您的组织使用 Azure AD、Microsoft 365、Intune 和 Azure 信息保护。安全要求规定：个人设备无需注册 Intune；用户必须输入 PIN 才能访问公司电子邮件；个人 iOS 和 Android 设备可以访问公司云服务；并且必须阻止用户将公司电子邮件内容复制到 OneDrive for Business 以外的云存储服务。您应该创建哪种配置来强制执行这些规则？

应用程序保护策略 (APP) 旨在保护应用程序中的组织数据，而无需设备注册。这符合“个人设备无需注册 Intune”的要求。APP 允许配置 PIN 访问（满足“用户必须输入 PIN 才能访问公司电子邮件”），并能控制数据在应用程序之间的移动，例如阻止将公司电子邮件内容复制到 OneDrive for Business 以外的云存储服务。它还支持个人 iOS 和 Android 设备访问公司云服务。设备配置配置文件需要设备注册。数据丢失防护 (DLP) 策略和内部风险管理策略主要侧重于数据本身，而不是应用程序访问和数据移动控制。