用途：在应用层保护组织数据，使 BYOD 无需完整设备注册也能隔离企业数据，并可在不影响个人内容的情况下选择性擦除组织数据。适用于保护移动设备上 Microsoft 365 及支持 Intune SDK 的应用数据，尤其是非受管个人设备（MAM-WE）。不适用于完整设备管理或磁盘加密。
保护模式：BYOD 无注册用 MAM-WE（个人设备默认）；企业自有受管设备用托管设备上的 APP，叠加在 MDM 之上；混合场景两者并用，同一 APP 不同部署范围；一线或共享设备用应用保护加共享设备模式实现按用户数据隔离；严格合规数据用 APP 加条件访问应用筛选强制管控。选择规律：用户保留个人数据与设备、公司保留企业数据时用 MAM-WE。
主要能力：限制剪切/复制/粘贴到托管应用，阻止另存到个人位置，限制备份到 iCloud/Google Drive，要求应用内静态数据加密；要求应用 PIN（至少 6 位）或生物识别，设置离线宽限期（通常 12-48 小时），阻止越狱/root 设备，限制最低操作系统版本；使用“仅擦除企业数据”选择性擦除；配合应用配置策略管理应用设置（如 Outlook 签名、允许的账户类型）。
必要用法：策略面向用户和组而非设备，按 iOS/iPadOS 与 Android 分平台配置；APP 本身不强制登录，需创建条件访问策略，对目标云应用（Exchange Online、SharePoint、Teams）授予控制“要求应用保护策略”；结合应用配置策略。
验证与限制：检查 APP 分配显示正确用户组，状态报告显示策略已下发；在个人设备上测试从 Outlook 粘贴到个人笔记被阻止；条件访问 What If 显示未受保护应用访问 Exchange 被阻止。MAM-WE 仅保护受支持应用，需确认应用在 Intune SDK 或批准列表内；上线前告知用户 PIN 与限制；离线宽限期过短易锁定、过长则数据滞留；选择性擦除为排队执行，用户下次在线打开应用时触发，非即时；未配置应用配置时个人账户可能绕过控制；避免在 BYOD 上执行设备擦除。