了解移动设备管理

适用于: Exchange Server 2010 SP2，Exchange Server 2010 SP3

最后修改的主题: 2014-03-05

MicrosoftExchange Server 2010 Service Pack 1（SP1）和MicrosoftExchange ActiveSync为用户和管理员提供了许多不同的功能. 作为管理员，您可以创建允许列表移动设备管理，阻止列表和隔离列表，以指定允许哪些移动设备访问您的Exchange邮箱. 使用隔离列表，仅允许用户分配的设备连接到Exchange服务器.

注意:

在本主题中，术语“移动设备”是指具有和不具有移动电话服务的移动设备. 假定所有手机和设备都具有某种形式的Internet连接（使用手机数据计划或使用无线Internet访问）.

目录

确定移动设备的访问状态

了解设备访问状态

控制设备访问

配置常规访问管理策略

Exchange 2010 SP1服务器遵循简单的逻辑顺序来确定每个移动设备的访问状态. 每个设备都可以被允许，阻止或隔离. 可以通过组织规则或豁免来定义每个设备的访问状态. 免税是适用于单个用户或单个设备的规则. 每当从移动设备收到尝试通过存储在Exchange 2010服务器上的邮箱同步数据的Exchange ActiveSync请求时，都会应用免税. 挑战序列包括以下步骤:

移动设备是否已通过身份验证？如果不是，则要求移动设备提供正确的凭证. 否则，请继续下一步.

是否为当前用户启用了Exchange ActiveSync？如果不是，它将向设备返回“访问受限”错误. 否则，请继续下一步.

当前的移动设备是否符合移动政策的强制性标准？如果不满意，将阻止访问. 否则，请继续下一步.

用户的个人豁免是否会阻止此移动设备？如果是，请阻止访问. 否则，请继续下一步.

用户的个人豁免是否允许此移动设备？如果是，请授予完全访问权限. 否则，请继续下一步.

设备访问规则会阻止此移动设备吗？如果是，请阻止访问. 否则，请继续下一步.

设备访问规则是否隔离了此移动设备？如果是这样，请隔离设备. 否则，请继续下一步.

设备访问规则是否允许此移动设备？如果是，请授予完全访问权限. 否则，请继续下一步.

应用每个Exchange ActiveSync组织设置的默认访问状态. 这将根据组织设置授予访问权限，阻止访问权限或隔离当前设备.

返回页首

设备访问状态是特定设备的状态. 设备的访问状态可以是以下状态之一: 允许，阻止或隔离. 有许多方法可以控制设备访问状态. 移动设备在每种访问状态下的行为都不同.

允许访问时，移动设备可以通过Exchange ActiveSync进行同步并连接到Exchange服务器以检索电子邮件并处理日历信息，联系人，任务和便笺. 只要设备符合您配置的Exchange ActiveSync邮箱策略，它将继续保持此状态.

有关详细信息，请参阅查看或配置Exchange ActiveSync邮箱策略属性.

由于您配置的设备访问设置而被阻止的移动设备将不允许连接到Exchange服务器，并且会收到HTTP 403禁止访问错误. 用户将从Exchange服务器收到一封电子邮件，通知他们他们阻止了移动设备访问邮箱. 您可以在此消息中添加自定义文本，以为设备被阻止的用户提供说明.

移动设备也可能由于无法应用Exchange ActiveSync邮箱策略而被阻止. 如果发生这种情况，用户将不会收到一封电子邮件，通知他该移动设备已被阻止访问邮箱. 但是，Outlook Web App中显示的移动设备信息表明该设备由于无法应用Exchange ActiveSync邮箱策略而被阻止.

被隔离的移动设备可以连接到Exchange服务器. 但是，仅授予他们有限的数据访问权限. 用户可以将内容添加到他们自己的“日历”，“联系人”，“任务”和“注释”文件夹中，但是服务器不允许设备从用户的邮箱中检索任何内容. 用户将收到一封电子邮件，通知他们该移动设备已被隔离. 该电子邮件将由设备接收，也将在用户的邮箱中提供. 您可以在此消息中添加自定义文本，以为隔离了设备的用户提供说明.

在配置Exchange ActiveSync组织设置时，您可以指定当隔离设备首次尝试连接到Exchange服务器时，一个或多个管理员会接收电子邮件. 然后，这些管理员可以通过创建个人豁免来决定是将移动设备从隔离中释放，还是完全阻止该设备，或者创建规则以对该移动设备和其他类似移动设备执行操作.

注意: 默认的升级宽限期允许隔离的设备继续与从早期版本的Exchange移至Exchange Server 2010的邮箱进行同步. 默认的升级宽限期为七（7）天，从设备同步状态开始已升级. 仅当设备与Exchange服务器联系时，设备访问状态才会升级. 因此，如果设备未与服务器联系，则其访问状态将不会升级.

此外，如果在运行Exchange的早期版本时在升级之前未检测到设备的同步状态，则该设备将不会收到升级宽限期.

当移动设备首次连接到Exchange ActiveSync时，该设备将暂时处于设备发现访问权限. 在这种状态下，将隔离设备，直到服务器识别出该设备. 此状态可以维持1到14分钟. 当移动设备处于此状态时，不会将电子邮件发送给管理员或用户.

当移动设备处于邮箱升级访问状态时，将被授予对用户邮箱的完全访问权限. 邮箱升级访问状态与允许的状态相同，除了该状态在从较早版本的Exchange 2010迁移邮箱并且设备首先连接到Microsoft Exchange服务器之后的七天内. 此状态是必需的，以使移动设备有时间将其信息和通信协议正确升级到最新的Exchange ActiveSync版本，并被设备访问管理系统识别. 只要能够识别移动设备，Exchange就会基于Exchange 2010配置应用适当的访问权限.

返回页首

您可以通过配置以下内容来控制设备访问:

您可以将特定的移动设备分配给特定的用户. 通过此分配，您可以明确授予对特定设备的访问权限或显式阻止特定设备，而不考虑规则和其他设备访问设置. 如果未为特定用户明确授予或阻止移动设备，则将根据前面讨论的编号步骤确定该设备的访问权限.

注意:

与Microsoft Exchange Server 2007不同，显式授予对用户特定设备的访问权限不会隐式拒绝对其他设备的访问. 如果用户尝试连接到另一台设备，则该设备的访问状态将由组织的设备访问设置决定.

您可以使用Set-CASMailbox cmdlet或Exchange控制面板（ECP）创建个人免税项目.

通过设备访问规则，您可以根据设备的某些属性（例如型号）来设置对一组特定设备可用的访问类型. 要创建这些规则，您需要了解设备型号和系列信息. 在移动设备成功与Exchange服务器同步之后，可以获得此信息.

您可以使用New-ActiveSyncDeviceAccessRule cmdlet或通过ECP创建设备访问规则，如下图所示.

新设备访问规则

设置设备规则时，重要的是要了解设备的“系列”与特定设备之间的区别. 此信息作为EAS协议的一部分进行通信，并由设备本身报告. 例如，设备规则仅适用于特定的设备类型. 设备系列代表一系列类似的设备，例如Pocket PC. 这种区别很重要，因为许多设备制造商通过为不同的操作员使用不同的名称来发布同一设备. 创建规则时，可以选择设备系列或特定型号，但不能同时选择两者.

在“新设备访问规则”页面上，单击“浏览”以显示最近连接到Exchange服务器的所有设备或设备系列的列表. 然后，选择要执行的操作. 您可以选择以下任一操作:

允许访问

阻止访问

隔离

Exchange ActiveSync的默认组织访问状态确定授予不受设备访问规则或个人豁免管理的移动设备的访问级别. 您可以使用Set-ActiveSyncOrganizationSettings cmdlet设置默认的组织访问状态.

隔离通知可让您指定将设备放入隔离区时谁接收电子邮件警报. 您可以将一个或多个管理员，用户或通讯组添加到列表中. 此列表中的任何人都会收到一封电子邮件通知，其中提供有关该设备，尝试连接到该设备的人以及尝试进行此操作的时间的信息.

返回页首

在为移动设备分配访问级别之前，您可能需要获取组织中所有移动电话和设备的列表. 您可以将Get-CASMailbox cmdlet与Get-ActiveSyncDeviceStatistics cmdlet结合使用以获取此列表. 有关更多信息，请参见Get-ActiveSyncDeviceStatistics.

您可以使用允许列表来授予对已知设备列表的访问权限，并限制对所有其他设备的访问权限. 为此，您必须创建规则以允许访问用户邮箱所需的特定设备. 创建此类规则后，您必须立即设置组织的默认访问状态以阻止所有其他设备. 要将新设备添加到允许列表，请创建新规则.

默认情况下，您可以使用阻止列表来授予对所有设备的访问权限，并阻止您不希望它们访问组织中的一组设备的访问. 您可以通过为不想与组织的邮箱同步的设备创建阻止规则来创建阻止列表. 应将组织设置设置为授予对未被现有规则明确阻止的所有设备的访问权限，并允许所有设备. 要将新设备或设备组添加到阻止列表，请创建新规则.

除了创建允许和阻止列表外，还可以隔离将新移动设备引入组织并同时对其进行评估. 例如，如果您拥有组织中不允许的移动设备的阻止列表，以及组织中允许的移动设备的允许列表，则可以将默认的组织访问设置设置为隔离. 所有其他设备都会自动隔离，这使您可以在将新设备引入组织后发现它们，并决定是将它们添加到允许列表还是阻止列表. 下图显示了已针对特定用户隔离的移动设备.

用户的移动设备已被隔离

您可以使用实时审核来发现当前正在与组织中的Exchange服务器同步的所有设备. 您可以通过将默认的组织访问权限设置为隔离来设置实时审核.

将默认的组织访问设置切换为隔离时，将在几分钟内生成隔离设备的列表. 您可以使用此列表创建允许和阻止列表. 在创建允许和阻止列表之前移动设备管理，将阻止所有用户与Exchange服务器同步.

返回页首

©2010 Microsoft Corporation. 保留所有权利.

主题

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/tongxinshuyu/article-282116-1.html