微軟的企業行動化管理方案,過去經過不少變動,最早是行動裝置管控Intune產品,之後則以綜合型方案Enterprise Mobility Suite(EMS)為主,去年底開始改名為Enterprise Mobility + Security,簡稱仍是EMS,並新增加了E3與E5的不同版本選項。

EMS特別強調身分權限的管控,以Microsoft Azure Active Directory Premium為核心,搭配Intune裝置控管與Azure Information Premium資訊保護(前身為Azure Rights Management),進而做到行動裝置,以及資料上的安全管理及防護。

另外,與一般行動化管理方案相比,微軟EMS還特別加入更多安全相關的產品,提供加值應用,像是內部威脅分析系統Advanced Threat Analytics,在較高階E5方案中,又加入了Cloud App Security產品,可幫助管理公司內部使用SaaS雲端服務的安全性,同時Azure AD Premium與Azure Information Premium也將提供更進階的管理功能。只是,EMS本身沒有提供行動生產力的App,與一般行動化管理方案不同。

在建議售價方面,E3方案每人每月292元,E5方案每人每月506元,套裝內的各產品也可單獨選購。如要企業用戶想要更多生產力應用,則可額外搭配微軟自家的Office 365綜合方案。

 

【前端使用者介面】在微軟企業行動化管理Enterprise Mobility + Security(EMS)解決方案中,強調以身分認證管理服務Azure AD為基礎,搭配行動裝置管理、資料保護,也提供整合企業內部與SaaS應用程式的入口平臺,方便用戶安全存取企業應用

微軟EMS行動App總覽 

在微軟提供的Enterprise Mobility + Security企業行動化管理方案中,使用者在行動端安裝Microsoft Intune 公司入口網站App,即可檢視企業發布的應用程式,同時也能看到自己所有的受管裝置。

搭配身分識別的管理機制,微軟也提供了Microsoft Authenticator App,等於多一層帳號安全防護。其他微軟EMS相關App,還包括安全瀏覽器Intune Managed Browser,以及可方便檢視他人共用受保護檔案的Azure Information Protection。

與一般行動管理方案較不同的是,由於微軟本身也是企業郵件與Office生產力工具軟體及雲端服務供應商,因此EMS額外搭配自家Office 365平臺,就能取得這些應用的專屬App。只是,單就EMS本身來看,就沒有太多生產力相關的App可使用。

主打基於身分識別、搭配行動管理的存取管控

在微軟EMS方案之下,Azure AD Premium的搭配是一大特點,可以整合公司內部與雲端的帳號管理,並主打條件式存取控制與多因素認證。在這次測試的行動化管理產品中,微軟與VMware的EMM產品,也都針對身分驗證提供專屬系統。

像是要讓外部員工要連至公司入口網站、登入Azure平臺時,除了需輸入帳號密碼,管理者可要求經過多因素認證,輸入一組驗證碼才能登入。例如,我們在登入介面上,可以看到平臺上提供了電話語音、手機簡訊,以及利用Microsoft Authenticator的App的選項,這是Azure AD Premium內建的機制,可讓使用者可透過自身的智慧型手機來接收認證碼,多一層確保的關卡。

更重要的是,Azure AD Premium具有條件式存取的管控方式,管理者只要設定使用者存取應用程式設定時,所需的特定條件,包含像是群組成員資格、裝置平臺、位置、應用程式與風險等五大面向,一旦條件不符,即可採多因素驗證再次確認身分,或是登入位置突然從臺灣網域變成美國,即可封鎖存取。

這裡的條件設定相當彈性,像是能以白名單或黑名單方式建立不同原則,符合條件採取的動作也包含像是,不讓對方存取、觸發雙因素認證,也能限制應用程式一定要在受控且合規範的裝置上,或是已加入網域的裝置,才能允許開啟。

另外,在進階的E5方案中,Azure AD Premium P2還會增加Azure AD Identity Protection,當中可提供安全性報告,主動提供防護建議。這主要是利用機器學習方式,辨識每個存取行為是否產生風險,並自動針對帳號產生風險評估的分數,之後就能夠主動提供建議,像是要管理者啟用雙因素認證,或是強制要求使用者更換密碼。

綜合來看,在這次測試產品當中,微軟產品提供的身分安全管理功能,顯然是比較豐富一些。

強調身分識別管理,提供3種二階段認證方式

在微軟EMS的行動管理解決方案下,Azure Active Directory Premium所提供的身份驗證服務是主要核心,可提供條件式存取管控,以及多因素認證機制。像是管理者能夠設定,當不符合企業制定的存取原則時,可觸發多因素認證機制,讓使用者要以接收簡訊、接聽撥打電話,或安裝Microsoft Authenticator App的方式,取得認證碼,並在登入介面上輸入以驗證身分。即使他人非法取得帳戶密碼,若沒有同時搭配的手機,也就無法通過驗證。

提供Azure AD的應用程式存取平臺,應用以Web與雲端服務為主

在微軟EMS方案中,其實也提供了使用者存取應用程式的單一入口My Apps(myapps.microsoft.com),讓使用者在登入平臺之後,就可存取企業提供的各式SaaS服務,也能使用公司內部的Web應用程式。

同時,由於Azure AD Premium也支援SAML認證,使用者存取上面的所有應用時,就能享有單一登入的便利,像是我們在測試環境中,從公司入口網站開啟像是Office 365郵件服務時,就可以不用再輸入密碼。

另外我們也能透過管理後臺,從資源庫將GoToMeeting等不同雲端服務,加入到企業應用程式清單中,之後在My Apps介面上,就能開啟服務直接使用。

至於公司內部Web應用的支援,管理者主要是透過設定將對外網址放到Azure平臺,也可說是由Azure代管這個對外網址,以提供單一登入與安全遠端存取。

基本上,使用者可以登入這個入口網站,或是在行動裝置上執行My Apps這款App,就能快速存取公司提供的所有應用程式。

同時,使用者在受控的行動裝置上,本來就已經從Google Play、App Store與Windows Store,下載Microsoft Inture公司入口網站(Intune Company Portal)的App,不僅是讓裝置能依循企業要求,納入管控並提升登入安全性,也能取得企業管理者從Intune發布的應用App。

文件外發管控容易,管理者並可追蹤與遠端取消存取權

基本上,EMS主要透過Intune行動裝置納管企業各式iOS、Android與Windows裝置,而在文件安全管控方面,微軟主要搭配的Azure Information Protection(AIP),也就是之前RMS的改版,提供數位版權管理E-DRM(Digital Right Management)的方式,而不是企業檔案共用及同步(EFSS)檔案同步,像是OneDrive for Business。

EMS也已經提供AIP Viewer的App,方便使用者在行動裝置上,即可瀏覽受保護的文字、PDF、圖片檔案等。

基本上,經Azure Information Protection 加密保護的資料,檔案本身就已經套用權限,可在公司內部使用者之間共用,也支援文件外發的管控,這裡的管控方式可限制資料的編輯、複製、列印、轉寄與使用期限。

較特別的是,管理者將可透過管理後臺,追蹤Azure Information Protection保護的文件。如果需要停止共用,可取消文件的存取權,之後,即使對方雖然手上有檔案,但在連線至Azure平臺驗證身分權限時,就無法開啟。

另外,在EMS進階的E5方案中,管理者在AIP上還可做出更嚴格的設定,像是文件內若含敏感資料,使用者在儲存時,就能被系統自動加密保護。

雖然EMS本身缺乏生產力工具,但可額外選購Office 365

比較起來,微軟EMS並不像Citrix與VMware這兩家產品,提供了多款行動生產力應用的App,並建構一個結合虛擬化應用、整合式的入口平臺。因此,微軟EMS在行動生產力應用上顯得單薄,而微軟自家的Azure RemoteApp相關技術,也沒有包含在EMS方案之內。

不過,因為微軟本身就是主要生產力工具的雲端服務提供者,已經提供郵件服務、Office文書應用等,若使用者想獲得這些應用,將能額外選購Office 365的綜合方案,就可直接使用服務本身的App,並搭配EMS的身分識別與資料保護機制。其實,現在各家產品也多會強調能與Office 365雲端服務搭配,而微軟的優勢就在於都是自家產品。

與Office結合緊密,並提供以檔案為主的資料保護機制

在微軟EMS方案之下,我們也不難看出與Office 365或Office應用程式的結合很緊密,例如,在安裝Azure Information Protection(AIP)用戶端程式的電腦上,當我們開啟像是Excel等Office應用程式時,可以看到AIP相關的防護設定,用戶選擇Personal、Public等標籤,方便在必要時,能自動保護其文件和電子郵件。此外,使用者也能設定存取對象與權限,限制編輯、複製、列印、轉寄、可使用期間等操作。

額外提供多種安全相關加值應用

與一般行動化管理解決方案相比,微軟EMS還有其他不同之處,像是包含了幾個安全相關的加值應用,提供內部威脅分析系統Advanced Threat Analytics,而且在進階E5方案中,又加入了Cloud App Security,可針對內部雲端應用程式監控與管理。

雖然這些功能並不算是企業行動化管理的核心功能,但這些不同面向的防護也很特別,像是Microsoft Advanced Threat Analytics,主要利用機器學習技術,針對企業內部AD的行為偵測與監控,像是分析使用者或裝置的存取行為與可疑操作記錄,目的是增加網路安全性,減少針對性地攻擊行為。

至於Cloud App Security,更讓應用EMS的企業不只是提供企業SaaS應用,還能做到更全面的SaaS應用管控,可建立有關雲端應用程式的存取、行動、資料共用等政策,防止資料外洩,並能在發現使用者有安全性風險時,控制使用者的存取權限。

後臺管理以Azure平臺為核心,整合潛力最佳

在微軟EMS的後臺管理方面,算是這次測試3家方案裡面最集中的,畢竟以雲端方案為主,像是Azure AD與Azure Information Protection的管控後臺,本就是基於Azure平臺。近期,微軟也開始把原本獨立的行動管理後臺Intune整入Azure,讓管理者只要登入Azure平臺,就能夠對管控身分、裝置與資料。

在Azure AD與Intune管理項目的介面上,也都提供各自的儀表板,方便管理者快速檢視用戶與裝置狀態,設定介面也都以Azure一致風格呈現,對於熟悉Azure的管理者來說,比較容易。

基本上,微軟幾乎將所有應用集中於Office 365與Azure平臺之上,使用者要將EMS與Office 365快速整合也容易。

至於方案中的其他加值應用,像是Cloud App Security與Advanced Threat Analytics,目前還是獨立的管理介面,尚未有進一步整合。

微軟Enterprise Mobility + Security

 管理後臺特色一覽 

內建條件式存取的身分驗證管理設定,強化帳號安全

在微軟EMS管理方案中,Azure AD Premium提供的身分認證管是控最被強調的部分,介面上提供條件式存取的設定,可依據使用者的屬性、連線裝置、應用程式、地點與風險建立原則,像是一旦出現登入異常狀況,就能強制執行多因素認證。

提供行動裝置管理後臺Intune,並與Azure平臺開始整合

微軟EMS所包含的行動裝置管理Intune,納管範圍包含Android、iOS與Windows裝置等,並可依據使用者指定存取公司的應用程式、資料和資源,以及保護公司資訊安全。特別的是,原本獨立的Intune管理介面,近期也已開始整併至Azure管理介面。

具有文件外發管理機制,並提供後臺可追蹤文件軌跡

在EMS提供的Azure AIP文件管控下,也提供文件外發的權限管控能力,且管理者還能夠追蹤這些外發文件存取的軌跡,介面上也整合Bing地圖的顯示,如果發現外發文件對象是在臺灣,文件卻有在其他區域被開啟的記錄,即可執行撤銷存取權限。

進階方案能盤點所有企業內部正在使用的SaaS服務

微軟EMS的管控範疇,不只是提供企業SaaS應用,還能做到更全面的內部SaaS應用管控。在進階的E5方案之中,特別提供了Cloud App Security,管理者可監視企業內所有 SaaS 應用程式的使用狀況,並即時對異常行為發出警示,像是多次登入失敗、從多個地點登入與大量下載等。

 

 產品資訊 

微軟Enterprise Mobility + Security(EMS)

● 原廠:微軟0800-008-833

● 網址:www.microsoft.com

● 支援平臺:Android 4.0、iOS 8.0、Windows 10與Web介面

● 部署方式:大部分產品皆以雲端服務方式提供,僅Microsoft Advanced Threat Analytics需企業自建

● 計價方式:E3方案每人每月292元,E5方案每人每月506元,套裝內的各產品也可單獨選購

【註:規格與價格由廠商提供,因時有異動,正確資訊請洽廠商。】


Advertisement

更多 iThome相關內容