关于 Citrix Endpoint Management 的信息
Citrix Endpoint Management 是一种统一端点管理 (UEM) 解决方案，可将所有应用程序和端点整合到一个统一视图中，以提高安全性和生产力。有关 UEM 的概述，请参阅 Citrix Tech Zone 技术简报 Citrix Endpoint Management。
Citrix Endpoint Management 提供移动设备管理 (MDM) 和移动应用程序管理 (MAM)。
Citrix Endpoint Management 的 MDM 功能使您能够：
-
部署设备策略和应用程序。
-
检索资产清单。
-
对设备执行操作，例如设备擦除。
Citrix Endpoint Management 的 MAM 功能使您能够：
-
保护自带移动设备上的应用程序和数据。
-
交付企业移动应用程序。
-
锁定应用程序并擦除其数据。
结合 MDM 和 MAM 功能，您可以：
-
通过使用 MDM 管理公司发放的设备
-
部署设备策略和应用程序
-
检索资产清单
-
擦除设备
-
交付企业移动应用程序
-
锁定应用程序并擦除设备上的数据
下表总结了 Citrix Endpoint Management 支持 MDM、MAM 或 MDM+MAM 的功能。
| 功能（按平台） | MDM (1) | MAM (2) | MDM+MAM |
|---|---|---|---|
| Android Enterprise 功能概述： | |||
| 设备注册支持 | 是 | 是 | 是 |
| 域身份验证支持 | 是 | 否 | 是 |
| 支持域加安全令牌身份验证 | 否 | 否 | 是 |
| 支持客户端证书身份验证 | 否 | 是 | 是 |
| 支持客户端证书加域身份验证 | 否 | 否 | 是 |
| 支持客户端证书加安全令牌 | 否 | 否 | 是 |
| 支持 Azure AD 身份提供程序 | 是 | 否 | 是 |
| 支持 Okta 身份提供程序 | 是 | 否 | 是 |
| 对本机 SaaS 应用程序进行单点登录 | 是 | 否 | 是 |
| Citrix 内容分发网络对企业应用的支持 | 是 | 是 | 是 |
| Citrix 内容分发网络对 MDX 应用的支持 | 是 | 是 | 是 |
| 通过预配专用 Android Enterprise (COSU) 设备支持共享设备 | 是 | 否 | 是 |
| Android（旧版）： | |||
| 设备注册支持 | 是 | 是 | 是 |
| 支持域或域加安全令牌身份验证 | 否 | 否 | 是 |
| 支持客户端证书身份验证 | 否 | 是 | 是 |
| 支持客户端证书加域身份验证 | 否 | 否 | 是 |
| 支持客户端证书加安全令牌 | 否 | 否 | 是 |
| 支持 Azure AD 和 Citrix 身份提供程序 | 是 | 否 | 是 |
| 支持 Okta 身份提供程序 | 是 | 否 | 是 |
| 对本机 SaaS 应用程序进行单点登录 | 是 | 否 | 是 |
| Citrix 内容分发网络对企业应用的支持 | 是 | 是 | 是 |
| Citrix 内容分发网络对 MDX 应用的支持 | 是 | 是 | 是 |
| Chrome 浏览器： | |||
| 设备注册支持 | 是 | 否 | 是 |
| 用户名和密码身份验证支持 | 是 | 否 | 是 |
| iOS： | |||
| 设备注册支持 | 是 | 是 | 是 |
| 域或域加安全令牌身份验证支持 | 否 | 否 | 是 |
| 客户端证书身份验证支持 | 否 | 是 | 是 |
| 客户端证书加域身份验证支持 | 否 | 否 | 是 |
| Azure AD 和 Citrix 身份提供程序支持 | 是 | 否 | 是 |
| Okta 身份提供程序支持 | 是 | 否 | 是 |
| 本机 SaaS 应用程序的单点登录 | 是 | 否 | 是 |
| Citrix 内容分发网络对企业应用程序的支持 | 是 | 是 | 是 |
| Citrix 内容分发网络对 MDX 应用程序的支持 | 是 | 是 | 是 |
| 苹果教育集成 | 是 | 否 | 是 |
| macOS： | |||
| 设备注册支持 | 是 | 否 | 否 |
| 域或域加一次性密码支持 | 是 | 否 | 否 |
| 邀请 URL 加一次性密码支持 | 是 | 否 | 否 |
| 视窗： | |||
| 设备注册支持 | 是 | 否 | 否 |
| 通过 Citrix Workspace 应用程序自动注册 Windows 10 和 Windows 11 设备 | 是 | 否 | 否 |
| 支持域或域加安全令牌身份验证 | 是 | 否 | 否 |
| 支持客户端证书身份验证 | 是 | 否 | 否 |
| 支持客户端证书加域身份验证 | 是 | 否 | 否 |
| 通过 Azure AD 或 Citrix 身份提供程序进行联合身份验证 | 是 | 否 | 否 |
| Citrix 内容分发网络对企业应用程序的支持 | 是 | 否 | 否 |
| 工作区环境管理™ 集成 (3) | 是 | 否 | 否 |
注意：
(1) 部署顺序仅适用于配置了 MDM 注册配置文件的交付组中的设备。
(2) MAM 注册需要 NetScaler Gateway。
(3) Workspace Environment Management (WEM) 集成提供了对各种 Windows 操作系统上的 MDM 功能的访问。
有关详细信息，请参阅管理模式。
体系结构
您的组织的设备和应用程序管理要求决定了 Citrix Endpoint Management 体系结构中的 Citrix Endpoint Management 组件。Citrix Endpoint Management 的组件是模块化的，并且相互构建。例如，您的部署包括 NetScaler Gateway：
-
NetScaler Gateway 为用户提供对移动应用程序的远程访问，并跟踪用户设备类型。
-
Citrix Endpoint Management 是您管理这些应用程序和设备的地方。
下图显示了 Citrix Endpoint Management 云部署及其与数据中心集成的总体体系结构概述。
以下小节包含以下内容的参考体系结构图：
-
Citrix 端点管理
-
可选组件，例如外部证书颁发机构、适用于 Exchange ActiveSync 的 Citrix Endpoint Management 连接器，以及 Citrix Endpoint Management MDM+MAM 和 Intune MAM 流量流。
有关 Citrix ADC 和 NetScaler Gateway 要求的详细信息，请参阅
<https://docs.citrix.com/> 处的 Citrix 产品文档。
核心参考体系结构
有关端口要求的详细信息，请参阅系统要求。
Citrix Virtual Apps and Desktops™ 的参考架构
Citrix Endpoint Management 与 Exchange ActiveSync 连接器的参考架构
NetScaler Gateway 与 Exchange ActiveSync 连接器的参考架构
Citrix Endpoint Management MDM+MAM 和 Intune MAM 的参考架构
资源位置
将资源位置放置在最能满足您业务需求的地方。例如，在公有云、分支机构、私有云或数据中心中。决定位置选择的因素包括：
-
靠近订阅者
-
靠近数据
-
扩展要求
-
安全属性
您可以构建任意数量的资源位置。例如，您可以：
-
在数据中心为总部构建一个资源位置，基于需要靠近数据的订阅者和应用程序。
-
在公有云中为全球用户添加一个单独的资源位置。或者，在分支机构中构建单独的资源位置，以提供最适合分支机构员工使用的应用程序。
-
在提供受限应用程序的单独网络上添加另一个资源位置。此设置可提供对其他资源和订阅者的受限可见性，而无需调整其他资源位置。
云连接器
Cloud Connector 负责验证和加密 Citrix Cloud 与您的资源位置之间的所有通信。访问以下服务需要 Cloud Connector：LDAP、IdP、PKI 服务器、内部 DNS 查询、Citrix Virtual Apps、NetScaler Gateway、Citrix Workspace 和 Microsoft Endpoint Manager。
下图显示了 Cloud Connector 的流量流。
Cloud Connector 建立与 Citrix Cloud 的连接。Cloud Connector 不接受传入连接。
Cloud Connector 仅在设备注册期间承受负载。有关详细信息，请参阅 Cloud Connector 的规模和大小注意事项。
包含移动应用程序管理 (MAM) 的解决方案需要由本地 NetScaler Gateway 提供的微型 VPN。在此场景中：
-
以下组件位于您的数据中心：
-
云连接器
-
NetScaler 网关
-
您的 Exchange、Web 应用程序、Active Directory 和 PKI 服务器
-
-
移动设备与 Citrix Endpoint Management 和您的本地 NetScaler Gateway 通信。
Citrix 端点管理 组件
Citrix Endpoint Management 控制台。 您可以使用 Citrix Endpoint Management 管理员控制台配置 Citrix Endpoint Management。有关使用 Citrix Endpoint Management 控制台的详细信息，请参阅 (/zh-cn/citrix-endpoint-management/endpoint-management.html) 下的文章。当 Citrix Endpoint Management 的新增功能文章更新以发布新版本时，Citrix 会通知您。
请注意 Citrix Endpoint Management 服务与本地版本之间的以下差异：
-
远程支持客户端不适用于 Citrix Endpoint Management。
-
Citrix 不支持 Citrix Endpoint Management 与本地 syslog 服务器的 syslog 集成。相反，您可以从 Citrix Endpoint Management 控制台的故障排除和支持页面下载日志。执行此操作时，您必须单击全部下载。
MAM SDK。 MDX Toolkit 计划于 2023 年 7 月达到 EOL。要继续管理您的企业应用程序，您必须集成 MAM SDK。
-
移动应用程序管理 (MAM) SDK 提供了 iOS 和 Android 平台未涵盖的 MDX 功能。您可以启用 MDX 并保护 iOS 或 Android 应用程序。您可以将这些应用程序发布到内部商店或公共应用程序商店。请参阅 (/zh-cn/mdx-toolkit/mam-sdk-overview.html)。
移动生产力应用程序。 Citrix 开发的移动生产力应用程序在 Citrix Endpoint Management 环境中提供了一套生产力与通信工具。您的公司策略可保护这些应用程序。有关详细信息，请参阅 (/zh-cn/mobile-productivity-apps.html)。
Citrix Endpoint Management for Exchange ActiveSync 连接器。 Citrix Endpoint Management for Exchange ActiveSync 连接器为使用本机移动电子邮件应用程序的用户提供安全的电子邮件访问。Exchange ActiveSync 连接器在 Exchange 服务级别提供 ActiveSync 筛选。因此，筛选仅在邮件到达 Exchange 服务时发生，而不是在邮件进入 Citrix Endpoint Management 环境时发生。该连接器不需要使用 NetScaler Gateway。您可以在不更改现有 ActiveSync 流量路由的情况下部署连接器。有关详细信息，请参阅 (/zh-cn/citrix-endpoint-management/restrict-email-access/connector-exchange-activesync.html)。
NetScaler Gateway for Exchange ActiveSync 连接器。 NetScaler Gateway for Exchange ActiveSync 连接器为使用本机移动电子邮件应用程序的用户提供安全的电子邮件访问。Exchange ActiveSync 连接器在边界处提供 ActiveSync 筛选。筛选使用 NetScaler Gateway 作为 ActiveSync 流量的代理。因此，筛选组件位于邮件流量流的路径中，在邮件进入或离开环境时进行拦截。Exchange ActiveSync 连接器充当 NetScaler Gateway 和 Citrix Endpoint Management 之间的中介。有关详细信息，请参阅 (/zh-cn/citrix-endpoint-management/restrict-email-access/gateway-connector-exchange-activesync.html)。
Citrix Endpoint Management 技术安全概述
Citrix Cloud 管理 Citrix Endpoint Management 环境的控制平面。控制平面包括 Citrix Endpoint Management 服务器、Citrix ADC 负载平衡器和单租户数据库。云服务使用 Citrix Cloud Connector 与客户数据中心集成。使用 Cloud Connector 的 Citrix Endpoint Management 客户通常在其数据中心管理 NetScaler Gateway。
下图说明了该服务及其安全边界。
本节中的信息：
-
介绍 Citrix Cloud 的安全功能。
-
定义 Citrix 与客户之间在保护 Citrix Cloud 部署方面的职责划分。
-
不是 Citrix Cloud 或其任何组件或服务的配置或管理指南。
有关 Citrix Endpoint Management 用于提供全面端到端安全性的技术信息，请参阅 移动企业安全与生产力。
数据流
控制平面对用户和组对象具有有限的读取访问权限。这些对象位于您的目录、DNS 和类似服务中。控制平面通过 Citrix Cloud Connector 经由安全的 HTTPS 连接访问这些服务。
公司数据（例如电子邮件、内网和 Web 应用程序流量）通过 NetScaler Gateway 在设备和应用程序服务器之间直接流动。NetScaler Gateway 部署在客户数据中心。
数据隔离
控制平面存储管理用户设备及其移动应用程序所需的元数据。服务本身由多租户和单租户组件混合组成。但是，根据服务架构，客户元数据始终为每个租户单独存储，并使用唯一凭据进行保护。
凭据处理
该服务处理以下类型的凭据：
-
用户凭据： 用户凭据通过 HTTPS 连接从设备传输到控制平面。控制平面通过安全连接使用客户目录中的目录验证这些凭据。
-
管理员凭据： 管理员通过 Citrix Cloud 进行身份验证，Citrix Cloud 使用 Citrix Online 的登录系统。此过程会生成一个一次性签名的 JSON Web Token (JWT)，该令牌授予管理员对服务的访问权限。
-
**Active Directory 凭据：**控制平面需要绑定凭据才能从 Active Directory 读取用户元数据。这些凭据使用 AES-256 加密并保存在每个租户的数据库中。
部署注意事项
Citrix 建议您查阅已发布的最佳实践文档，以了解如何在您的环境中部署 NetScaler Gateway。
更多资源
建议客户查阅与其 Citrix 产品相关的安全公告。有关新的和更新的安全公告的信息，请参阅Citrix 安全公告。另请考虑在您的警报设置下注册以接收警报。
有关更多安全信息，请参阅以下资源：
-
Citrix 安全站点：
<https://www.citrix.com/security> -
Citrix Cloud 文档：Citrix Cloud 平台安全部署指南
与移动威胁防御软件集成
移动威胁防御 (MTD) 软件可检测、分析并帮助防止针对企业移动设备的复杂网络攻击。MTD 与统一 Citrix Endpoint Management (UEM) 的结合可提高组织的安全性和可见性。
MTD 软件提供 Citrix Endpoint Management 用于以下目的的威胁数据：
-
防范恶意软件、网络钓鱼、网络攻击和中间人攻击
-
确定设备合规性状态
-
确定风险级别
-
采取基于策略的操作来保护您的应用程序、数据、设备和移动网络
Citrix Endpoint Management 与以下 MTD 供应商集成：
如需了解更多信息或请求演示，请联系我们的 MTD 合作伙伴或您的 Citrix 销售代表。