在Citrix端点管理
在所有产品中
产品文档
在Citrix端点管理
在所有产品中
Citrix端点管理
查看PDF

准备注册设备和交付资源

2021年10月7日
由:
C

重要的是:

在继续之前，请确保完成了中描述的所有任务入职和资源设置．

让您的用户了解即将发生的更改。看到欢迎使用Citrix端点管理用户采用套件．

端点管理支持各种注册选项。本文将介绍启用所有支持的设备注册所需的基本设置。下图总结了基本设置。

为设备注册准备环境的工作流图

有关支持的设备列表，请参见支持的设备操作系统．

为iOS设备建立一个苹果推送通知服务(APNs)证书

重要的是:

苹果对APNs遗留二进制协议的支持将于2021年3月31日结束。Apple建议您使用基于HTTP/2的APNs提供程序API。从发行版20.1.0开始，Citrix端点管理支持基于HTTP/2的API。更多信息，请参见新闻更新，“苹果推送通知服务更新”https://developer.apple.com/．有关检查到apn连接的帮助，请参见连接检查．

端点管理需要苹果的苹果推送通知服务(APNs)证书来注册和管理iOS设备。Endpoint Management还需要一个APNs证书，用于iOS推送通知的安全邮件。

为Android设备设置Firebase云消息(FCM)

Firebase云消息(FCM)控制Android设备连接到端点管理服务的方式和时间。任何安全操作或部署命令都会触发一个推送通知。该通知提示用户重新连接到Endpoint Management。

  • FCM设置要求您配置您的谷歌帐户。要创建谷歌播放凭据，请参见管理您的开发人员帐户信息．您还可以使用谷歌Play添加、购买和批准应用程序，以便部署到设备上的Android Enterprise工作区。您可以使用谷歌Play部署您的私有Android应用程序、公共应用程序和第三方应用程序。

  • 要设置FCM，请参见Firebase云消息传递．

设置端点管理自动发现服务

AutoDiscovery服务通过基于电子邮件的URL发现简化了用户的注册过程。AutoDiscovery服务还为Citrix Workspace客户提供了注册验证、证书固定和其他好处等功能。托管在Citrix Cloud中的服务是许多Endpoint Management部署的重要组成部分。

使用自动发现服务，用户:

  • 可以使用他们的公司网络证书注册他们的设备。
  • 不需要输入关于Endpoint Management服务器地址的详细信息。
  • 请按UPN格式输入用户名。例如,user@mycompany.com．

我们建议您在高安全环境中使用自动发现服务。AutoDiscovery服务支持公钥证书钉住，防止中间人攻击。证书固定确保在Citrix客户机与Endpoint Management通信时使用您的企业签署的证书。要为您的Endpoint Management站点配置证书钉住，请联系Citrix Support。有关证书固定的信息，请参见证书寄．

要访问自动发现服务，请导航到https://adsui.cloud.com(商业)或https://adsui.cem.cloud.us(政府)。

先决条件

  • Citrix Cloud中的新的自动发现服务需要最新版本的Secure Hub:
    • 对于iOS, Secure Hub版本为21.1.0或更高版本

    • 对于Android, Secure Hub版本21.2.1或更高版本

      在早期版本的Secure Hub上运行的设备可能会遇到服务中断。

  • 要访问新的自动发现服务，您必须拥有一个拥有完全访问权限的Citrix云管理员帐户。自动发现服务不支持具有自定义访问权限的管理员帐户。如果您没有账户，请参见注册Citrix Cloud．

    Citrix将所有现有的自动发现记录迁移到Citrix Cloud，而没有中断服务。迁移的记录不会自动出现在新控制台中。您必须在新的自动发现服务中回收域以证明所有权。有关更多信息，请参见CTX312339．

  • 在开始为您的端点管理部署使用自动发现服务之前，请验证并声明您的域。你最多可以申请10个域名。声明将验证的域与自动发现服务关联起来。要认领10个以上的域，请打开SRE票据或联系Citrix技术支持。
  • 使用MAM端口设置而不是Citrix Gateway FQDN将MAM流量导向您的数据中心。如果您输入一个完全限定的域名以及Citrix Gateway的端口，则客户端设备将使用来自老妈港口设置。
  • 如果广告拦截程序阻止网站打开，请确保您对整个网站禁用了广告拦截程序。

声明一个域

  1. 在声称>域选项卡上,单击加域．

    添加域

  2. 在出现的对话框中，输入Endpoint Management环境的域名，然后单击确认．您的域名出现在声称>域．

    声明一个域

  3. 在添加的域上，单击省略号菜单并选择验证域启动验证过程。的验证您的域页面出现。

    开始验证

  4. 在验证您的域页，按照说明验证您拥有该域。

    验证您的域

    1. 点击复制将DNS令牌复制到剪贴板。

    2. 在您的域的区域文件中创建一个DNS TXT记录。为此，请转到域宿主提供程序门户并添加复制的DNS令牌。

      下面的截图显示了一个域主机提供程序门户。您的传送门可能看起来不同。

      验证您的域

    3. 在思杰云，在验证您的域页面,点击开始DNS检查开始检测你的DNS TXT记录。如果后续需要验证该域，请单击稍后验证域．

    验证过程一般需要一个小时左右。然而，可能需要两天时间才能返回响应。在状态检查过程中，您可以注销并重新登录。

    配置完成后，域的状态从等待来验证．

  5. 在认领您的域之后，提供关于自动发现服务的信息。单击所添加的域上的省略号菜单，然后单击添加端点管理信息．的自动发现服务信息页面出现。

  6. 输入以下信息，然后单击保存．

    • 端点管理服务器FQDN:输入Endpoint Management服务器的完全限定域名。例如:example.xm.cloud.com．用于MDM和MAM控制流量。

    • Citrix Gateway FQDN:输入Citrix Gateway的完全限定域名，格式为FQDN或FQDN:port。例如:example.com．此设置用于将MAM流量导向您的数据中心。对于仅mdm的部署，请将此字段保留为空。

      注意:

      Citrix建议您使用老妈港口设置而不是Citrix Gateway FQDN控制MAM流量。如果您输入一个完全限定的域名以及Citrix Gateway的端口，则客户端设备将使用来自老妈港口设置。

    • 实例名称:输入您在上面配置的Endpoint Management服务器的实例名称。如果你不确定你的实例名，保持默认值，zdm．

    • MDM端口:输入用于MDM控制流量和MDM注册的端口。对于基于云的服务，默认为443。

    • 老妈端口:输入MAM控制流量、MAM注册、iOS注册和应用枚举使用的端口。对于基于云的服务，默认值是8443。

请求Windows设备的自动发现

如果您计划注册Windows设备，请执行以下操作:

  1. 联系Citrix支持并创建支持请求以启用Windows自动发现。

  2. 获取公开签名的、非通配符的SSL证书enterpriseenrollment.mycompany.com．的mycompany.com部分是包含用户用于注册的帐户的域。将.pfx格式的SSL证书及其密码附加到上一步中创建的支持请求。

    如果要使用多个域注册Windows设备，也可以使用结构如下的多域证书:

    • 一个带有CN的SubjectDN，该CN指定它所服务的主要域(例如，enterpriseregistrment.mycompany1.com)。
    • 其余域的适当san(例如，enterpriseregistrment.mycompany2.com、enterpriseregistrment.mycompany3.com，等等)。

  3. 在DNS中创建一个规范名称(CNAME)记录，并将SSL证书的地址(enterpriseregistrment.mycompany.com)映射到autodisc.xm.cloud.com。

    Windows设备用户使用UPN注册时，Citrix注册服务器:

    • 提供端点管理服务器的详细信息。
    • 指示设备向端点管理请求有效的证书。

此时，您可以注册所有支持的设备。继续下一节，准备向设备交付资源。

与Azure AD条件访问集成

您可以配置端点管理来将Azure AD条件访问支持应用到Office 365应用程序。该特性允许在部署Office 365应用程序时将Zero Trust方法部署到设备用户。您可以使用设备状态、风险评分、位置和设备保护来应用自动操作，并在受管理的Android Enterprise和iOS设备上定义对Office 365应用程序的访问。

要实施Azure AD设备遵从性，必须为各个Office 365应用程序配置条件访问策略。您可以限制用户访问非受管理且不兼容的设备上的特定Office 365应用程序，只允许访问受管理且兼容的设备上的单个应用程序。

先决条件

  • 对于此集成，您必须拥有有效的Azure AD付费订阅，包括Intune和Microsoft Office 365许可证。
  • Secure Hub版本21.4.0及更高版本
  • 在Citrix Cloud中将Azure AD配置为身份提供者(IdP)，然后将Citrix身份设置为Endpoint Management的IdP类型。有关信息，请参见通过Citrix Cloud与Azure Active Directory进行身份验证．
  • 同意Citrix多租户AAD应用程序，以允许移动应用程序使用AAD客户端应用程序进行身份验证。只有在Azure全局管理员设置为时才需要用户可以注册应用程序来没有．下面的Azure门户中配置此设置Azure Active Directory > Users >用户设置．要提供同意，请参见为Azure AD遵从性管理配置端点管理．
  • 在启动Azure AD设备注册过程之前，在设备上安装Microsoft Authenticator应用程序。
  • 对于Android Enterprise平台，配置一个web浏览器应用程序作为所需的公共商店应用程序。
  • 禁用安全违约在Azure AD控制台设置。当您开始配置Azure AD时，您将用更细粒度的Azure AD条件访问策略替换安全默认值。有关安全缺省值的更多信息，请参见微软文档．

通过Azure AD条件访问策略配置设备遵从性

通过Azure AD条件访问策略配置设备遵从性的一般步骤如下:

  1. 端点管理配置:
    • 在Microsoft Endpoint Manager管理中心中，添加Citrix工作区设备遵从性作为每个设备平台的合规合作伙伴，并分配用户组。
    • 在端点管理中，从Microsoft端点管理中心同步信息。

  2. Azure AD配置:在Azure AD门户中，为单个Office 365应用设置条件访问策略。

  3. 端点管理配置:配置完Office 365应用的条件访问策略后，在“终端管理”中将Microsoft Authenticator应用和Office 365应用添加为公共应用商店应用。将这些公共应用分配给交付组，并设置为所需的应用。

为Azure AD遵从性管理配置端点管理

  1. 登入Microsoft Endpoint Manager管理中心然后导航到租户管理>连接器和令牌>设备遵从性管理．点击添加法规遵循合作伙伴并选择Citrix工作区设备遵从性作为每个设备平台的合规合作伙伴。然后分配用户组。

    Microsoft Endpoint Manager管理中心

  2. 在“端点管理”中，转到设置> Azure AD遵从性管理．
  3. 可选地，设置全局同意，这样用户就不需要在每个设备上提供同意。旁边客户端应用程序同意,点击提供同意．输入您的全局管理Azure AD凭据，并按照提示为客户端应用程序提供全局同意。

  4. 点击连接从Microsoft Endpoint Manager管理中心同步信息。

    从Microsoft Endpoint Manager管理中心同步信息

    一个对话框提示您接受此配置的权限。点击接受．配置完成后，同步的设备平台将出现在列表中。

    请求许可

在Azure AD中配置条件访问策略

在Azure AD门户中，为Office 365应用程序配置条件访问策略，以强制设备遵从性。去设备>条件必选接入>策略>新策略．有关更多信息，请参见微软文档．

为Intune管理的应用程序配置设备遵从性。

在端点管理中配置应用程序

配置完Office 365应用的条件访问策略后，在“终端管理”中将Microsoft Authenticator应用和Office 365应用添加为公共应用商店应用。将这些公共应用分配给交付组，并设置为所需的应用。有关信息，请参见添加一个公共应用商店应用．

用户认证工作流

  1. 新用户必须使用Azure AD凭据将设备注册到Endpoint Management中。以前使用Azure AD证书注册的用户不需要重新注册他们的设备。
  2. Endpoint Management将Microsoft Authenticator和配置的Office 365应用作为所需的应用推送到设备上。如果你将一个web浏览器应用程序配置为Android平台所需的公共商店应用程序，端点管理也会将其推送到用户设备。
  3. Secure Hub自动安装和显示通过端点管理管理的所有应用程序。
  4. 当用户试图登录任何可用的Office 365应用程序时，设备会提示用户点击Azure AD注册链接以启动注册过程。
  5. 用户点击注册链接后，微软验证程序就会打开。用户输入Azure AD凭据并同意设备注册条款。然后微软身份验证程序关闭，Secure Hub重新打开。

  6. Secure Hub显示一条消息，表示Azure AD设备注册完成。用户现在可以使用微软的应用程序访问他们的云资源。

    注册完成后，Azure AD在控制台中将设备标记为已管理和兼容的。

默认设备策略和移动生产力应用程序

如果您从终端管理19.5.0或更高版本开始，我们将预先配置一些设备策略和移动生产力应用程序。该配置使您能够:

  • 立即将基本功能部署到设备上
  • 从安全工作区的推荐基线配置开始

对于Android、Android Enterprise、iOS、macOS和Windows Desktop/Tablet平台，您的站点包含这些预先配置的设备策略:

  • 密码设备策略:设备密码策略为在，并启用所有默认密码设置。

  • App库存设备策略:App库存设备策略为在．

  • 限制设备策略:限制设备策略为在，并启用所有默认限制设置。

那些政策在的权限该组包含所有Active Directory用户和本地用户。我们建议您仅对初始测试使用AllUsers交付组。然后，创建交付组并禁用AllUsers交付组。您可以在交付组中重用预先配置的设备策略和应用程序。

所有端点管理设备策略都记录在设备的政策．那篇文章包括了关于如何使用控制台编辑设备策略的信息。有关常用设备策略的信息，请参见设备策略和用例行为．

对于iOS和Android平台，您的网站包含这些预先配置的移动生产力应用程序:

  • 安全邮件
  • 安全的网络
  • Citrix文件

那些应用程序在的权限交付组。

有关更多信息，请参见关于移动生产力应用程序．

继续您的端点管理配置

在完成设备注册的基本设置之后，根据用例的不同，配置Endpoint Management的方式也有很大的不同。例如:

  • 您的安全需求是什么?您希望如何平衡这些需求与用户体验?
  • 你们支持哪些设备平台?
  • 用户拥有自己的设备还是使用公司拥有的设备?
  • 您希望向设备推送哪些设备策略?
  • 你们为用户提供什么类型的应用?

本节通过引导您浏览本文档集中的文章，帮助您浏览许多配置选项。

当您在第三方站点中完成配置时，请记下这些信息及其位置，以便在配置Endpoint Management控制台设置时参考。

准备注册设备和交付资源
2021年10月7日
由:
C
2021年10月7日
由:
C

在本文中

网站反馈 | 隐私和法律条款 | 饼干的偏好 | 同意设置
©1999 -思杰系统公司版权所有。