桌面, 客户端上的任何恶意软件就无法影响网络资源 对于可能存有敏感数据本地副本的设备或运行访问公司资源的本地应用程序的设备, 有效的恶意软件处理策略尤为重要 例如, 应该有适当的系统来处理端点安全问题, 例如, 防病毒软件和 Rootkit 防护 新兴设备在初期看起来不是恶意软件的目标 然而, 随着设备数量的增加, 恶意软件也越来越普遍 防病毒软件供应商表示, 由于智能手机和类似设备数量的增加, 而且如今这些设备大多使用 Internet, 移动恶意软件正成为一个日益严重的问题 仅存在于云或公司数据中心内的数据 应尽可能将数据保存在受保护的云或数据中心内 因此, 不应在本地设备上公开数据 如考虑将数据存储在云中或数据中心中, 应提出以下几个关键问题 : 如何通过网络对该数据进行可靠的访问? 是否存在特定的网络要求, 例如防火墙要求? 是否需要支持访问技术, 例如 Windows Media 数字权限管理? 例如, 如果设备使用基于云的应用程序 ( 例如,Office Web App), 则可将所有数据保存在云存储中 如果企业已实施权限管理等策略来控制可访问和编辑文档的人, 则这些策略可应用于云应用程序并在本地客户端执行 一种实现方法是, 通过 Web 浏览器使用 Office Web Apps, 这样, 不管使用何种设备, 都能自动遵守在线权限管理策略 启用网络访问 连接到公司网络的所有 BYO 设备以及使用远程访问的家用计算机都应视作不可信设备 一种方法是对基础结构进行设置, 使这些设备即使处于工作场所也无法与可信资源连接 其中一种设置方法是, 使用交换机级防护, 以防止不可信的设备物理连接到公司局域网 (LAN) 计划启用网络访问时, 应考虑以下关键问题 : 哪种技术可用于启用网络访问? 是否可以对网络基础结构进行设置, 以允许使用不可信的设备? 所有推荐的设备是否存在任何网络访问限制? 例如, 对于移动设备, 可采用几个常用的方法来通过网络访问公司资源 : 虚拟专用网络 (VPN) 一种方法是使用 VPN 通过一条起始端为端点的安全专用通道来访问公司资源 对于 Windows 计算机以及 Macintosh 和 Linux 等其他平台, 通常都会在操作系统中内置支持多 VPN 的功能 然而, 外形体积较小的设备对 VPN 提供有限支持或提供设置单 VPN 配置的功能 15

16 反向代理 反向代理是直接端点连接的一种替代方法 反向代理在公司资源 ( 例如,Exchange 服务器 ) 和外部设备之间提供附加保护层 反向代理可卸载端点服务上的安全套接字层 (SSL) 加密和加速服务, 还提供负载平衡, 在这种情况下, 反向代理服务器可以将针对单 URL 的所有流量分流至一组端点服务器 强化网络安全 可以使用多种方法来使网络访问仅限于符合要求的设备 如果没有这些控制, 将很难确保一个被盗用的设备 ( 例如, 智能手机 ) 不会在联网的情况下危害公司网络 规划网络安全时, 应考虑以下关键问题 : 设备是否支持任何访问保护技术? 用户应采用何种机制使自己的设备符合要求? 例如, 对于 Windows 计算机, 您可以使用网络访问保护 (NAP) 根据客户端计算机的身份以及是否符合公司管治政策来控制对网络资源的访问 如果某个客户端不符合要求,NAP 将提供一种机制, 使客户端自动符合要求, 然后动态提升其网络访问级别 对于 BYO 设备, 必须考虑是否可以提供 Web 门户等工具, 从而使用户可以在设备不符合要求的情况下自行处理操作系统和策略更新 用户身份验证 用户身份验证规程首先会对所有试图访问受保护资源的用户进行身份确认, 然后让用户访问许可的资源 规划用户身份验证时, 应考虑以下关键问题 : 如何管理消费类设备上的多个身份? 设备是否支持用户名 个人标识号 (PIN) 和密码? 设备是否支持智能卡或生物身份验证法? 是否支持多重身份验证, 例如, 用户名 密码以及证书 例如, 如果要求个人证书, 则用户个人身份 ( 例如,Windows Live ID) 和用户工作身份 ( 例如, 域登录名和公司电子邮件地址 ) 将会对可以运行哪个应用程序产生影响 还有一个问题, 即个人数据和公司数据可能会同时存在于同一台设备上, 但这些数据均由身份独立的用户来管理, 以便进行数据访问控制 如果使用 VDI 解决方案来访问服务器托管的虚拟桌面, 则可以使用 Active Directory 来识别网络上的活动用户, 类似的方法也适用于加入域的普通计算机 非 Windows 平板电脑等设备不支持该方法, 除非使用 VDI 解决方案 对于外形体积较大的设备 ( 例如,Windows 计算机 ), 您可以在连接网络前使用智能卡来验证用户身份 小型设备则不具备对智能卡或生物扫描仪的必要硬件支持 6.6 如何管理设备? 消费化的出现, 增加了工作场所中所用设备的种类, 这使得 IT 部门面临多个与管理有关的挑战 对于归公司所有的计算机, 可以实现较高级别的设备管理 在其他情况下, 只能进行有限的管理 16

17 主要的管理问题包括 : 哪些设备正在使用中, 这些设备的使用者是谁? 每台设备上都安装了什么应用程序, 这些应用程序是否得到支持和许可? 是否已使用更新 修补程序 应用程序等对每台设备进行更新? 如果出现安全问题, 是否可以采用有效的机制快速关闭这些漏洞? 能否轻松执行安全策略, 例如密码复杂性? 需要什么样的支持或远程协助, 是否需要全天候提供这样的支持或远程协助? 很少连接到公司 LAN 的设备可以使用什么工具? 例如, 您可以使用多种技术来对消费类设备进行某种形式的管理 : 跨平台工具, 例如 Exchange ActiveSync Windows 工具, 例如 System Center Configuration Manager 和 Windows Intune 非 Windows 工具, 例如 Apple iphone 配置实用工具和移动设备管理 (MDM) 应用程序编程接口 (API) 6.7 如何管理用户责任? 成功的消费化管理不仅涉及技术, 有效的组织和雇员政策也起着一定的作用 例如, 如果要求将 BitLocker 或其他第三方加密作为设备连接公司网络的先决条件的一部分, 则应首先全面调查对个人系统上的数据进行加密所产生的法律影响 您可以在雇员政策中规定员工私人设备的使用条款, 以确定员工和雇主分别拥有的权利 这些政策可以包括 : 用户同意接受设备要求, 例如, 强制使用密码 组织有权远程擦除设备, 例如, 在设备丢失或用户离开公司的情况下 如果用户的 BYO 设备出现故障, 组织承诺可临时借出设备 即使设备拥有保修证书, 也常常会遇到不可用的情况 企业应制定明确的规定, 以便员工只有在签署相关文档或合同的情况下才可以通过获得支持的设备访问公司资源 7 企业消费化管理解决方案 本节描述了几种用于管理比较严格的公司环境和管理比较松散的组织的企业消费化管理的解决方案示例, 以及同时适用于 Windows 设备和非 Windows 设备的解决方案示例 图 3 显示了这些解决方案中的关键 Microsoft 技术在典型成本 所需控制级别和客户端影响这几个方面所获得的评价 17

18 图 3. 关键 Microsoft 促成技术在成本 控制和客户端影响这几个方面所获得的评价 7.1 PC 和平板电脑 企业 BYO PC Macintosh 平板电脑的最佳管理方法取决于 IT 部门期望管理的设备类型 Windows 桌面优化 Windows 桌面优化结合了 Microsoft 桌面解决方案和跨物理和虚拟环境的数据中心管理解决方案 底层是客户端基础结构, 其中包括作为桌面操作系统的 Windows 7 作为浏览器的 Windows Internet Explorer 8 和 MDOP Windows 7 企业版和 Windows Server 2008 R2 的基础结构支持 BranchCache 和 DirectAccess 等客户端功能 此外, 它还通过 Hyper-V 支持 VDI 环境 System Center 中的管理工具和 Microsoft Forefront 中的安全技术支持客户端组件和服务器组件 System Center 和 MDOP 等管理工具向本地部署的系统及在数据中心内托管的系统和应用程序提供安全工具 访问工具和应用程序优化工具 : 应用程序管理 在 Windows 桌面优化环境中, 您可以通过 System Center Configuration Manager 或 Microsoft System Center Essentials 等软件使用一种受管理的部署方法, 将 Windows 应用程序部署到 Windows 计算机中 您可以使用此方法将应用程序同时部署到大量计算机上 对于 Windows PC 平板电脑和平板计算机, 管理员可以使用 Windows 7 企业版中的 AppLocker 功能来创建一份获批程序的白名单, 这些程序按照位置或发行商 ( 标有发行商证书 ) 进行分组, 您可以通过文件哈希对它们进行单独选择 使用组策略的 Windows 7 客户端下载 AppLocker 规则后, 只能执行白名单中列出的应用程序 18

19 本地数据安全性 对于 Windows 计算机,BitLocker 驱动器加密是一种数据保护功能, 这种功能需要使用具备一定容量的受保护存储区域 BitLocker 集成了操作系统, 以处理数据被盗或未经授权的数据访问所带来的威胁, 这些威胁主要因便携式计算机丢失或被盗而起 Windows 7 旗舰版和 Windows 7 企业版均提供 BitLocker 在管理比较严格的环境内, 您可以使用加密文件系统 (EFS) 保护便携式计算机 台式机和服务器上的特定文件和文件夹 EFS 可对受保护文档的内容进行加密, 并允许用户选择需要加密的文档 可移动存储 在 Windows 7 企业版中,BitLocker To Go 将 BitLocker 驱动器加密保护延伸至 USB 可移动存储设备 备份 如果在本地设备上存储和处理数据, 则必须对该数据进行保护和备份 对于 Windows 平板计算机和平板电脑, 您可以使用内置的 Windows 7 备份工具将数据备份到 USB 设备和其他外部设备中 如果设备定期访问公司网络, 您可以使用 Microsoft System Center Data Protection Manager 2010 等技术进行快速备份, 这种情况下, 只能复制块级更改 对于 Windows 移动计算机,System Center Data Protection Manager 2010 还能提供脱机快照备份, 如果计算机和中央备份服务器在公司 LAN 上处于相邻位置, 则该备份会自动同步到中央备份服务器 然而, 如果使用便携式计算机处理工作任务和非工作任务, 则面临的挑战是如何只对公司数据进行备份, 而不使用公司资源对与工作无关的信息进行备份 网络访问 Microsoft Forefront User Access Gateway (Forefront UAG) 可提供针对 Exchange 服务器和 Internet 信息服务 (IIS) 服务器的反向代理服务, 还提供针对其他公司服务的反向代理服务 例如, 对于 Windows Phone 7, 可使用 128 位或 256 位 SSL 加密通过 Forefront UAG 承载的反向代理对数据传输进行加密 网络安全 在 Windows 计算机上,NAP 提供大量执行选项 : o 强制执行 IPsec 除非计算机符合要求, 否则不允许与其他计算机进行 IPsec 通信 o 强制执行 802.1X 除非计算机符合要求, 否则只允许通过 802.1X 验证的网络连接进行有限的通信, 例如, 与以太网验证交换机或 IEEE 无线访问点 (AP) 的连接 o 强制执行 VPN 除非计算机符合要求, 否则只允许通过 VPN 连接进行有限的通信 o 强制执行 DHCP 除非计算机符合要求, 否则该计算机只能租用受限制的 IPv4 地址 这种地址只能访问受限网络 有关 NAP 的详细信息, 请参阅 上的 Network Access Protection 页 还可以使用其他方法确保遵循这些协议, 包括使用 System Center Configuration Manager 等管理工具, 您可以使用这些工具来识别未加密或限制加密 没有防毒软件或没有最新操作系统或应用程序更新的设备 用户身份验证 所有 Windows 计算机都采用用户名和密码 对于 Windows 计算机, 您可以使用本地策略或域策略来设定所需的密码复杂性和密码更新周期 19

20 7.1.2 结合使用 Windows 和 Windows Intune 对于不具备相应资源或基础结构来支持完整 Windows 桌面优化策略的组织,Windows Intune 可以帮助提供管理和安全软件包 Windows Intune 是一种基于云的管理解决方案, 它通过 Windows 7 企业版和未来 Windows 版本的升级权限来结合用于 PC 管理和端点保护的 Microsoft 云服务 如果使用 Windows Intune,IT 部门可以通过最新的 Windows 操作系统为工作人员提供最佳 Windows 体验, 并利用 Windows Intune 云服务来更新和保护那些 PC Windows Intune 通过易于使用的基于 Web 的控制台来提供管理和保护 IT 部门应及时洞察用户的 PC 环境, 并查看更新状态和恶意软件 警报 安全策略 硬件和软件清单等等 只需连接 Internet 并在每个受管 PC 上安装 Windows Intune 客户端即可完成这些操作 Windows Intune 有助于向未受管和轻度受管的设备交付管理和保护软件包 ( 更新 端点保护和资产清查 ) Windows Intune 不要求 Windows 计算机成为 Active Directory 域的一部分 对于 Windows 便携式计算机 平板电脑或平板计算机,Windows Intune 可以提供有效 基于云的管理和保护解决方案 Windows Intune 可以通过云服务为参与 BYOPC 计划的用户管理和保护 PC, 除此之外, 它还可以为这类用户提供在 PC 上部署 Windows 7 企业版的权利 购买和部署 Windows Intune 的基本要求是获得 Windows 7 专业版 Windows 7 商业版或较高版本的许可证 Windows Intune 只支持 PC 和以下几个 Windows 版本 : Windows 7 企业版 旗舰版和专业版 Windows Vista 企业版 旗舰版和商业版 Windows XP Professional Service Pack 2 (SP2) 或更高版本 ( 推荐 SP3) VDI 对于无法提供完整 Windows 7 体验和安全环境的设备, 您可以使用基于 VDI 的策略, 从而安全访问服务器托管的 Windows 桌面 此方法最适用于非 Windows 便携式计算机和平板电脑, 例如 Macintosh ipad 和基于 Linux 的笔记本 然而, 如果员工将 Windows 自备便携式计算机带进工作场所, 则也可以使用 VDI 方法 在这种情况下,VDI 用于提供安全的企业桌面, 同时将所有个人数据和软件隔离在公司网络以外 一种解决方案示例包含了来自 Microsoft 和 Citrix 的技术 Microsoft VDI 套件为桌面基础结构提供基础平台, 并使用 : Hyper-V 作为虚拟化层 App-V 作为应用程序虚拟化平台 Microsoft RemoteFX 提供丰富的用户体验 System Center 技术来管理基础结构 Citrix XenDesktop 除了在整个广域网 (WAN) 内提供丰富的用户体验外, 还管理桌面交付 您可以使用 Citrix Receiver 将虚拟桌面延伸至非 Windows 平板计算机和智能手机等设备 ; 屏幕在设备上进行更新, 但公司数据安全保存在数据中心 您可以使用 Citrix Receiver 等 VDI 技术以触摸的方式启动任何 Windows 应用程序, 这样该应用程序便可以在非 Windows 设备上运行 20

21 使用 VDI 解决方案 ( 例如,Microsoft-Citrix 解决方案 ) 时应考虑 : 存储优化 如果将桌面转化或处理成虚拟桌面, 必须了解可以采用哪些性能优化, 例如, 在服务器上配置合适的存储块大小, 以最大限度地利用服务器磁盘的性能 支持的映像数量 使用 Citrix Provisioning Services 对操作系统映像进行流式处理时, 使用一个或两个标准映像的效率往往最高, 然后将这些标准映像以流式传输的方式传送给多个用户 电子邮件配置 使用 Microsoft Outlook 时, 请勿使用缓存 Exchange 模式, 因为在 VDI 类型的方案中, 桌面位于数据中心且永远不会脱机 (ICA 连接断开后, 您将无法访问桌面, 但只要采用 Exchange, 桌面仍然处于在线状态 ) 带宽要求 与只采用虚拟化应用程序 ( 例如,Citrix XenApp Microsoft App-V 或 Microsoft RemoteApp) 的解决方案相比, 完整的 VDI (XenDesktop) 解决方案需要更大的带宽 这是因为与完整的虚拟桌面相比, 通常情况下虚拟应用程序的空闲时间更长且平均利用率更低 有关使用 Hyper-V 和 XenDesktop 的详细信息, 请参阅 上的 TechNet Virtual Lab: Implementing Citrix XenDesktop 4 on Hyper-V R2 7.2 智能手机 企业可采用多种方法管理智能手机 例如, 您可以使用 ActiveSync 来管理许多 Microsoft 和非 Microsoft 设备 Exchange ActiveSync 是一种 Microsoft Exchange 同步协议, 优化后的 Exchange ActiveSync 可在高延迟和低带宽网络中工作 该协议基于 HTTP 和 XML, 它除了能通过 Exchange ActiveSync 邮箱策略提供管理工具以及其他工具外, 还允许设备访问 Exchange 服务器上的信息, 例如, 电子邮件 日历和联系人 例如,Windows Phone 7 除了能远程擦除设备并在多次尝试解锁失败后恢复出厂设置, 还支持 Exchange ActiveSync 管理策略, 例如, 要求采用密码和实施不同级别的密码强度 基于 Exchange ActiveSync 的管理是智能手机和其他体型较小设备的行业标准, Apple iphone 和 ipad Android Symbian 以及 Palm 等平台均支持该管理 企业中常用的智能手机管理要求包括 : 远程设备擦除 您可以采用 Exchange Server 2010 向需擦除的移动电话发送一条命令 此过程称作远程设备擦除, 它可以清除存储在移动电话中的所有 Exchange 信息, 从而清除被盗手机中的数据, 或在将手机分配给其他用户之前清除其中的信息 有关在 Exchange 2010 环境中进行远程擦除的详细信息, 请参阅 上的 对移动电话执行远程擦除 密码锁定 使用该 Exchange ActiveSync 策略时, 要求用户用密码锁定他们的移动电话 您也可以通过各种策略设置来引导如何使用移动电话密码 只要创建了 Exchange ActiveSync 邮箱策略, 您就可以配置以下设置 : o o o o o 启用字母数字密码 启用密码恢复 要求移动电话加密 指定最小密码长度 指定必须重新输入移动电话密码前的非活动时间 这称为设备密码锁定 21

22 有关 Exchange 2010 环境中密码锁定的详细信息, 请参阅 上的 配置设备密码锁定 空闲超时值 直接强制技术使用 Exchange ActiveSync, 使 Windows 手机或其他使用 Exchange ActiveSync 的手机上的数据与 Exchange 服务器上的数据同步 在防火墙上, 网络空闲连接超时值指示完全建立传输控制协议 (TCP) 连接后, 在没有流量的情况下允许连接的时间 您必须正确设置此超时值, 以留出 Exchange ActiveSync 检测信号间隔和企业会话间隔, 从而进行有效的通信 如果防火墙关闭了会话, 则用户将无法发送邮件, 直到客户端重新建立连接, 且用户将在很长一段时间内无法保持同步 Microsoft 建议组织将传入防火墙上的超时值设置为 30 分钟 有关详细信息, 请参阅 上的 Understanding Direct Push and Exchange Server 2010 Exchange ActiveSync Autodiscover 设置 如果提供了用户电子邮件地址和密码, 则可以使用 Autodiscover 服务设置用户的移动电话 能否使用 Autodiscover 服务取决于移动电话操作系统 并非所有支持与 Exchange 2010 同步的移动电话操作系统都支持 Autodiscover 有关详细信息, 请参阅 上的 配置 Exchange ActiveSync 自动发现设置 对 Exchange ActiveSync 进行故障排除 在线 Exchange Remote Connectivity Analyzer 是对 Exchange ActiveSync 进行故障排除时的必备工具, 它可以测试电子邮件设置和同步等问题 有关 Exchange Remote Connectivity Analyzer 及其使用方法的详细信息, 请转到 企业智能手机的最佳管理方法取决于 IT 部门期望管理的手机类型 Windows 手机 Windows 手机旨在支持特定的企业管理功能 : 本地数据安全性 有些客户要求智能手机加密设备上的静态数据 Windows Phone 7 使用最低权限的安全模型来保护数据, 该模型包括应用程序证书和带独立存储的沙箱 如果应用程序开发人员愿意, 他们可以利用加密的 API 对应用程序数据进行加密 Windows Phone 7 可以阻止用户通过 USB 连接转移 PC 中的文件或将文件转移至 PC Windows Phone 不支持可移动存储卡, 目的是防止用户将信息转移至 PC 或读取 PC 上的信息 您可以使用 Microsoft Zune 软件使媒体文件 ( 例如, 音乐 图片和视频文件 ) 与 PC 同步 如果某一 Windows 手机丢了, 管理员或最终用户可以远程擦除该手机, 或在多次输入错误的 PIN 后自动擦除该手机 可移动存储 Windows Phone 7 不支持可移动数据存储卡 Windows Phone 7 设备至少能存储 8 千兆字节 (GB) 的数据 如果原始设计制作商 (ODM) 设计了一款带 SD 卡的 Windows Phone 设备, 则 Windows Phone 可以通过锁定这张卡来保护数据 若要 锁定 这张卡, 电话内置存储器中需采用并存储一个 128 位密钥, 使卡和手机唯一配对 因此, 如果将卡从手机中取出,SD 控制器将阻止对这张卡的访问, 除非输入正确的 128 位密码 与特定 Windows Phone 设备配对的 SD 卡不可再用于其他手机或 PC 有关 Windows Phone 7 安全性的详细信息, 请参阅 上的 Windows phone capabilities security model 22

23 备份 Windows Phone 7 采用 Zune 软件对媒体文件进行备份, 采用 SharePoint 同步来确保 Office 文档和其他文档都复制回企业服务器 在 Android 设备上, 个人数据 ( 例如, 手机联系人 ) 会通过同步自动备份到用户的 Google 账户中, 但通话记录和应用程序数据不会 您可以使用第三方应用程序对该数据进行备份 对于使用 Apple ios 的设备, 您必须使用 itunes 软件将所有个人数据手动备份到计算机中 恶意软件防护 针对智能手机的反恶意软件工具尚未流行 然而,Windows Phone 7 使用最低权限的安全模型, 其中包括应用程序证书和沙箱, 以防止受到恶意软件的攻击 用户身份验证 所有 Windows 计算机都使用用户名和密码,Windows Phone 7 通过使用密码和 PIN 来支持设备安全 对于智能手机, 您可以使用 Exchange ActiveSync 策略来确保使用正确的密码或 PIN 设备管理 IT 部门可以使用 Exchange ActiveSync 提供策略支持并管理电子邮件和文档的访问, 从而管理 Windows Phone 7 设备 请注意,Windows Phone 7 设备目前只支持一部分适用于 Exchange 2003 SP2 Exchange 2007 和 Exchange 2010 的 Exchange ActiveSync 策略 Windows Phone 7 目前支持以下几项 Exchange ActiveSync 策略 : o 要求密码 (Exchange 2003 SP2 只可以使用此策略 ) 在手机开始与 Exchange 服务器对电子邮件 日历和联系人信息进行同步处理前, 要求用户设置一个设备锁定 PIN o 最短密码长度 设置 PIN 中数字字符的最少个数 o 空闲超时频率值 定义手机不用后等待锁定的时间 o 设备擦除阈值 定义手机擦除并恢复出厂设置前可以使用错误 PIN 的次数 ( 此外, 用户可以通过 Outlook Web App 启动远程设备擦除, 或者由 Exchange 管理员启动远程设备擦除 ) o 允许简单密码 可用于防止用户使用简单的 PIN, 例如 1111 o 密码过期 设置 PIN 的有效期, 有效期之后必须设定新的 PIN o 密码历史记录 防止用户重复使用相同的 PIN 有关 Windows Phone 7 对 Exchange ActiveSync 策略支持情况的详细信息, 请参阅 上的 Exchange ActiveSync Considerations When Using Windows Phone 7 Clients 有关 Windows Phone 7 所支持的 Exchange ActiveSync 策略的详细信息, 请参阅 上的 Exchange ActiveSync Client Comparison Table Exchange 2010 包含一个新的 允许 / 阻止 / 隔离 (Allow/Block/Quarantine, ABQ) 功能 如果 Exchange ActiveSync 策略允许管理员通过容量来限制设备访问, 则 ABQ 列表将允许通过设 备类型控制访问 有关 ABQ 列表的详细信息, 请参阅 上的 Controlling Exchange ActiveSync device access using the Allow/Block/Quarantine list, 以及 上的 了解移动设备管理 23

24 7.2.2 非 Windows 手机 非 Windows 手机支持的企业管理功能随供应商的不同而不同 例如, 许多设备都支持基于 Exchange ActiveSync 策略的管理, 但并非每个非 Windows 手机都使用所有 Exchange ActiveSync 功能 此外, 由于 Exchange ActiveSync 12.0 (Microsoft Exchange Server 2007) 和新版 Exchange 为非 Windows 手机提供了更多支持, 因此 Microsoft Exchange 的版本选择也非常重要 然而, 只要您的设备 /Exchange 组合体受支持, 就意味着您可以使用多种程序 ( 例如, 针对所有智能手机的 Exchange 远程擦除程序 ), 而不仅限于 Windows Phone 7 设备 有关非 Windows 手机支持的 Exchange ActiveSync 策略的详细信息, 请参阅 上的 Exchange ActiveSync Client Comparison Table 如果无法对必须获得支持的智能手机提供适用的 Exchange ActiveSync 策略, 则需要考虑使用特定于供应商的工具或第三方工具 : 应用程序管理 您可以采用各种方法对基于 Linux 的平板电脑和智能手机以及 Android 平板电脑和智能手机上的应用程序进行管理 例如, 可以使用工具启用或禁用应用程序安装, 设置应用程序和应用程序更新, 限制应用程序的网络访问并收集应用程序清单数据 在考虑哪种工具和方法适合企业需求前, 企业应制定应用程序管理的最低要求, 这一点很重要 在 Apple ios 设备上, 可以通过配置文件对自定义应用程序或企业内部应用程序的使用进行控制 用户必须安装配置文件, 以执行应用程序 您可以使用 MDM 解决方案来远程安装或撤消配置文件 管理员也可以将应用程序仅限于特定设备使用 本地数据安全性 目前的 Apple ios 设备都具备加密功能, 而 Android 设备通过第三方应用程序支持加密功能 设备管理 Apple ios 设备根据 Exchange 的版本支持某些而非全部 Exchange ActiveSync 策略 Apple 还提供 iphone 配置实用工具, 该工具用于创建可分发给手机用户的 XML 配置文件 这些配置文件中包含类似于 Exchange ActiveSync 的策略设置, 例如密码要求 大型企业也可以利用 MDM API 创建自己的功能管理工具, 例如, 远程擦除和其他类似于 Exchange ActiveSync 策略的策略 此外, 大型企业还可以使用 MDM 实现其他功能, 例如, 当进行国际漫游通话时, 向 IT 部门发出警告 关闭摄像头 验证强密码并收集详细的资产信息 使用 MDM 工具需要在设备上安装客户端, 现在有第三方可以提供基于 MDM 和 Exchange ActiveSync 功能的管理工具 对于不使用 Exchange ActiveSync 或其他企业工具的 Apple ios 设备, 您可以使用以消费者为中心的 iphone MobileMe 服务在地图上对丢失的设备进行定位 在屏幕上显示信息 远程设定密码锁并启动远程擦除, 以删除个人数据 在 Android 设备上, 管理员可以使用 Google Apps 设备策略来远程擦除丢失或被盗设备上的数据, 锁定闲置设备并对运行 Android 2.2( 或更高版本 ) 的设备进行密码管理 管理员也可以强制实施数据安全策略, 例如 : o o o 要求每部手机上都采用设备密码 设置高级别安全密码的最小长度 要求密码中包含字母和数字 开发人员可以使用设备策略管理 API 来创建用于控制功能的应用程序, 例如, 管理电子邮件和 VPN 账户以及安装证书 然而, 如果重要的安全功能取决于每个手机供应商和他们提供的 API 功能, 则有可能会出现问题 24

25 7.3 Microsoft 可以提供的帮助 Microsoft 总是致力于开发可为办公员工和居家人员提供强大技术支持的软件 这项承诺深深扎根于 Microsoft 最初的宗旨中 : 让每张办公桌 每个家庭都有一台计算机 现在,Microsoft 在全球拥有十亿以上的客户, 它除了为亿万个家庭提供解决方案支持外, 还为世界上最大的企业 学校 政府办公室和小型企业提供解决方案支持 Microsoft 提供跨 PC 手机和电视的消费者体验 : 目前的相关产品是 Windows 7 Hotmail Windows Live Messenger Bing Xbox Xbox LIVE 和 Kinect 对于具有完全受管的基础结构的企业, 包含 Windows 7 企业版和 Microsoft Desktop Optimization Pack 的 Windows 桌面优化可以提供企业客户所需的主要功能 Windows 桌面优化可以提高用户工作效率, 并能使用户随时随地访问完成工作所需的信息 此外, 它还向 IT 部门提供相关工具, 以便在安全的环境下支持其业务 保护公司数据 实现成本效益以及利用客户端计算领域的虚拟化趋势 对于基础结构部分受管的企业,Windows Intune 为 Windows 台式机 便携式计算机和平板电脑提供基于云的管理和保护技术 您可以利用 Windows Intune 在任何连接 Internet 的设备上完成必要的任务, 包括更新 端点保护和资产清查 8 总结 工作人员越来越希望能够使用自己的设备 ( 例如, 平板电脑和智能手机 ) 进行工作, 许多工作人员还准备购买自己的便携式计算机或其他设备, 作为 BYO 计划的一部分 IT 必须能够适当地接受消费化, 同时将企业风险和数据风险降到最低 除了评估并了解用户希望使用的设备外, 您还需要评估并了解用户, 从而确保消费化有利于您的企业且这些利益都可以衡量和评估 接受消费化可以使企业提高生产效率并凸显竞争优势 如果遵循此白皮书中描述的策略, 消费化将成为一个主要机遇, 可确保公司资产安全, 并在获得更强大支持的员工和 IT 之间建立新的角色关系, 即让他们成为合作伙伴 Microsoft 拥有多种企业就绪解决方案, 从部署 Window 桌面优化, 到使用 Windows Intune 进行基于云的管理, 再到接受 Windows 和非 Windows 智能手机, 这些解决方案可以帮助您满足用户对消费化的需求 25