如果只是涉及基于用户身份、设备或位置来授予网络访问权限，制定BYOD安全计划是很简单的事情。但全面的BYOD网络安全应用将需要考虑所有这些因素，这是一个艰巨的任务。

　　从这一点来看，由于目前并没有单一的有效的解决方案，IT部门正在混合使用各种工具，从移动设备管理（MDM）到网络访问控制（NAC），甚至还包括带外管理系统。

　　为此，我们采访了四个教育机构的管理人员，他们都希望能使用自动的方式来控制数百甚至数千台个人设备，这样他们就不需要辛苦地在每个客户端安装软件。他们想要基于身份和设备的综合因素来细致地控制访问权限，每个高管实现这个目标的方法不尽相同。

　　MDM工具很有潜力，但并不是全面的解决方案

　　这四名接受采访的高管都已经在使用或者评估MDM工具。不同的供应商提供功能不同的MDM工具，但一般这些工具都会追踪网络中的移动设备，并能根据企业的政策来限制哪些用户可以访问特定应用或者网络区域。总体而言，企业都在涌向MDM工具。在2010到2011年，Nemertes Research 调查的企业中，21.2%的企业在使用MDM。根据分析师Philip Clarke表示，该公司预计在2014年年底，这个数字将会增加到84%。

　　然而，单靠MDM并不能管理拥有多个设备并使用相同身份登录信息将所有设备连接到无线局域网（WLAN）的用户。如果WLAN本身不能区分经过审查的设备和可能受感染的设备，网络将处于危险之中。IT部门必须能够识别用户的多台设备，并对不同的用户及其设备授予基于角色的访问权限。这通常需要与其他工具整合，包括身份管理（IDM）和NAC产品。

　　BYOD安全：使用带外管理

　　美国北卡罗来纳州的Rowan-Salisbury学校系统的技术执行主管Philip Hardin表示，该学校系统需要基于一系列的变量来控制移动设备网络访问，包括设备类型、位置和应用等。然而，Hardin的团队需要以自动化的方式来支持软件安装以及跨多设备执行政策。

　　因此，该学校采用了Aerohive的HiveManager—带外网络管理系统，以及JAMF Software的iOS MDM套件。Aerohive的HiveManager让企业可以为每个用户身份和设备类型组合配置个性化的政策——政策管理网络接入、防火墙、允许特定访问的时间以及针对安全VPN接入的通道政策。

　　Hardin表示：“HiveManager提供中央数据收集，并提醒我们流氓客户端的存在。它使用设备指纹基于策略来应用特定安全功能，并为单个和组群设备监控设备的运行状况，以图形方式直观地显示。”

　　与此同时，JAMF Software会测试苹果设备以确保它们安装了苹果MDM客户端。该软件会将新设备导向到一个端口来接受设备的配置文件，从而确定其访问权限和特权。Hardin补充说：“这种整合的解决方案使学校能够管理应用访问，以及设备上的安装和软件更新。”该解决方案可以完成配置文件管理和访问控制，而不需要个人设备安装NAC客户端。

    相关阅读:《案例：4种BYOD安全方法（二）》