夜雨聆风员工拒绝装公司管理软件，IT 却说：我根本不想看你的手机
读完本文，你会弄清 MDM 与 MAM 的边界，并知道公司设备、个人手机分别该怎么管。
一、一个注册通知，让销售群炸了锅
周一上午，销售小周收到通知：“请在个人手机上完成公司设备注册，否则下周无法访问邮件。”
群里马上炸开了：
“公司能看到我的照片吗？”“微信聊天会不会被读取？”“手机丢了，IT 会不会把整台机器清空？”
IT 老王解释了半小时，大家还是不放心。问题不在员工不配合，而在方案从一开始就没说清楚：公司到底要管整台设备，还是只保护 Outlook、Teams 里的工作数据？
这正是理解 Intune 时最重要的一道分界线：MDM 与 MAM。
二、MDM 管房子，MAM 只管公司保险柜
MDM（移动设备管理）像房屋物业。设备注册后，企业可以要求开机密码、磁盘加密、防火墙、证书、VPN 和系统更新，也能在设备丢失时执行锁定或擦除。
MAM（移动应用管理）更像放在房子里的公司保险柜。它不接管整套房子，只规定保险柜里的资料能不能复制、另存、分享，以及打开时是否需要额外 PIN。
MDM 回答“这台设备是否可信”，MAM 回答“公司数据能做什么”。
所以，公司电脑通常同时用 MDM + MAM；员工个人手机若只是访问 Outlook、Teams 和 OneDrive，优先考虑 MAM without enrollment，不必把整台手机纳入管理。
三、真正需要记住的 4 件事
3.1 公司设备：设备安全和数据安全要叠加
公司拥有设备，也承担丢失、恶意软件和配置失控的风险。MDM 可以统一开启 BitLocker、Defender、防火墙和更新，但这些设置并不能阻止员工把客户名单复制到个人应用。
所以实际工作中应该这样做：用 MDM 管设备基线，再用 MAM 管应用里的组织数据。
3.2 BYOD：最小侵入比“全都管起来”更重要
个人设备归员工所有。为了查看一次邮件就要求完整注册，不仅增加支持成本，也会引发隐私争议。
MAM without enrollment 可以只约束工作账号下的数据：例如只允许在受保护应用间复制，禁止附件保存到个人云盘，离职时仅清除公司数据。
保护企业数据，不等于接管员工生活。
3.3 MAM 不是单独的一堵墙
只创建 App Protection Policy，并不代表用户不能绕过受保护应用访问资源。真正的访问闸门在 Microsoft Entra Conditional Access。
实际设计中，应把应用保护状态交给条件访问：不满足要求，就不能从非受保护客户端访问 M365。
3.4 擦除之前，先弄清“删什么”
公司设备退役可能需要完整擦除；个人手机离职则应使用选择性擦除，只删除 Outlook、Teams 等应用中的组织数据。
这两个按钮点错，后果完全不同。上线前必须用测试设备演练，并把审批、执行和审计责任写进离职流程。
四、一套可以落地的 BYOD 基线
先选 20～50 名覆盖 iOS、Android 主流版本的员工试点：
1. 为 Outlook、Teams、OneDrive 创建 App Protection Policy2. 组织数据只允许流向 Policy-managed apps3. 禁止保存到个人云盘，只允许 OneDrive for Business / SharePoint4. 要求 App PIN，Root / 越狱设备阻止访问5. 用 Conditional Access 强制受保护应用6. 测试复制、另存、离职选择性擦除，再逐步推广验证时不要只看策略显示“已分配”。要真的拿一台个人手机，尝试把工作邮件内容粘贴到个人应用，再执行一次选择性擦除，确认私人照片和消息没有受到影响。
五、避坑清单：这几件事最容易翻车
❌ 个人手机一律完整注册 → ✅ 先判断是否只需保护工作应用 → 💡 管得越多，隐私和支持成本越高。
❌ 只建 MAM，不配条件访问 → ✅ 用 Conditional Access 封住绕过路径 → 💡 没有闸门，保护策略可能只是“建议”。
❌ 员工离职就点完整擦除 → ✅ BYOD 使用选择性擦除 → 💡 企业有权删除工作数据，不代表有权删除私人生活。
❌ 上线前不解释 IT 能看到什么 → ✅ 发布清晰的隐私说明和 FAQ → 💡 透明边界比强制通知更能换来配合。
六、最后一句
老王后来重新发了一封通知，第一句话改成：
“我们不管理你的相册、短信和个人应用，只保护工作账号里的公司数据。”
销售群安静了下来，试点也顺利推进。
终端治理真正成熟的标志，不是能管多少，而是知道哪些必须管、哪些不该碰。
如果公司要求管理你的个人手机，你最希望 IT 先讲清楚哪件事？
💡 可以把这篇文章转给正在为 BYOD、隐私和数据安全拉扯的同事 🙌
