HDX™ 应用程序的 SmartAccess

Last published : Oct 21, 2026
此功能允许您根据设备属性、设备的用户属性或设备上安装的应用程序来控制对 HDX 应用程序的访问。您可以通过设置自动化操作来使用此功能，将设备标记为不合规以拒绝该设备访问。与此功能一起使用的 HDX 应用程序在 Citrix Virtual Apps and Desktops 中配置，方法是使用 SmartAccess 策略拒绝不合规设备的访问。Citrix Endpoint Management 使用签名加密标签将设备状态传达给 StoreFront。StoreFront 然后根据应用程序的访问控制策略允许或拒绝访问。
要使用此功能，您的部署需要：
  • Citrix 虚拟应用和桌面™
  • Citrix 端点管理
  • 配置了 SAML 证书的 Citrix Endpoint Management，用于签名和加密标签。不带私钥的相同证书将上传到 StoreFront 服务器。
要开始使用此功能：
  • 将 Citrix Endpoint Management 服务器证书配置到 StoreFront 商店
  • 配置至少一个具有所需 SmartAccess 策略的 Citrix Virtual Apps and Desktops 交付组
  • 在 Citrix Endpoint Management 中设置自动化操作
Related information
添加应用

适用于端点的 HDX 应用程序的 SmartAccess

借助此功能，您可以应用基于策略的访问控制来限制设备对 HDX 应用程序的访问。您可以将以下访问级别应用于 HDX 应用程序：
  • 完全访问。设备可以访问 Citrix Secure Hub 商店提供的所有 HDX 应用程序。
  • 受限访问。设备可以访问一个或多个（但不是全部）HDX 应用程序。
  • 无访问权限。设备无法访问任何 HDX 应用程序。
下图说明了访问控制的工作原理。在 Citrix Secure Hub 中尝试启动 HDX 应用程序会触发对 Delivery Controller 的请求。然后，Delivery Controller 将请求转发到 Citrix Endpoint Management 服务器进行验证。验证结果决定了设备拥有的访问级别。例如，如果设备已越狱，则拒绝访问 HDX 应用程序。
SmartAccess 访问控制

导出并配置 Citrix Endpoint Management 服务器证书，然后将其上传到 StoreFront 商店

SmartAccess 使用签名和加密标签在 Citrix Endpoint Management 和 StoreFront 服务器之间进行通信。要启用该通信，请将 Citrix Endpoint Management 服务器证书添加到 StoreFront 商店。
有关在 Citrix Endpoint Management 启用域和基于证书的身份验证时集成 StoreFront 和 Citrix Endpoint Management 的更多信息，请参阅 支持知识中心。

从 Citrix Endpoint Management 导出 SAML 证书

  1. 在 Citrix Endpoint Management 控制台中，单击右上角的齿轮图标。此时将显示“设置”页面。单击“证书”。
  2. 找到 Citrix Endpoint Management 服务器的 SAML 证书。
    SmartAccess 配置
  3. 确保“导出私钥”设置为“关”。单击“导出”将证书导出到您的下载目录。
    SmartAccess 配置
  4. 在您的下载目录中找到该证书。该证书采用 PEM 格式。
    SmartAccess 配置

将证书从 PEM 转换为 CER

  1. 打开 Microsoft 管理控制台 (MMC)，然后右键单击“证书 > 所有任务 > 导入”。
    SmartAccess 配置
  2. 当证书导入向导出现时，单击下一步。
    SmartAccess 配置
  3. 浏览到下载目录中的证书。
    SmartAccess 配置
  4. 选择将所有证书放入以下存储，然后选择个人作为证书存储。单击下一步。
    SmartAccess 配置
  5. 查看您的选择，然后单击完成。单击确定关闭确认窗口。
  6. 在 MMC 中，右键单击证书，然后选择所有任务 > 导出。
    SmartAccess 配置
  7. 当证书导出向导出现时，单击下一步。
    SmartAccess 配置
  8. 选择格式DER 编码的二进制 X.509 (.CER)。单击下一步。
    SmartAccess 配置
  9. 浏览到证书。键入证书名称，然后单击下一步。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/mmc-export-certificate-browse.png)
  10. 保存证书。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/mmc-export-certificate-save.png)
  11. 浏览到证书，然后单击下一步。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/mmc-export-certificate-browse.png)
  12. 查看您的选择，然后单击完成。单击确定关闭确认窗口。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/mmc-export-certificate-summary.png)
  13. 在下载目录中找到证书。该证书采用 CER 格式。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/certificate-in-download-folder.png)

将证书复制到 StoreFront 服务器

  1. 在 StoreFront 服务器上，创建一个名为 SmartCert 的文件夹。
  2. 将证书复制到 SmartCert 文件夹。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/certificate-in-smartcert-folder.png)

在 StoreFront 存储上配置证书

在 StoreFront 服务器上，运行此 PowerShell 命令以在存储上配置转换后的 Citrix Endpoint Management 服务器证书：
Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath  “C:\xms\xms.cer” –ServerName “XMS server”SmartAccess 配置
如果 StoreFront 存储中有任何现有证书，请运行此 PowerShell 命令以吊销它们：
Revoke-STFStorePnaSmartAccess –StoreService $store –AllSmartAccess 配置
否则，您可以在 StoreFront 服务器上运行以下任一 PowerShell 命令，以吊销 StoreFront 存储中的现有证书：
  • 按名称吊销：
    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
  • 按指纹吊销：
    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint "[Thumbprint]
  • 按服务器对象吊销：
    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    $access = Get-STFStorePnaSmartAccess –StoreService $store

    Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]

配置 Citrix Virtual Apps and Desktops 的 SmartAccess 策略

要将所需的 SmartAccess 策略添加到交付 HDX 应用程序的交付组：
  1. 从 Citrix Cloud 控制台打开 Citrix Studio。
  2. 在 Studio 导航窗格中选择 交付组。
  3. 选择一个交付您要控制访问的应用程序的组。然后在“操作”窗格中选择“编辑交付组”。
  4. 在“访问策略”页面上，选择“通过 NetScaler Gateway 的连接”和“满足以下任一条件的连接”。
  5. 单击“添加”。
  6. 添加访问策略，其中 场 为 XM，筛选器 为 XMCompliantDevice。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/delivery-group-app-desktop-access-policy.png)
  7. 点击“应用”以应用您所做的任何更改并保持窗口打开，或点击“确定”以应用更改并关闭窗口。

在 Citrix Endpoint Management 中设置自动化操作

您为 HDX 应用程序在交付组中设置的 SmartAccess 策略会在设备不合规时拒绝设备访问。使用自动化操作将设备标记为不合规。
SmartAccess 配置(/en-us/citrix-endpoint-management/media/actions-out-of-compliance.png)
  1. 在 Citrix Endpoint Management 控制台中，点击“配置 > 操作”。“操作”页面随即显示。
  2. 点击“添加”以添加操作。“操作信息”页面随即显示。
  3. 在“操作信息”页面上，键入操作的名称和描述。
  4. 点击“下一步”。“操作详细信息”页面随即显示。在以下示例中，如果设备具有用户属性名称 eng5 或 eng6，则会创建一个立即将设备标记为不合规的触发器。
    SmartAccess 配置(/en-us/citrix-endpoint-management/media/configure-actions-trigger-example.png)
  5. 在“触发器”列表中，选择“设备属性”、“用户属性”或“已安装的应用程序名称”。SmartAccess 不支持事件触发器。
  6. 在“操作”列表中：
    • 选择“将设备标记为不合规”。
    • 选择“是”。
    • 选择“真”。
    • 要将操作设置为在触发条件满足时立即将设备标记为不合规，请将时间范围设置为 0。
  7. 选择要应用此操作的 Citrix Endpoint Management 交付组或多个组。
  8. 查看操作摘要。
  9. 单击“下一步”，然后单击“保存”。
当设备被标记为不合规时，HDX 应用程序将不再显示在 Citrix Secure Hub 商店中。用户将不再订阅该应用程序。设备不会收到通知，并且 Citrix Secure Hub 商店中没有任何内容表明 HDX 应用程序以前可用。
如果您希望在设备被标记为不合规时通知用户，请创建通知，然后创建自动化操作以发送该通知。
此示例在设备被标记为不合规时创建并发送此通知：“设备序列号或电话号码不再遵循设备策略，并且 HDX 应用程序已被阻止。”
SmartAccess 配置

创建设备被标记为不合规时用户看到的通知

  1. 在 Citrix Endpoint Management 控制台中，单击控制台右上角的齿轮图标。“设置”页面随即显示。
  2. 单击“通知模板”。“通知模板”页面随即显示。
  3. 在“通知模板”页面上单击“添加”以添加。
  4. 配置以下设置：
    • 名称： HDX 应用程序阻止
    • 描述： 设备不合规时的代理通知
    • 类型： 即时通知
    • Citrix Secure Hub： 已激活
    • 消息： 设备 ${firstnotnull(device.TEL_NUMBER,device.serialNumber)} 不再遵循设备策略，并且 HDX 应用程序已被阻止。
    SmartAccess 配置
  5. 单击保存。

创建在设备被标记为不合规时发送通知的操作

  1. 在 Citrix Endpoint Management 控制台中，单击配置 > 操作。将显示操作页面。
  2. 单击添加以添加操作。将显示操作信息页面。
  3. 在操作信息页面上，输入操作的名称和描述：
    • 名称：HDX 阻止通知
    • 描述： HDX 阻止通知，因为设备不合规
  4. 单击下一步。将显示操作详细信息页面。
  5. 在触发器列表中：
    • 选择设备属性。
    • 选择不合规。
    • 选择 是。
    • 选择 True。
    SmartAccess 配置
  6. 在 操作 列表中，指定满足触发器时执行的操作：
    • 选择 发送通知
    • 选择 HDX 应用程序阻止，您创建的通知。
    • 选择 0。将此值设置为 0 会在满足触发条件时发送通知。
  7. 选择要应用此操作的 Citrix Endpoint Management 交付组。在此示例中，选择 AllUsers。
  8. 查看操作摘要。
  9. 单击 下一步，然后单击 保存。
有关设置自动化操作的详细信息，请参阅自动化操作。

用户如何重新获得 HDX 应用程序的访问权限

设备恢复合规性后，用户可以再次访问 HDX 应用程序：
  1. 在设备上，转到 Citrix Secure Hub 商店以刷新商店中的应用程序。
  2. 转到应用程序并点击 添加 到应用程序。
应用添加后，它会出现在“我的应用”中，旁边带有一个蓝点，因为它是一个新安装的应用。
SmartAccess 配置(/en-us/citrix-endpoint-management/media/secure-hub-app-added.png)