擦除保护

您可以通过在 Workspace ONE UEM 中设置擦除阈值来保护自己免遭过多的设备擦除和企业擦除。

远程擦除包含保密企业内容的设备称为"企业擦除"，是在设备遗失或遭窃时考虑采取的一个步骤。擦除保护措施可防止企业内容与竞争对手接触的威胁。设备擦除具有潜在的破坏性，将移除所有内容，直到设备恢复到出厂状态为止。

• 设备擦除 – 发出 MDM 命令以擦除设备上的所有数据和操作系统。此操作无法撤销。

  • iOS 设备擦除注意事项
    • 对于 iOS 11 及以下版本的设备，设备擦除命令还会擦除与设备关联的 Apple SIM 数据。
    • 对于 iOS 11+ 设备，如果设备上存在 Apple SIM 卡数据套餐，您可以保留该套餐。选中"设备擦除"页面上的保留数据套餐复选框，然后再发出设备擦除命令。
    • 对于 iOS 11.3+ 设备，您可通过附加选项，在发出设备擦除命令时跳过近距设置屏幕。启用该选项后，将在"设置助手"中跳过"近距设置"屏幕，从而避免设备用户看到"近距设置"选项。
  • 对于 Windows 桌面设备，您可以选择设备擦除的类型。
    • 擦除 - 此选项会擦除设备的所有内容。
    • 擦除受保护数据 - 此选项与正常设备擦除相似，但设备最终用户无法规避该操作。"擦除受保护数据"命令会一直尝试重置设备，直到成功为止。在某些设备配置中，此命令可能会使设备无法启动。
    • 擦除并保留置备数据 - 此选项可擦除设备，但指定应将置备数据备份到永久位置。运行擦除后，置备数据将还原并应用到设备。置备文件夹将保存。您可以通过在设备上导航到 %ProgramData%\Microsoft\Provisioning 来找到该文件夹。
  • Windows Server 设备会保留受管应用程序。可以使用同样可以保留受管配置文件和基准的受管资源配置文件覆盖此设置。

• 企业擦除 – 对设备进行企业擦除，可取消设备注册并移除所有受管的企业资源，包括应用程序和配置文件。此操作不可撤销，而且必须重新进行注册，然后 Workspace ONE UEM 才能再次管理此设备。此设备操作包括用于阻止将来重新注册的选项，还包括一个备注说明文本框，供您添加有关操作的信息。

  • 云域加入设备不支持企业擦除。

但是，在一些情况下，诸如合规引擎和其他自动化指令之类的预定流程会擦除多个设备。除了自动擦除外，由管理员启动的意外擦除也可能会引起问题。作为管理员，您可能希望在启动此类操作时收到通知，并有机会进行干预。

通过定义擦除阈值（即特定时间内擦除设备的最低数量）来配置擦除保护设置。例如，如果 20 分钟内有超过 10 台设备被擦除，您可以自动暂停未来的擦除操作，直至您验证擦除命令后再继续。

您可以在此时审阅擦除日志，查看设备被擦除的时间和原因。审阅信息后，您可以接受或拒绝搁置的擦除命令并解锁系统以重置擦除阈值计数器。

配置受管设备的擦除保护设置

为受管设备设置擦除阈值，并在达到阈值时通过电子邮件通知管理员。您只能在"全局"或"客户"组织组级别配置这些设置。

1. 导航到组与设置 > 所有设置 > 设备与用户 > 高级 > 受管设备擦除保护。

   

2. 配置以下设置：

   设置	说明
   擦除的设备数	输入擦除的设备数，也就是将被用作触发擦除保护的阈值。
   时间范围（分钟）	输入时间范围 (分钟) 值，此值设定擦除必须在其间发生的时间量，超出后将触发擦除保护。
   电子邮件	选择要通过电子邮件发送给管理员的消息模板。 通过导航到组与设置 > 所有设置 > 设备与用户 > 常规 > 消息模板为擦除保护创建消息模板：选择添加，然后为类别选择设备生命周期，为类型选择擦除保护通知。您可以将下列查找值用作消息模板的一部分。
   	- {EnterpriseWipeInterval} – 设置页面上的**时间范围（分钟）**值。
   	- {WipeLogConsolePage} – 擦除日志页面上的链接。
   收件人	输入必须收到通知的管理员的电子邮件地址。这些管理员必须有权访问"擦除日志"页面。

   有关详细信息，请参阅查找值。

3. 选择保存。

查看擦除日志

您可以查看擦除日志页面，了解设备被擦除的时间和原因。查看相应信息后，您可以接受或拒绝任何搁置的擦除命令并解锁系统以重置擦除阈值计数器。

如果系统处于锁定状态，您会在页面顶部看到一个表示该状态的横幅。

1. 导航到设备 > 生命周期 > 擦除日志。

   报表设备擦除日志资源负责管理对"擦除日志"页面的访问权限，且在默认情况下可供系统管理员、SaaS 管理员和 Workspace ONE UEM 管理员使用。您可以通过创建管理员角色页面将该资源添加到任意自定义管理员角色。

2. 按以下参数筛选擦除日志。

   • 日期与时间
   • 擦除类型
   • 状态
   • 来源
   • 所有权

3. 查看设备的列表，并确定显示的设备是否为有效的擦除。

   待执行操作的设备状态为"暂缓分配"。达到阈值限制之前被擦除的设备将显示为"已处理"。

   1. 如属于有效擦除，则分别选取每个设备，然后从命令列表中选择批准擦除。状态将更变为"已批准"。
   2. 如属于无效擦除，则分别选取每个设备，然后从命令列表中选择拒绝擦除。状态将更变为"已拒绝"。

4. 重置设备阈值计数器，并通过选择解锁系统来允许擦除命令。

   系统允许将来的自动擦除命令，直到再次超过阈值限制。您只能在"全局"或"客户"组织组级别执行此操作。