身份验证

Last published : Oct 21, 2026
在 Citrix Endpoint Management 部署中，决定如何配置身份验证时需要考虑多个因素。本节介绍影响身份验证的各种因素：
  • 与身份验证相关的主要 MDX 策略、Citrix Endpoint Management 客户端属性和 NetScaler Gateway 设置。
  • 这些策略、客户端属性和设置的交互方式。
  • 每种选择的权衡。
本文还包括三个推荐配置示例，以提高安全性。
广义上讲，更强的安全性会导致用户体验不佳，因为用户必须更频繁地进行身份验证。如何平衡这些问题取决于您的组织需求和优先级。查看这三个推荐配置，以了解各种身份验证选项之间的相互作用。
Related information
思杰端点管理部署

身份验证模式

在线身份验证： 允许用户访问 Citrix Endpoint Management 网络。需要 Internet 连接。
离线身份验证： 在设备上进行。用户解锁安全保管库并可以离线访问项目，例如下载的邮件、缓存的网站和笔记。

身份验证方法

单因素

LDAP： 您可以在 Citrix Endpoint Management 中配置与一个或多个符合轻型目录访问协议 (LDAP) 的目录的连接。此方法通常用于为公司环境提供单点登录 (SSO)。您可以选择使用 Citrix PIN 和 Active Directory 密码缓存来改善 LDAP 的用户体验。同时，您可以在注册、密码过期和帐户锁定方面提供复杂密码的安全性。
有关更多详细信息，请参阅 (/zh-cn/citrix-endpoint-management/authentication/authentication-domain-security-token.html)。
客户端证书： Citrix Endpoint Management 可以与行业标准证书颁发机构集成，以使用证书作为唯一的在线身份验证方法。Citrix Endpoint Management 在用户注册后提供此证书，这需要一次性密码、邀请 URL 或 LDAP 凭据。当使用客户端证书作为主要的身份验证方法时，在仅限客户端证书的环境中需要 Citrix PIN 来保护设备上的证书。
Citrix Endpoint Management 仅支持第三方证书颁发机构的证书吊销列表 (CRL)。如果配置了 Microsoft CA，Citrix Endpoint Management 将使用 NetScaler Gateway 管理吊销。配置基于客户端证书的身份验证时，请考虑是否需要配置 NetScaler Gateway 证书吊销列表 (CRL) 设置“启用 CRL 自动刷新”。此步骤可确保仅在 MAM 中注册的设备无法使用设备上的现有证书进行身份验证。Citrix Endpoint Management 会重新颁发新证书，因为它不限制用户在证书被吊销时生成用户证书。当 CRL 检查过期的 PKI 实体时，此设置可提高 PKI 实体的安全性。
有关基于证书的身份验证或使用企业证书颁发机构 (CA) 颁发设备证书所需的部署图，请参阅体系结构。

双因素身份验证

LDAP + 客户端证书： 此配置是 Citrix Endpoint Management 安全性和用户体验的最佳组合。同时使用 LDAP 和客户端证书身份验证具有以下优点：
  • 具有最佳的 SSO 可能性，并结合了 NetScaler Gateway 提供的双因素身份验证安全性。
  • 通过用户知道的信息（其 Active Directory 密码）和用户拥有的信息（其设备上的客户端证书）提供安全性。
Citrix Secure Mail 可以自动配置并提供无缝的首次使用客户端证书身份验证的用户体验。该功能需要正确配置的 Exchange 客户端访问服务器环境。
为了获得最佳可用性，您可以将 LDAP 和客户端证书身份验证与 Citrix PIN 和 Active Directory 密码缓存结合使用。
LDAP + 令牌： 此配置允许使用 RADIUS 协议进行 LDAP 凭据的经典配置以及一次性密码。为了获得最佳可用性，您可以将此选项与 Citrix PIN 和 Active Directory 密码缓存结合使用。

重要的身份验证策略、设置和客户端属性

以下策略、设置和客户端属性适用于以下三种推荐配置：

MDX 策略

应用程序密码： 如果设置为 On，则在应用程序启动或在一段时间不活动后恢复时，需要 Citrix PIN 或密码才能解锁应用程序。默认值为 On。
要为所有应用程序配置不活动计时器，请在 Citrix Endpoint Management 控制台的设置选项卡上的客户端属性中，将 INACTIVITY_TIMER 值设置为分钟。默认值为 15 分钟。要禁用不活动计时器，以便仅在应用程序启动时显示 PIN 或密码提示，请将该值设置为零。
需要微型 VPN 会话： 如果设置为 On，则用户必须连接到企业网络并具有活动会话才能访问设备上的应用程序。如果设置为 Off，则无需活动会话即可访问设备上的应用程序。默认值为 Off。
最长离线时间（小时）： 定义了应用程序在不重新确认应用程序授权和不从 Citrix Endpoint Management 刷新策略的情况下可以运行的最长时间。iOS 应用程序在满足以下条件后，可以从 Citrix Endpoint Management 检索 MDX 应用程序的新策略，而不会对用户造成任何中断：
  • 您设置了最长离线时间，并且
  • 适用于 iOS 的 Citrix Secure Hub 具有有效的 NetScaler Gateway 令牌。
如果 Citrix Secure Hub 没有有效的 NetScaler Gateway 令牌，则用户必须通过 Citrix Secure Hub 进行身份验证，然后才能更新应用程序策略。NetScaler Gateway 令牌可能因 NetScaler Gateway 会话不活动或强制会话超时策略而失效。当用户再次登录 Citrix Secure Hub 时，他们可以继续运行该应用程序。
在期限到期前 30、15 和 5 分钟，系统会提醒用户登录。到期后，应用程序将被锁定，直到用户登录。默认值为 72 小时（3 天）。最短期限为 1 小时。
注意：
请记住，在用户经常出差并使用国际漫游的情况下，默认的 72 小时（3 天）可能太短。
后台服务票证过期： 后台网络服务票证保持有效的时间段。当 Citrix Secure Mail 通过 NetScaler Gateway 连接到运行 ActiveSync 的 Exchange Server 时，Citrix Endpoint Management 会颁发一个令牌。Citrix Secure Mail 使用该令牌连接到内部 Exchange Server。此属性设置确定 Citrix Secure Mail 可以使用令牌而无需新的令牌进行身份验证和连接到 Exchange Server 的持续时间。当时间限制到期时，用户必须再次登录以生成新令牌。默认值为 168 小时（7 天）。当此超时到期时，邮件通知将停止。
微 VPN 会话所需宽限期： 确定用户可以在离线状态下使用应用程序多少分钟，直到在线会话得到验证。默认值为 0（无宽限期）。
有关身份验证策略的信息，请参阅：

Citrix Endpoint Management 客户端属性

注意：
客户端属性是适用于连接到 Citrix Endpoint Management 的所有设备的全局设置。
Citrix PIN： 为了获得简单的登录体验，您可以选择启用 Citrix PIN。使用 PIN，用户无需重复输入其他凭据，例如其 Active Directory 用户名和密码。您可以将 Citrix PIN 配置为独立的离线身份验证，也可以将 PIN 与 Active Directory 密码缓存结合使用，以简化身份验证，从而实现最佳可用性。您可以在 Citrix Endpoint Management 控制台的设置 > 客户端 > 客户端属性中配置 Citrix PIN。
以下是几个重要属性的摘要。有关详细信息，请参阅客户端属性。
ENABLE_PASSCODE_AUTH
显示名称： 启用 Citrix PIN 身份验证
此密钥允许您启用 Citrix PIN 功能。使用 Citrix PIN 或密码，系统会提示用户定义一个 PIN 以代替其 Active Directory 密码。如果启用了 ENABLE_PASSWORD_CACHING 或 Citrix Endpoint Management 正在使用证书身份验证，请启用此设置。
可能的值： true 或 false
默认值： false
ENABLE_PASSWORD_CACHING
显示名称： 启用用户密码缓存
此密钥允许您将用户的 Active Directory 密码缓存在移动设备本地。当您将此密钥设置为 true 时，系统会提示用户设置 Citrix PIN 或密码。当您将此密钥设置为 true 时，ENABLE_PASSCODE_AUTH 密钥必须设置为 true。
可能的值： true 或 false
默认值： false
PASSCODE_STRENGTH
显示名称： PIN 强度要求
此密钥定义 Citrix PIN 或密码的强度。当您更改此设置时，下次系统提示用户进行身份验证时，会要求他们设置新的 Citrix PIN 或密码。
可能值： 低、中或强
默认值： 中
INACTIVITY_TIMER
显示名称： 不活动计时器
此密钥定义了用户可以将其设备置于非活动状态，然后访问应用程序而无需提示输入 Citrix PIN 或密码的时间（以分钟为单位）。要为 MDX 应用程序启用此设置，必须将应用程序密码设置设为开。如果应用程序密码设置设为关，则用户将被重定向到 Citrix Secure Hub 以进行完全身份验证。更改此设置后，该值将在下次提示用户进行身份验证时生效。默认值为 15 分钟。
ENABLE_TOUCH_ID_AUTH
显示名称： 启用触控 ID 身份验证
允许使用指纹识别器（仅限 iOS）进行离线身份验证。在线身份验证仍需要主要的身份验证方法。
ENCRYPT_SECRETS_USING_PASSCODE
显示名称： 使用密码加密机密
此密钥允许将敏感数据存储在移动设备上的秘密保管库中，而不是存储在基于平台的本机存储（例如 iOS 钥匙串）中。此配置密钥可实现对关键工件的强加密，但也会增加用户熵（只有用户知道的用户生成的随机 PIN 码）。
可能值： true 或 false
默认值： false

NetScaler Gateway 设置

会话超时： 如果启用此设置，NetScaler Gateway 将在指定的时间间隔内未检测到网络活动时断开会话。此设置对通过 NetScaler Gateway 插件、Citrix Secure Hub 或 Web 浏览器连接的用户强制执行。默认值为 1440 分钟。如果将此值设置为零，则此设置将被禁用。
强制超时： 如果启用此设置，无论用户正在执行什么操作，NetScaler Gateway 都会在超时时间间隔结束后断开会话。当超时时间间隔结束后，用户无法采取任何操作来阻止断开连接。此设置对使用 NetScaler Gateway Plug-in、Citrix Secure Hub 或通过 Web 浏览器连接的用户强制执行。如果 Citrix Secure Mail 正在使用 STA（一种特殊的 NetScaler Gateway 模式），则此设置不适用于 Citrix Secure Mail 会话。默认值为无，这意味着会话会因任何活动而延长。
有关 NetScaler Gateway 超时设置的详细信息，请参阅 NetScaler Gateway 文档。
有关提示用户通过在其设备上输入凭据向 Citrix Endpoint Management 进行身份验证的方案的详细信息，请参阅身份验证提示方案。

默认配置设置

这些设置是以下各项提供的默认值：
  • NetScaler® for XenMobile 向导
  • MAM 软件开发工具包 或 MDX 工具包
  • 思杰端点管理控制台
设置 设置位置 默认设置
会话超时 NetScaler 网关 1440 分钟
强制超时 NetScaler 网关 无值 (关闭)
最长离线时间 MDX 策略 72 小时
后台服务票证过期 MDX 策略 168 小时 (7 天)
需要微型 VPN 会话 MDX 策略 关闭
需要微型 VPN 会话的宽限期 MDX 策略 0
应用密码 MDX 策略 开
使用密码加密机密 Citrix Endpoint Management 客户端属性 否
启用 Citrix PIN 身份验证 Citrix Endpoint Management 客户端属性 否
PIN 强度要求 Citrix Endpoint Management 客户端属性 中
PIN 类型 Citrix Endpoint Management 客户端属性 数字
启用用户密码缓存 Citrix Endpoint Management 客户端属性 否
不活动计时器 Citrix Endpoint Management 客户端属性 15
启用触控 ID 身份验证 Citrix Endpoint Management 客户端属性 否

推荐配置

本节提供了三个 Citrix Endpoint Management 配置示例，这些配置的范围从最低安全性、最佳用户体验到最高安全性、更具侵入性的用户体验。这些示例为您提供了有用的参考点，以确定您希望将自己的配置置于哪个级别。修改这些设置可能需要您更改其他设置。例如，最长离线时间不得超过会话超时。

最高安全性

此配置提供了最高级别的安全性，但会牺牲大量可用性。
设置 设置位置 推荐设置 行为影响
会话超时 NetScaler 网关 1440 用户仅在需要在线身份验证时（每 24 小时）输入其 Citrix Secure Hub 凭据。
强制超时 NetScaler 网关 无值 如果存在任何活动，会话将延长。
最长离线时间 MDX 策略 23 需要每天刷新策略。
后台服务票证过期 MDX 策略 72 小时 STA 超时，允许在没有 NetScaler Gateway 会话令牌的情况下进行长时间会话。对于 Citrix Secure Mail，将 STA 超时设置得比会话超时长，可以避免邮件通知停止。在这种情况下，如果用户在会话过期前未打开应用程序，Citrix Secure Mail 不会提示用户。
需要微型 VPN 会话 MDX 策略 关 提供有效的网络连接和 NetScaler Gateway 会话以使用应用程序。
需要微型 VPN 会话宽限期 MDX 策略 0 无宽限期（如果您启用了需要微型 VPN 会话）。
应用程序密码 MDX 策略 开 要求应用程序提供密码。
使用密码加密机密 Citrix Endpoint Management 客户端属性 是 从用户熵派生的密钥保护保管库。
启用 Citrix PIN 身份验证 Citrix Endpoint Management 客户端属性 是 启用 Citrix PIN 以简化身份验证体验。
PIN 强度要求 Citrix Endpoint Management 客户端属性 强 高密码复杂性要求。
PIN 类型 Citrix Endpoint Management 客户端属性 字母数字 PIN 是一个字母数字序列。
启用密码缓存 Citrix Endpoint Management 客户端属性 否 Active Directory 密码不缓存，Citrix PIN 用于脱机身份验证。
不活动计时器 Citrix Endpoint Management 客户端属性 15 如果用户在此期间未使用 MDX 应用程序或 Citrix Secure Hub，则提示进行脱机身份验证。
启用触控 ID 身份验证 Citrix Endpoint Management 客户端属性 否 在 iOS 中禁用触控 ID 以用于脱机身份验证用例。

更高的安全性

这是一种更折中的方法，此配置要求用户更频繁地进行身份验证（最多每 3 天一次，而不是 7 天一次），并提供更强的安全性。身份验证次数的增加会更频繁地锁定容器，从而在设备不使用时提供数据安全性。
设置 设置位置 推荐设置 行为影响
会话超时 NetScaler 网关 4320 用户仅在需要在线身份验证时输入其 Citrix Secure Hub 凭据 - 每 3 天一次
强制超时 NetScaler 网关 无值 如果有任何活动，会话将延长。
最长离线时间 MDX 策略 71 需要每 3 天刷新一次策略。小时差是为了允许在会话超时之前进行刷新。
后台服务票证过期 MDX 策略 168 小时 STA 超时，允许在没有 NetScaler Gateway 会话令牌的情况下进行长时间会话。对于 Citrix Secure Mail，将 STA 超时设置得比会话超时更长，可以避免邮件通知在未提示用户的情况下停止。
需要微型 VPN 会话 MDX 策略 关 提供有效的网络连接和 NetScaler Gateway 会话以使用应用程序。
需要微型 VPN 会话的宽限期 MDX 策略 0 无宽限期（如果您启用了“需要微型 VPN 会话”）。
应用程序密码 MDX 策略 开 为应用程序要求密码。
使用密码加密机密 Citrix Endpoint Management 客户端属性 否 加密保管库时不需要用户熵。
启用 Citrix PIN 身份验证 Citrix Endpoint Management 客户端属性 是 启用 Citrix PIN 以简化身份验证体验。
PIN 强度要求 Citrix Endpoint Management 客户端属性 中等 强制执行中等密码复杂性规则。
PIN 类型 Citrix Endpoint Management 客户端属性 数字 PIN 是一个数字序列。
启用密码缓存 Citrix Endpoint Management 客户端属性 是 用户 PIN 缓存并保护 Active Directory 密码。
不活动计时器 Citrix Endpoint Management 客户端属性 30 如果用户在此期间未使用 MDX 应用程序或 Citrix Secure Hub，则提示进行离线身份验证。
启用触控 ID 身份验证 Citrix Endpoint Management 客户端属性 是 在 iOS 中为离线身份验证用例启用触控 ID。

高安全性

此配置对用户而言最方便，可提供基本级别的安全性。
设置 设置位置 推荐设置 行为影响
会话超时 奈思开勒 网关 10080 用户仅在需要在线身份验证时（每 7 天）输入其 Citrix Secure Hub 凭据
强制超时 奈思开勒 网关 无值 如果有任何活动，会话会延长。
最长离线时间 MDX 策略 167 每周（每 7 天）需要刷新策略。小时差是为了允许在会话超时之前进行刷新。
后台服务票证过期 MDX 策略 240 STA 超时，允许在没有 NetScaler Gateway 会话令牌的情况下进行长时间会话。对于 Citrix Secure Mail，将 STA 超时设置得比会话超时更长可以避免邮件通知停止。在这种情况下，如果用户在会话过期前没有打开应用程序，Citrix Secure Mail 不会提示用户。
需要微型 VPN 会话 MDX 策略 关 提供有效的网络连接和 NetScaler Gateway 会话以使用应用程序。
需要微型 VPN 会话的宽限期 MDX 策略 0 无宽限期（如果您启用了需要微型 VPN 会话）。
应用密码 MDX 策略 开 要求应用程序使用密码。
使用密码加密机密 Citrix Endpoint Management 客户端属性 否 不需要用户熵来加密保管库。
启用 Citrix PIN 身份验证 Citrix Endpoint Management 客户端属性 是 启用 Citrix PIN 以简化身份验证体验。
PIN 强度要求 Citrix Endpoint Management 客户端属性 低 无密码复杂性要求
PIN 类型 Citrix Endpoint Management 客户端属性 数字 PIN 是一个数字序列。
启用密码缓存 Citrix Endpoint Management 客户端属性 是 用户 PIN 缓存并保护 Active Directory 密码。
不活动计时器 Citrix Endpoint Management 客户端属性 90 如果用户在此期间未使用 MDX 应用程序或 Citrix Secure Hub，则提示进行离线身份验证。
启用触控 ID 身份验证 Citrix Endpoint Management 客户端属性 是 在 iOS 中为离线身份验证用例启用触控 ID。

使用升级身份验证

某些应用程序可能需要增强型身份验证。例如，辅助身份验证因素（如令牌）或激进的会话超时。您可以通过 MDX 策略控制此身份验证方法。此方法还需要一个单独的虚拟服务器来控制身份验证方法（可以在相同或不同的 NetScaler Gateway 设备上）。
设置 设置位置 推荐设置 行为影响
备用 NetScaler Gateway MDX 策略 需要辅助 NetScaler Gateway 设备的 FQDN 和端口。 允许由辅助 NetScaler Gateway 设备身份验证和会话策略控制的增强型身份验证。
如果用户打开使用备用 NetScaler Gateway 的应用程序，则所有其他应用程序都将使用该 NetScaler Gateway 实例与内部网络通信。会话仅在增强安全性的 NetScaler Gateway 实例会话超时后，才会切换回安全性较低的 NetScaler Gateway 实例。

使用所需的微型 VPN 会话

对于某些应用程序（例如 Citrix Secure Web），您可以确保用户仅在拥有经过身份验证的会话时才运行应用程序。此策略强制执行该选项，并允许宽限期，以便用户可以完成其工作。
设置 设置位置 推荐设置 行为影响
需要微型 VPN 会话 MDX 策略 开 确保设备在线并具有有效的身份验证令牌。
需要微型 VPN 会话宽限期 MDX 策略 15 允许 15 分钟的宽限期，之后用户将无法再使用应用程序