MotionPro 数据容器与防泄漏：BYOD 场景下的企业数据隔离

为什么需要数据容器

BYOD（自带设备办公）是 MotionPro 的核心场景之一。BYOD 的根本矛盾是：员工用自己的手机/笔记本办公，但组织需要保护这些设备上的企业数据。

如果不做任何保护，以下场景都可能导致数据泄漏：

• 员工离职后，手机里的企业文档、截图、Cookie 还在
• 手机丢失后，找回的人可以看到企业应用的数据
• 员工把企业文档通过微信/邮件发给自己或他人
• 员工用同一个浏览器登录企业系统和个人账号，Cookie 交叉

MotionPro 的数据容器（Secure Container） 就是在设备上创建一个加密隔离的空间，所有企业相关的应用和数据都存储在这个容器里，与个人数据物理隔离。

数据容器里有什么

• MotionPro 内置的安全浏览器的所有数据（Cookie、缓存、历史、下载文件）
• 通过企业应用商店安装的原生 App 的数据（登录凭证、文件、缓存）
• 企业发布应用（Published Apps）的会话数据
• MotionPro 自身的配置和会话凭证

数据容器在不同平台的实现

iOS

iOS 上 MotionPro 利用 Apple 的 Managed App 机制实现容器：

• 数据容器是 MotionPro App 的专属沙盒
• 受 MDM 托管时，MotionPro App 变成 Managed App
• Managed App 的数据不会被 iCloud 自动备份（防止泄漏到个人 iCloud）
• IT 可以通过 MDM 指令远程擦除 MotionPro App 的全部数据（包括容器）
• 容器内的数据无法被其他 App 直接访问

Android

Android 上 MotionPro 利用两种方式：

• Android Enterprise Work Profile：在设备上创建一个独立的"工作档案"，企业相关 App 全部装在工作档案里
• 加密沙箱：如果设备不支持 Work Profile，MotionPro 自己创建加密文件容器

两种方式的效果相同：容器内的数据与个人应用物理隔离。

Windows / macOS

桌面端的数据容器相对简单，主要是：

• 安全浏览器数据加密存储在 MotionPro 的安装目录下加密文件夹里
• 企业应用的下载文件和缓存加密存储
• IT 可以通过 MDM 远程删除 MotionPro 的数据目录

容器的核心能力

远程擦除（Remote Wipe）

这是数据容器最关键的能力。以下场景 IT 可以触发远程擦除：

远程擦除是精确到容器的——只擦除 MotionPro 容器里的企业数据，不会碰设备上的个人照片、微信聊天记录、个人 App 等。这对于 BYOD 场景来说是必须的——员工的个人数据归自己，企业只能管企业数据。

会话自动销毁

• 企业应用商店里的 App 会话可以配置为"关闭即销毁"——App 切到后台就清空会话 Cookie
• 安全浏览器的会话可以配置为"窗口关闭即清除"

剪贴板策略

AG 网关可以配置数据容器与个人区域之间的剪贴板权限：

• 禁止从容器内复制到个人区域（防止企业数据泄漏到个人 App）
• 也可以配置禁止反向（个人数据粘贴到企业系统）
• 允许双向粘贴（最宽松，安全性最低）

策略由 IT 统一配置，用户不能修改。

文件下载策略

安全浏览器或企业应用下载的文件：

• 默认保存在数据容器的加密区域内
• IT 可以配置"禁止下载"（强制只能在线查看）
• 或者配置"允许下载但只能存在容器内"（不能存到公共目录）

数据容器 vs 移动设备管理（MDM）

MotionPro 的数据容器是轻量 MDM 的补充：

• MDM（如 Microsoft Intune、VMware Workspace ONE）对设备有更强的管控权（远程锁设备、强制加密、配置 Wi-Fi 等），但部署成本高，很多组织不愿意完全管控员工的个人设备
• MotionPro 的数据容器只关心企业数据本身，不管控设备的其他部分，部署简单，适合"轻管控、重保护"的 BYOD 场景

实际上很多组织是 MDM + MotionPro 组合使用：MDM 负责设备级的策略（密码策略、加密），MotionPro 负责数据容器和 VPN 接入。