必须正确配置Windows信息保护（WIP）策略以防止企业数据泄露，需满足系统版本、Azure AD加入及Intune管理三项前提，并通过Intune策略、组策略启用安全服务、PowerShell批量部署四种方式实现。
如果您在 Windows 11 中需防止企业数据意外泄露至个人应用或非授权设备，则必须正确配置 Windows 信息保护（WIP）策略。WIP 依赖于系统版本、账户类型与管理服务的协同支持，缺失任一条件均会导致策略部署失败或无响应。以下是四种可行的配置方式：
一、确认并满足 WIP 基础前提条件
WIP 并非开箱即用功能，其运行严格依赖三项硬性要求：Windows 11 企业版或教育版、设备已加入 Azure AD 或域、且由支持的 MDM（如 Microsoft Intune）统一管理。任意一项未达标，后续所有策略操作均无效。
1、按 Win + R 打开运行框，输入 winver，确认系统版本为 Windows 11 企业版或教育版。
2、进入“设置” > “账户” > “访问工作或学校”，检查是否已连接组织的 Azure AD 账户；若显示“已连接”，继续下一步；若未连接，需先添加并完成同步。
3、在同一页面点击已连接的组织账户，查看“连接服务”中是否明确列出 Microsoft Intune 并显示“已注册”状态。
二、通过 Microsoft Intune 创建并推送 WIP 策略
Intune 是官方推荐且最稳定的 WIP 配置路径，策略定义后自动下发至目标设备，可精细控制受保护应用、排除列表及网络信任边界。
1、使用全局管理员账号登录 https://endpoint.microsoft.com。
2、导航至 Devices > Windows > Windows Information Protection (WIP)，点击“创建策略”。
3、在“基本”页填写策略名称（如“WIP-财务部专用”）和说明，平台选择 Windows 10 and later。
4、在“配置设置”页设置关键项：
— 保护模式：选择 阻止（禁止向非允许应用共享任何受保护数据）；
— 受保护的应用程序：手动添加 Microsoft Edge、Outlook、Teams、OneDrive 等；
— 排除的应用程序：上传 Microsoft 官方提供的 AppLocker XML 排除列表，避免兼容性中断；
— 网络边界：勾选 SharePoint Online、OneDrive for Business、Exchange Online 作为受信任位置。
5、在“分配”页，仅选择明确的目标用户组（如“研发部”），严禁选择“全部用户”以防策略误覆盖测试设备。
6、点击“创建”，策略将在 5–15 分钟内同步至已注册设备，无需手动干预。
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
三、通过本地组策略编辑器启用 WIP 相关底层服务
当 Intune 不可用或设备处于混合管理环境时，可通过组策略强制启用 WIP 所依赖的虚拟化安全基础组件，确保系统具备运行 WIP 的硬件与内核支持能力。
1、按 Win + R 输入 gpedit.msc，以管理员权限启动本地组策略编辑器。
2、依次展开路径：计算机配置 → 管理模板 → 系统 → Device Guard。
3、双击“启用基于虚拟化的安全性”，选择“已启用”，并勾选 启用内存完整性保护 和 启用代码完整性策略。
4、继续展开同一路径下的 Credential Guard 子项，双击“启用 Credential Guard”，设为“已启用”并选择“使用 UEFI 锁定”模式。
5、点击“确定”保存全部设置，关闭编辑器后执行 shutdown /r /t 0 强制重启。
四、使用 PowerShell 批量部署 WIP 策略模板
适用于已部署 Microsoft Graph API 权限的企业环境，通过脚本方式导入预定义的 WIP 策略 JSON 模板，实现跨设备一致性配置，规避图形界面操作遗漏风险。
1、以管理员身份打开 Windows Terminal，执行 Install-Module Microsoft.Graph.Intune -Force 安装模块。
2、运行 Connect-MgGraph -Scopes "DeviceManagementConfiguration.ReadWrite.All" 获取管理权限。
3、将官方 WIP 策略模板 JSON 文件（含受保护应用列表、加密设置、越界响应动作）保存至本地路径，例如 C:\WIP\wip-policy.json。
4、执行命令：New-MgDeviceManagementTemplateInstance -TemplateId "b7c897f9-4e0a-4d1f-b1b2-3d8e8a9f0c5a" -BodyParameter (Get-Content C:\WIP\wip-policy.json | ConvertFrom-Json)。
5、确认返回结果中 "status": "success"，表示策略模板已成功注入 Intune 后端，等待自动分发。
