AirWatch企业移动化管理方案建议书

AirWatch:企业移动化致简之道AirWatch:企业移动化致简之道10/23AirWatch企业移动化管理解决方案建议书威睿/AirWatch2014.11

目录1 企业移动化的现状及需求 41.1 企业移动化管理的现状 41.2 企业移动化管理的挑战 41.3 企业移动化管理的目标 62 AirWatch企业移动化管理整体方案介绍 72.1 AirWatch公司背景介绍 72.2 AirWatchEMM解决方案总体架构 82.3 方案部署整体架构 92.4 典型应用场景 102.4.1 用户BYOD移动办公 102.4.2 企业配发个人移动办公 112.4.3 企业配发由多用户共享移动办公 112.4.4 设备终止移动办公 123 AirWatchEMM方案功能模块介绍 123.1 移动设备管理模块（MDM） 123.2 移动应用管理模块（MAM） 133.3 移动文档安全管理模块（MCM） 153.4 移动邮件管理模块（MEM） 163.5 移动网络浏览管理模块（MEM） 163.6 移动安全工作区模块（Workspace） 174 方案特点与优势 174.1 集中可控的移动安全接入 174.2 统一工作空间 174.3 移动应用安全容器 184.4 广泛的跨平台设备管理能力 194.5 卓越的多租户、多级管理模式 194.6 完整的企业移动化管理平台 204.7 强大的二次开发扩展能力 215 为什么选择AirWatch解决方案 215.1 专业的移动化公司优势 225.2 领先的产品和技术优势 226 更多信息 23

企业移动化的现状及需求企业移动化管理的现状随着移动互联网的不断发展和移动智能设备的普及，移动信息化已经逐渐上升为越来越多企业的战略之选，甚至成为“移动优先”战略。专注于移动和通信行业的研究咨询公司扬基集团在2014年6月，针对于美国IT决策者的一项调查中发现，已经有超过60%的企业制订了移动化战略，并有超过50%的企业还设置了专门负责落实移动化战略的部门，并且还有更多企业正在进行移动化战略制订和相应部门设置。在移动化战略制订中，一个基本目标就是通过统一的移动化管理平台对工作环境中的各类移动化要素进行管理，这些移动化要素包括移动设备、移动应用、移动邮件、移动文档、移动浏览等。在IT消费化和移动设备普及的大背景下，企业内外的人员（员工、供应商、客户）都在广泛使用各类移动设备并逐步将其带入工作环境。用户越来越多地依赖于这些移动智能设备访问后台系统进行移动办公，处理业务，获取信息，并进行业务创新。企业移动化管理的挑战企业移动化的快速发展，一方面大大提高了最终用户的办公效率，增强了企业整体的创新能力和竞争力，另一方面也为IT和管理层提出了新的挑战：移动设备的碎片化：从操作系统平台上看，除了主流的iOS、Android系统之外，许多客户还有遗留的BlackBerry、WindowsMobile等平台设备，未来还可能会有Windows8/8.1以及可能的其他移动系统平台；从型号上看，即使是同一种操作系统平台，不同厂商的不同型号设备所提供的能力、特性都会有较大差异，尤其是在广泛使用的Android平台上，碎片化非常严重，这就要求移动化管理平台需要能够广泛支持各类移动设备，对各种设备根据设备特点进行远程配置和管理，并能够在第一时间对操作系统升级提供同步支持。工作数据安全隐患严重：企业移动化过程中，工作数据将会在设备、应用、文档、邮件、附件、浏览器、网络等各个层面、各种位置出现并使用，这就对数据安全和管理提出了更加严峻的要求，比如对于企业数据与个人数据的分离、容器化技术、DLP（数据防泄漏），以及与现有企业安全架构体系的集成，都需要进行统一规划实施。企业需要在为用户提供企业数据移动访问能力的同时，充分保障企业数据安全，两者的平衡更需要强有力的移动化管理平台提供支持。移动接入难控制：在移动设备访问企业资源时，可能会在企业内网Wi-Fi、运营商3G/4G网络、公共热点网络、家庭Wi-Fi网络等各种网络条件下，甚至有时还需要在离线的情况下进行企业数据访问，如何保证在各种网络接入时都提供安全、一致和便捷的访问，保证用户良好的使用体验，并落实企业安全管理要求，这是很多企业移动化会面临的重要问题。移动办公场景复杂化：在移动办公逐步开展后，整个企业会出现各种模式的办公场景。以办公用途区分，会有面向领导的管理类应用（审批、BI等），面向办公室人员的通用办公类应用（OA、ERP等），还会有面向现场作业人员的移动现场类业务应用（售后服务、野外作业、销售管理等）；以网络接入区分，有从办公室Wi-Fi接入，从家庭或公共Wi-Fi的接入，更多会有运营商的2G/3G/4G的接入；以设备归属区分，会有公司配发给专人的设备，有个人自带设备（BYOD），还可能会有公司配发给某个岗位由多人共享的设备；以内容和数据的安全等级区分，会有可以对外发布的信息，有所有员工共享的公共信息，也可会有针对特定部门和人员的高安全性的数据和内容。以上用途、网络、设备归属、安全等级等不同角度划分的移动办公场景，将会需要有强有力的移动化管理平台和相应的制度及组织保障。需要提供优质的用户体验：在娱乐与生活中，用户已经充分享受到各类移动应用优质的用户体验，并且还在不断改进。在企业中，用户可以选择使用任何方便的设备进行访问，包括越来越多的BYOD设备，但是不同设备（桌面笔记本/PC/智能手机/平板等）、不同操作系统（Windows/iOS/Android等）、不同的硬件厂商（苹果、三星、华为、联想等）、不同的用户角色，也同样会对用户体验提供更高的要求。用户体验既包括用户界面的美观性、易用性、可用性，也会要求更大的自主性和自服务能力。对于这些问题，一个完善、可靠、强大、统一的平台将会大大简化企业移动化管理的复杂程度，使得企业能够更专注于核心业务流程的优化和创新上。企业移动化管理的目标基于以上考虑，我们建议企业可以基于威睿AirWatch构建完整的企业移动化管理平台，实现以下企业移动化目标：实现可控受管的移动办公接入管理，对用户、设备、应用、内容进行完整的接入和访问控制；在可控接入的基础上，构建完整的适应各种应用场景、各种设备归属模式、跨平台统一的移动化管理平台，集中管理设备、应用和内容；与现有虚拟化平台和基础架构充分融合，在不同设备上交付统一的工作空间，提供统一的企业应用商店，交付企业移动应用和内容；针对集团性企业的特点，提供多租户模式服务，并充分实现个性化，为不同用户提供个性化、基于工作场景上下文的移动化工作环境，创造最佳移动办公用户体验。AirWatch企业移动化管理整体方案介绍AirWatch公司背景介绍创建于2003年，AirWatch已成为世界上最大的专业移动安全和企业移动化管理提供商，在全球共有超过1,800多名员工，提供的AirWatch企业移动化管理平台软件，提供17种语言（包括中文简体、中文繁体语言），已经被遍及150个国家的14,000多家企业组织采用，并且还在快速增长中。AirWatch®企业移动化管理平台包括行业领先的移动设备、电子邮件、应用程序、内容、便携式计算机及浏览器管理解决方案。企业组织可以根据其独特的“自带设备”要求，在AirWatch®Workspace内独立实施这些解决方案，也可以作为一种综合性、高可扩展性的企业级移动平台加以实施。AirWatch拥有业内规模最庞大的研发团队，能够确保最广泛的平台支持，已开发出AirWatch®SecureContentLocker等创新解决方案，并且实现了与移动化环境中主要设备制造商及技术解决方案提供商的集成。AirWatch作为移动化管理领域的领导者，已经连续多年被Gartner评为《移动设备管理软件“魔力象限”》中的领导者，并在《移动设备管理的关键能力报告》中获得全球部署能力最高评分，并获得行业内多个第三方研究公司的领导者评价。2014年1月，全球虚拟化和云基础架构领导厂商VMware公司以约11.75亿美元以及大约3.65亿美元分期付款与假设非既得股权，收购AirWatch，为客户提供完整的从桌面到移动端的终端用户计算解决方案。AirWatchEMM解决方案总体架构总体技术架构设计是在项目总体框架下从技术的角度提出具体的技术实现方案，从技术层面满足本项目的技术要求，在整体方案设计中，AirWatch会遵循以下设计原则：• 平台统一化原则：对所有移动化要素，基于统一的平台进行管理，简化IT架构和运维管理工作；• 投资保护性原则：对已有的IT基础架构（比如现有AD/LDAP用户目录、CA、邮件、内容管理系统等）投资进行充分集成和利用，最大化发挥价值，减少TCO，提高ROI；• 前瞻性原则：由于移动化、IT消费化、BYOD等已经越来越成为主流趋势，移动优先已经成为很多企业优先战略，我们也会充分考虑企业移动化发展方向，尽可能前瞻性设计整体方案；• 平衡性原则：安全和效率始终会存在矛盾，在方案设计上也会尽可能兼顾两者平衡，在保证合适的安全性基础上，尽可能满足更多的业务需求，实现更高的工作效率。我们根据项目总体技术要求，结合项目总体框架搭建项目总体技术架构，如下图：系统架构遵循以上原则，从逻辑上可以分为几个部分：企业后台：作为企业信息系统的一部分，移动设备管理系统将会提供与后台各种系统进行集成的能力，包括内容存储库、电子邮件系统、VPN网络系统、AD/LDAP用户目录、证书和PKI系统、监控系统等；同时，为了提供更加灵活的架构，还提供服务端各种API以便与其他系统进行深度集成。设备端：作为企业移动管理的最终载体，在设备端除了有用于基础设备管理的客户端外，还提供移动应用、移动浏览器、移动内容管理和移动邮件管理，为用户提供完整的移动办公体验及服务，同时实现企业的集中可控管理。管理门户：基于统一的基于HTML5的管理控制台，采用HTML5技术，支持跨平台，多浏览器，简洁易用。在单一平台上实现从移动设备到桌面设备的统一管理、监控和报表展示及导出，极大简化移动化管理及运维。其他架构组件：为了支持整体平台安全性、多租户和可扩展性，AirWatch提供了完整的平台集成、流程自动化、内嵌工作流和隐私保护框架。基于强大完整的移动化管理能力基础，为企业提供可定制的、适合多种使用场景的企业移动化管理架构能力。方案部署整体架构AirWatch移动化管理系统可以基于以下网络结构，既满足完整功能需求，又能提供高度的安全性和可靠性：此种网络结构下，DMZ区部署多台服务器运行需对公网发布的AWCM、DeviceService、MAG服务。将控制台、数据库服务部署于内网的一台服务器中，保证管理员只能从内网访问控制台，避免当管理员账户信息意外泄露后，系统数据从公网被访问并修改。强烈建议数据库（MSSQLServer）独立部署，方便进行独立的备份与高可用性配置。具体的服务器角色信息如下：服务器包含的服务服务用途与功能AWDMZ服务器AirWatch设备服务作为系统的接口与所有设备通信，接收来自设备的签入信息，和数据更新，也负责将管理命令发送至设备。AirWatch云消息作为控制台服务与所有设备和部分组件的信息交互中心。AirWatch安全邮件网关作为移动访问网关，提供企业邮件系统的安全可控访问AirWatch移动接入网关负责在设备与后台服务之间建立安全通信隧道，代理转发所有应用数据流量。允许设备通过其访问后端的文件服务器 AW内部服务器AirWatch控制台系统管理员用于对所有设备进行日常管理的中心平台AirWatch云连接器用于与企业后端的多种现有的IT系统集成，如LDAP，SMTP，PKI等数据库服务器MSSQL数据库系统数据库，存放AirWatch整体系统的系统数据与用户数据*SQL数据库服务器数量视客户的数据库HA策略而定典型应用场景借助此方案的实施，可以实现企业移动办公中多个场景的管理。用户BYOD移动办公在此场景中，最终用户使用自带的移动设备（BYOD），访问企业系统资源，进行移动办公。典型的应用场景如下：1. 用户向管理员申请BYOD移动办公后，管理员为其开通账号；2. 用户在移动设备上下载并安装AirWatch客户端应用，使用管理员提供的账号进行设备注册；3. 设备注册到移动管理平台后，移动管理平台向用户分发需要安装的企业内外网应用，并下发邮件及网络配置等；4. 用户打开邮件客户端，可以直接访问邮件，不需要自行再配置服务器等信息。此种BYOD场景下，企业管理员智能对于用户设备上工作应用和内容进行管理，对于个人应用和内容则可以不加管理，从而保障设备的私人拥有属性。企业配发个人移动办公在此场景中，最终用户使用的是企业配发的移动设备访问企业系统资源，进行移动办公。典型的应用场景如下：1. 企业向特定用户配发设备，并准备好账号；2. 管理员或用户在移动设备上下载并安装AirWatch客户端应用，使用管理员提供的账号进行设备注册；3. 设备注册到移动管理平台后，移动管理平台向用户分发需要安装的企业内外网应用，并下发邮件及网络配置等；4. 用户打开邮件客户端，可以直接访问邮件，不需要自行再配置服务器等信息。此种场景与BYOD不同在于：由于设备是企业配发，管理员可以对企业进行整个设备级全面的管理，可以擦除设备上所有应用和数据，并执行更多的管理操作。企业配发由多用户共享移动办公在此场景中，企业配发的移动设备将由多位用户共享使用访问企业系统资源，进行移动办公。典型的应用场景如下：企业采购设备后使用AirWatchAgent注册到移动管理平台，纳入企业管理；用户A使用设备前，要使用自己的用户凭证签出设备；移动管理平台会根据用户权限自动分配配置文件，后续类似于普通的企业配发设备场景；当用户A使用完毕后进行签入设备的操作，或是系统指定的超时到达后，设备自动配置为单应用模式；用户B如果要使用，同样需要首先签出设备，之后类似；在此过程中，无论用户是否签出设备，移动管理平台都能管理设备。设备终止移动办公在此场景中，如果由于人事变动或是设备更换，设备不再用于办公，此时典型的应用场景：用户主动向管理员申请设备不再用于移动办公，或是人事组织部门通知管理员终止其设备用于办公；管理员在管理平台上对相应设备进行企业擦除，将用户设备上企业相关应用和数据都全部擦除；如果是BYOD，管理员只能进行企业擦除，无法进行设备级擦除，也就不会对于个人应用和数据有所影响，用户个人使用设备没有任何影响。如果是企业配发设备，管理员可以选择是企业擦除，也可以选择对整个设备进行擦除。如果是用户主动终止移动办公，除了可以寻求管理员帮助外，用户也可以自行使用用户自服务门户，对设备进行企业擦除，从而解除办公状态。AirWatchEMM方案功能模块介绍AirWatch移动化管理解决方案包括多个子模块方案：移动设备管理（MDM）、移动应用管理（MAM）、移动内容管理（MCM）、移动邮件管理（MEM）、容器化工作空间（Workspace）。移动设备管理模块（MDM）AirWatchMDM是EMM的基础模块。它支持企业对移动设备进行最基础的硬件资产管理以及追踪。企业可以依靠AirWatchMDM对企业移动设备资产的整个生命周期进行全程管控，而在这个管控过程中，AirWatch提供了一个统一的控制台（Web），IT可在此控制台进行所有的操作和管理工作，无需在不同地点、服务器反复切换，大大减轻管理员的工作负担。AirWatchMDM支持如下多种移动设备平台：iOS,MacBook,Android,BlackBerry,WindowsPhone,Windows8/RT,Windows7/XP。AirWatchMDM方案支持如下功能：移动设备注册：支持基于客户端以及基于网页的注册流程；移动设备信息统计：直观的仪表盘与强大的报表系统，实时展现设备的多种信息。（如硬件序列号，电量，内存，已安装的应用程序列表，所属用户信息，合规性，网络信息等）；制定设备配置文件：管理员预配置多种配置文件，当设备注册完成后即可自动下发至设备。（配置文件包括：密码策略，WIFI，VPN，电子邮件，设备功能限制等）；远程管理设备：发送多种远程命令，包括推送消息，GPS定位，锁屏/解锁，擦除企业数据，设备恢复出厂设置等；设备合规策略：此功能帮助企业防范潜在的数据丢失或泄露风险，规范员工的日常设备使用行为。当设备违反公司某一规定时（如被破解，未设置密码，安装了黑名单应用等），将自动触发相应的动作（如发送警告通知，屏蔽电子邮件访问，擦除企业数据等）； AirWatch控制台为管理员提供了一个统一的入口，用来完成所有的日常设备管理工作。AirWatch控制台提供了强大的设备分组管理功能，企业可以为不同的组制定完全不同的管理策略，此外，可为每个组设置单独的管理员，此管理员的管理权限可根据需要灵活定义。 AirWatch还提供了强大的报表系统，内置了超过70种不同的报表数据，管理员可在线查看或导出报表。此外，AirWatch报表引擎也支持报表订阅：定期发送报表到指定的邮箱中。移动应用管理模块（MAM）随着移动工作人员数量的增加，移动应用程序的作用力和影响力已远远超出了仅限于消费者的范围。许多企业正在迅速采用移动应用程序来创建商业智能、部署移动销售点、配置销售Kiosk，并提供与工作相关的应用程序以提高生产力和工作效率。然而，组织在试图保护和管理应用程序时依然会面临诸多挑战，譬如：如何跨不同地点管理不同的应用程序。如何部署异步应用、且无需测试的动态更新。如何将不应出现在设备上的未经审批及恶意的应用程序列入黑名单。如何确保在设备上安装所有必要的商务应用程序。如何让所有设备上的全部商务应用程序保持最新状态。如何强制使用数据丢失防护功能，使您的移动应用程序投资得到安全保护。使用AirWatch移动应用程序管理功能为您的整个移动设备群分发、保护和跟踪移动应用程序。分发应用程序远程安装、更新和删除纳管的应用程序。在注册期间自动安装必要的应用程序。允许用户从企业应用目录按需安装应用程序。根据分配规则配置应用程序访问权限。保护应用程序通过创建黑名单、白名单及应用程序合规策略来限制应用程序的使用。限制访问预安装在设备上的应用程序。禁用iTunes,Google或其他公共应用程序商店。禁止数据备份，并在从AirWatchAgent取消注册时自动删除应用程序。通过扫描应用程序来确定安全风险。跟踪应用程序在设备级别和用户级别跟踪并查看已安装、获批准及被列入黑名单的应用程序。当最终用户安装了未获批准的应用程序时随即收到警报。生成应用程序清单、版本历史记录及合规情况报表。除了以上基本的移动应用管理功能外，AirWatchMAM方案还从企业App应用的全生命周期支持角度，提供了高级移动应用管理功能。从App研发阶段，就提供SDK开发套件，以使企业可以将AirWatch的一些安全特性嵌入到自己的应用中；在App分发过程中，AirWatch可以帮助企业建立内部的应用目录，安全地下发App；在App日常运维管理方面，AirWatch不仅提供了App安装情况追踪，还可以支持版本管理功能。AirWatch高级MAM特性包括SDK或再打包两种集成方案；可提供应用程序内的越狱检测，身份认证集成，SSL安全网络隧道，DLP防护等多种功能，满足企业对于移动应用完整生命周期管理的需要。移动文档安全管理模块（MCM）AirWatchMCM方案是同行业内最先进的企业移动化文档安全管理方案。作为业内率先提出MCM方案的厂商，AirWatch一直不断根据客户需求对此方案进行扩充与更新。AirWatch开发SecureContentLocker专用客户端（iOS，Android，Windows8/RT），此客户端保障了企业内部文档的下载、存储、查看过程中的数据安全。AirWatchMCM方案支持以下功能：建立文档存储库：支持通过Web上传文档至指定的用户组；支持与企业现有的多种文件服务器集成（SharePoint,SkyDrive等）；文档安全参数配置：可以配置是否允许离线查看，禁止复制粘贴，开启水印，禁止使用第三方软件打开，禁止打印，禁止使用蜂窝数据流量下载，以及文档有效期限等；SCL软件：通过AirWatchSCL软件，用户需进行身份认证后才能登入软件查看文档；AirWatchSCL支持包括AppleiWork，MSOffice，PDF，TXT，JPG，MP4等多种文档格式和音视频文件。移动邮件管理模块（MEM）AirWatchMEM方案可以为企业提供高可控的邮件安全接入方式：从邮件配置文件的下发到邮件准入策略的制定以及邮件加密，以及AirWatch为企业所有的移动设备访问邮件系统提供的邮件安全网关，企业可以全方位管控邮件系统的接入权限。AirWatchMEM方案支持以下功能：原生邮件客户端：支持配置文件（Exchange,POP,IMAP）的制定和下发；支持安装情况监控以及卸载；AirWatch安全邮件客户端（inbox）：支持Exchange邮件配置文件的制定和下发，支持邮件内容加密，PIN码设置，附件大小限制，禁用复制粘贴等；AirWatch邮件网关：支持邮件流量监控；加密以及屏蔽指定扩展名附件；屏蔽指定的移动设备（根据越狱情况，管控情况，设备型号和平台类型等条件）；支持设定黑白名单。移动网络浏览管理模块（MEM）AirWatchMobileBrowsingManagement（MBM）是安全的网络浏览管理解决方案，通过部署AirWatch安全浏览器，可实现对人员网络浏览的灵活管理。AirWatchMBM方案支持以下功能：网络浏览限制：支持Kiosk模式（仅限浏览单一网址禁用地址栏）以及黑白名单模式（设置网址黑名单或白名单）；隐私管理：支持禁用保存浏览记录，禁用Cookies，支持预定义书签；通信管理：强制启用VPN/代理服务器/移动接入网关访问内部网站资源。移动安全工作区模块（Workspace）由于Android等移动操作系统不能实现应用间数据的安全隔离，为了保证移动设备用于企业环境时能够充分保障企业信息安全，防止企业保密信息泄露，AirWatch提供安全工作区解决方案，帮助企业在个人设备上更好地管理企业数据，实现安全工作环境。方案特点与优势集中可控的移动安全接入通过此方案的实施，可以充分保证只有经过企业注册的设备和用户，才能使用移动设备进行接入。其他用户设备，如果没有注册在移动设备管理平台上，没有纳入到企业管理范围中，将无法直接连接到企业后台资源，从而保证了移动办公接入的集中可控。统一工作空间借助于统一的移动设备管理平台，各种设备接入都会需要经过统一的工作空间，在保证安全的同时，还为用户提供了个性化的企业资源访问单一入口。工作空间内的多个应用，用户只需要使用一个账号登录一次就都可以访问，并且在不同设备上拥有同样的使用体验，从而极大地简化了用户的移动办公，实现”一次登录、一种体验、多种设备“的用户体验，也降低了IT的管理和培训难度。如果结合VMware解决方案，可以通过统一工作空间，能够提供统一的企业应用商店服务，为不同用户不同设备提供快捷的应用访问服务。移动应用安全容器在移动设备上，尤其是Android操作系统上，本身没有采取相应的容器技术实现企业数据和个人数据的分离，因此我们提供移动设备上的安全容器技术，实现企业数据和个人数据的隔离，并对容器内应用进行集中增强的管控。使得容器内的应用可以安全连接到企业系统，并且可以支持通过品牌化、单点登录和可定制设置提供统一的用户体验。广泛的跨平台设备管理能力借助于VMware/AirWatch与设备和操作系统厂商广泛深入的合作，方案支持业界最为广泛的设备与操作系统平台，能够管理包括iOS、MacOS、Android、BlackBerry、WindowsPhone、Windows8.1/RT、Windows7/XP等各类普通桌面及移动设备，还能管控特定打印机等外设、加固设备等工业级设备，真正实现“一个平台、一套代码、一处管控”。卓越的多租户、多级管理模式AirWatch平台卓越的多租户管理，能够为集团型企业提供灵活的管理模式，可以支持为每一个子公司或机构创建独立的管理域，由独立的管理员进行管理，同时支持个性化的定制。多级管理模式既可以支持按地域，也可以支持按业务部门来划分，可以由企业自行来决定管理模式。完整的企业移动化管理平台在企业移动化领域，需要管理设备、用户、应用、内容、邮件等多种移动化相关的元素，AirWatch解决方案提供了业界最为完整的企