微軟的企業行動化管理方案，過去經過不少變動，最早是行動裝置管控Intune產品，之後則以綜合型方案Enterprise Mobility Suite（EMS）為主，去年底開始改名為Enterprise Mobility + Security，簡稱仍是EMS，並新增加了E3與E5的不同版本選項。
EMS特別強調身分權限的管控，以Microsoft Azure Active Directory Premium為核心，搭配Intune裝置控管與Azure Information Premium資訊保護（前身為Azure Rights Management），進而做到行動裝置，以及資料上的安全管理及防護。
另外，與一般行動化管理方案相比，微軟EMS還特別加入更多安全相關的產品，提供加值應用，像是內部威脅分析系統Advanced Threat Analytics，在較高階E5方案中，又加入了Cloud App Security產品，可幫助管理公司內部使用SaaS雲端服務的安全性，同時Azure AD Premium與Azure Information Premium也將提供更進階的管理功能。只是，EMS本身沒有提供行動生產力的App，與一般行動化管理方案不同。
在建議售價方面，E3方案每人每月292元，E5方案每人每月506元，套裝內的各產品也可單獨選購。如要企業用戶想要更多生產力應用，則可額外搭配微軟自家的Office 365綜合方案。
【前端使用者介面】在微軟企業行動化管理Enterprise Mobility + Security（EMS）解決方案中，強調以身分認證管理服務Azure AD為基礎，搭配行動裝置管理、資料保護，也提供整合企業內部與SaaS應用程式的入口平臺，方便用戶安全存取企業應用。
微軟EMS行動App總覽
在微軟提供的Enterprise Mobility + Security企業行動化管理方案中，使用者在行動端安裝Microsoft Intune 公司入口網站App，即可檢視企業發布的應用程式，同時也能看到自己所有的受管裝置。
搭配身分識別的管理機制，微軟也提供了Microsoft Authenticator App，等於多一層帳號安全防護。其他微軟EMS相關App，還包括安全瀏覽器Intune Managed Browser，以及可方便檢視他人共用受保護檔案的Azure Information Protection。
與一般行動管理方案較不同的是，由於微軟本身也是企業郵件與Office生產力工具軟體及雲端服務供應商，因此EMS額外搭配自家Office 365平臺，就能取得這些應用的專屬App。只是，單就EMS本身來看，就沒有太多生產力相關的App可使用。
主打基於身分識別、搭配行動管理的存取管控
在微軟EMS方案之下，Azure AD Premium的搭配是一大特點，可以整合公司內部與雲端的帳號管理，並主打條件式存取控制與多因素認證。在這次測試的行動化管理產品中，微軟與VMware的EMM產品，也都針對身分驗證提供專屬系統。
像是要讓外部員工要連至公司入口網站、登入Azure平臺時，除了需輸入帳號密碼，管理者可要求經過多因素認證，輸入一組驗證碼才能登入。例如，我們在登入介面上，可以看到平臺上提供了電話語音、手機簡訊，以及利用Microsoft Authenticator的App的選項，這是Azure AD Premium內建的機制，可讓使用者可透過自身的智慧型手機來接收認證碼，多一層確保的關卡。
更重要的是，Azure AD Premium具有條件式存取的管控方式，管理者只要設定使用者存取應用程式設定時，所需的特定條件，包含像是群組成員資格、裝置平臺、位置、應用程式與風險等五大面向，一旦條件不符，即可採多因素驗證再次確認身分，或是登入位置突然從臺灣網域變成美國，即可封鎖存取。
這裡的條件設定相當彈性，像是能以白名單或黑名單方式建立不同原則，符合條件採取的動作也包含像是，不讓對方存取、觸發雙因素認證，也能限制應用程式一定要在受控且合規範的裝置上，或是已加入網域的裝置，才能允許開啟。
另外，在進階的E5方案中，Azure AD Premium P2還會增加Azure AD Identity Protection，當中可提供安全性報告，主動提供防護建議。這主要是利用機器學習方式，辨識每個存取行為是否產生風險，並自動針對帳號產生風險評估的分數，之後就能夠主動提供建議，像是要管理者啟用雙因素認證，或是強制要求使用者更換密碼。
綜合來看，在這次測試產品當中，微軟產品提供的身分安全管理功能，顯然是比較豐富一些。
強調身分識別管理，提供3種二階段認證方式
在微軟EMS的行動管理解決方案下，Azure Active Directory Premium所提供的身份驗證服務是主要核心，可提供條件式存取管控，以及多因素認證機制。像是管理者能夠設定，當不符合企業制定的存取原則時，可觸發多因素認證機制，讓使用者要以接收簡訊、接聽撥打電話，或安裝Microsoft Authenticator App的方式，取得認證碼，並在登入介面上輸入以驗證身分。即使他人非法取得帳戶密碼，若沒有同時搭配的手機，也就無法通過驗證。
提供Azure AD的應用程式存取平臺，應用以Web與雲端服務為主
在微軟EMS方案中，其實也提供了使用者存取應用程式的單一入口My Apps（myapps.microsoft.com），讓使用者在登入平臺之後，就可存取企業提供的各式SaaS服務，也能使用公司內部的Web應用程式。
同時，由於Azure AD Premium也支援SAML認證，使用者存取上面的所有應用時，就能享有單一登入的便利，像是我們在測試環境中，從公司入口網站開啟像是Office 365郵件服務時，就可以不用再輸入密碼。
另外我們也能透過管理後臺，從資源庫將GoToMeeting等不同雲端服務，加入到企業應用程式清單中，之後在My Apps介面上，就能開啟服務直接使用。
至於公司內部Web應用的支援，管理者主要是透過設定將對外網址放到Azure平臺，也可說是由Azure代管這個對外網址，以提供單一登入與安全遠端存取。
基本上，使用者可以登入這個入口網站，或是在行動裝置上執行My Apps這款App，就能快速存取公司提供的所有應用程式。
同時，使用者在受控的行動裝置上，本來就已經從Google Play、App Store與Windows Store，下載Microsoft Inture公司入口網站（Intune Company Portal）的App，不僅是讓裝置能依循企業要求，納入管控並提升登入安全性，也能取得企業管理者從Intune發布的應用App。
文件外發管控容易，管理者並可追蹤與遠端取消存取權
基本上，EMS主要透過Intune行動裝置納管企業各式iOS、Android與Windows裝置，而在文件安全管控方面，微軟主要搭配的Azure Information Protection（AIP），也就是之前RMS的改版，提供數位版權管理E-DRM（Digital Right Management）的方式，而不是企業檔案共用及同步（EFSS）檔案同步，像是OneDrive for Business。
EMS也已經提供AIP Viewer的App，方便使用者在行動裝置上，即可瀏覽受保護的文字、PDF、圖片檔案等。
基本上，經Azure Information Protection 加密保護的資料，檔案本身就已經套用權限，可在公司內部使用者之間共用，也支援文件外發的管控，這裡的管控方式可限制資料的編輯、複製、列印、轉寄與使用期限。
較特別的是，管理者將可透過管理後臺，追蹤Azure Information Protection保護的文件。如果需要停止共用，可取消文件的存取權，之後，即使對方雖然手上有檔案，但在連線至Azure平臺驗證身分權限時，就無法開啟。
另外，在EMS進階的E5方案中，管理者在AIP上還可做出更嚴格的設定，像是文件內若含敏感資料，使用者在儲存時，就能被系統自動加密保護。
雖然EMS本身缺乏生產力工具，但可額外選購Office 365
比較起來，微軟EMS並不像Citrix與VMware這兩家產品，提供了多款行動生產力應用的App，並建構一個結合虛擬化應用、整合式的入口平臺。因此，微軟EMS在行動生產力應用上顯得單薄，而微軟自家的Azure RemoteApp相關技術，也沒有包含在EMS方案之內。
不過，因為微軟本身就是主要生產力工具的雲端服務提供者，已經提供郵件服務、Office文書應用等，若使用者想獲得這些應用，將能額外選購Office 365的綜合方案，就可直接使用服務本身的App，並搭配EMS的身分識別與資料保護機制。其實，現在各家產品也多會強調能與Office 365雲端服務搭配，而微軟的優勢就在於都是自家產品。
.jpg)
與Office結合緊密，並提供以檔案為主的資料保護機制
在微軟EMS方案之下，我們也不難看出與Office 365或Office應用程式的結合很緊密，例如，在安裝Azure Information Protection（AIP）用戶端程式的電腦上，當我們開啟像是Excel等Office應用程式時，可以看到AIP相關的防護設定，用戶選擇Personal、Public等標籤，方便在必要時，能自動保護其文件和電子郵件。此外，使用者也能設定存取對象與權限，限制編輯、複製、列印、轉寄、可使用期間等操作。
額外提供多種安全相關加值應用
與一般行動化管理解決方案相比，微軟EMS還有其他不同之處，像是包含了幾個安全相關的加值應用，提供內部威脅分析系統Advanced Threat Analytics，而且在進階E5方案中，又加入了Cloud App Security，可針對內部雲端應用程式監控與管理。
雖然這些功能並不算是企業行動化管理的核心功能，但這些不同面向的防護也很特別，像是Microsoft Advanced Threat Analytics，主要利用機器學習技術，針對企業內部AD的行為偵測與監控，像是分析使用者或裝置的存取行為與可疑操作記錄，目的是增加網路安全性，減少針對性地攻擊行為。
至於Cloud App Security，更讓應用EMS的企業不只是提供企業SaaS應用，還能做到更全面的SaaS應用管控，可建立有關雲端應用程式的存取、行動、資料共用等政策，防止資料外洩，並能在發現使用者有安全性風險時，控制使用者的存取權限。
後臺管理以Azure平臺為核心，整合潛力最佳
在微軟EMS的後臺管理方面，算是這次測試3家方案裡面最集中的，畢竟以雲端方案為主，像是Azure AD與Azure Information Protection的管控後臺，本就是基於Azure平臺。近期，微軟也開始把原本獨立的行動管理後臺Intune整入Azure，讓管理者只要登入Azure平臺，就能夠對管控身分、裝置與資料。
在Azure AD與Intune管理項目的介面上，也都提供各自的儀表板，方便管理者快速檢視用戶與裝置狀態，設定介面也都以Azure一致風格呈現，對於熟悉Azure的管理者來說，比較容易。
基本上，微軟幾乎將所有應用集中於Office 365與Azure平臺之上，使用者要將EMS與Office 365快速整合也容易。
至於方案中的其他加值應用，像是Cloud App Security與Advanced Threat Analytics，目前還是獨立的管理介面，尚未有進一步整合。
※ 關於「微軟Enterprise Mobility + Security管理後臺特色一覽的相關介紹」請到以下網址喔 ※
線