上传、更新和续订证书

Last published : Oct 21, 2026
建议您列出 Citrix Endpoint Management 部署所需的证书。使用此列表跟踪证书的到期日期和密码。本文将帮助您管理证书的整个生命周期。
您的环境可能包含以下证书：
  • Citrix 端点管理服务器
    • MDM FQDN 的 SSL 证书（如果您从 XenMobile Server 迁移到 Citrix Endpoint Management，则需要此证书。否则，Citrix 会管理此证书。）
    • SAML 证书（适用于 Citrix Files）
    • 上述证书以及任何其他内部资源（StoreFront/Proxy 等）的根证书和中间 CA 证书
    • 适用于 iOS 设备管理的 APNs 证书
    • 用于连接到 PKI 的 PKI 用户证书（如果您的环境需要基于证书的身份验证，则需要此证书）
  • MDX 工具包
    • Apple 开发者证书
    • Apple 预配配置文件（按应用程序）
    • Apple APNs 证书（用于 Citrix 安全邮件）
    • Android 密钥库文件
    MAM SDK 不封装应用程序，因此不需要证书。
  • NetScaler 网关
    • MDM FQDN 的 SSL 证书
    • Gateway FQDN 的 SSL 证书
    • ShareFile SZC FQDN 的 SSL 证书
    • 用于 Exchange 负载平衡的 SSL 证书（卸载配置）
    • 用于 StoreFront 负载平衡的 SSL 证书
    • 上述证书的根 CA 证书和中间 CA 证书
注意：
客户端设备必须具有所需的根/中间证书，才能与颁发服务器证书的证书颁发机构建立信任。否则，您可能会收到 SSL 错误 61。要解决此问题：
  1. 下载或获取由您的 SSL 证书提供商颁发的 SSL 根/中间证书文件（.crt 或 .cer）。通常，根/中间/服务器证书存在于您的 SSL 服务提供商提供的证书捆绑包中。
  2. 在客户端设备上安装根/中间证书。
  3. 如果客户端设备上安装了防病毒软件，请确保防病毒软件信任该证书。
Related information
证书和身份验证

上传证书

您上传的每个证书都在“证书”表中有一个条目，其中包括其内容的摘要。当您配置需要证书的 PKI 集成组件时，请选择一个服务器证书以满足条件。例如，您可能希望配置 Citrix Endpoint Management 以与您的 Microsoft 证书颁发机构 (CA) 集成。与 Microsoft CA 的连接必须使用客户端证书进行身份验证。
Citrix Endpoint Management 可能没有给定证书的私钥。同样，Citrix Endpoint Management 可能不需要上传证书的私钥。
本节提供了上传证书的一般步骤。有关创建、上传和配置客户端证书的详细信息，请参阅客户端证书或证书加域身份验证。
您有两种上传证书的选项：
  • 将证书单独上传到控制台。
  • 使用 REST API 批量上传证书。此选项仅适用于 iOS 设备。
将证书上传到控制台时，您可以：
  • 导入密钥库。然后，您需要识别密钥库存储库中要安装的条目，除非您上传的是 PKCS #12 格式。
  • 导入证书。
您可以上传 CA 用于签署请求的 CA 证书（不带私钥）。您还可以上传 SSL 客户端证书（带私钥）以进行客户端身份验证。
配置 Microsoft CA 实体时，您需要指定 CA 证书。您可以从所有作为 CA 证书的服务器证书列表中选择 CA 证书。同样，配置客户端身份验证时，您可以从 Citrix Endpoint Management 拥有私钥的所有服务器证书列表中进行选择。

导入密钥库

密钥库是安全证书的存储库。根据设计，密钥库可以有许多条目。从密钥库加载时，您必须指定标识要加载的条目的条目别名。如果您未指定别名，则会加载存储中的第一个条目。由于 PKCS #12 文件通常只有一个条目，因此当您选择 PKCS #12 作为密钥库类型时，别名字段不会出现。
  1. 在 Citrix Endpoint Management 控制台中，单击控制台右上角的齿轮图标。使用搜索栏查找并打开“证书”设置。
    证书配置页面
  2. 单击“导入”。“导入”对话框随即出现。
  3. 配置以下设置：
    • 导入：选择“密钥库”。
    证书配置页面
    • 密钥库类型： 在下拉列表中单击 PKCS #12。
    • 用途： 在列表中，单击您计划如何使用证书。可用选项包括：
      • 服务器： 服务器证书是 Citrix Endpoint Management 在功能上使用的证书。您可以将服务器证书上传到 Citrix Endpoint Management Web 控制台。这些证书包括 CA 证书、RA 证书以及用于客户端与基础结构的其他组件进行身份验证的证书。此外，您还可以使用服务器证书作为要部署到设备的证书的存储。此用途尤其适用于用于在设备上建立信任的 CA。
      • SAML： 安全断言标记语言 (SAML) 认证允许您为服务器、网站和应用程序提供 SSO 访问权限。
      • APNs： 来自 Apple 的 APNs 证书通过 Apple 推送网络启用移动设备管理。
      • SSL 侦听器： 安全套接字层 (SSL) 侦听器会通知 Citrix Endpoint Management SSL 加密活动。
    • 密钥库文件： 浏览以查找要导入的密钥库。密钥库是 .p12 或 .pfx 文件。选择文件，然后单击 打开。
    • 密码： 键入分配给证书的密码。
    • 描述： （可选）键入密钥库的描述，以帮助您将其与其他密钥库区分开来。
  4. 单击 导入。密钥库将添加到“证书”表中。

导入证书

导入证书时，Citrix Endpoint Management 会尝试从输入构建证书链。Citrix Endpoint Management 会导入链中的所有证书，为每个证书创建一个服务器证书条目。此操作仅在文件或密钥库条目中的证书确实形成链时才有效。链中每个后续证书必须是前一个证书的颁发者。
您可以为导入的证书添加可选描述。该描述仅附加到链中的第一个证书。您可以稍后更新其余证书的描述。
  1. 在 Citrix Endpoint Management 控制台中，单击控制台右上角的齿轮图标。使用搜索栏查找并打开“证书”设置。
  2. 在“证书”页面上，单击“导入”。“导入”对话框随即出现。配置以下内容：
    • 导入： 单击证书。
    • 用途： 选择您计划如何使用证书。可用选项包括：
      • 服务器： 服务器证书是 Citrix Endpoint Management 功能性使用的证书。您将服务器证书上传到 Citrix Endpoint Management Web 控制台。这些证书包括 CA 证书、RA 证书以及用于与基础架构的其他组件进行客户端身份验证的证书。此外，您还可以使用服务器证书作为要部署到设备的证书的存储。此选项尤其适用于用于在设备上建立信任的 CA。
      • SAML： 安全断言标记语言 (SAML) 认证允许您为服务器、网站和应用程序提供单点登录 (SSO) 访问。
      • SSL 侦听器： 安全套接字层 (SSL) 侦听器通知 Citrix Endpoint Management SSL 加密活动。
    • 证书导入： 浏览以查找要导入的证书。选择文件，然后单击打开。
    • 私钥文件： 浏览以查找证书的可选私钥文件。私钥与证书一起用于加密和解密。选择文件，然后单击打开。
    • 描述： （可选）键入证书的描述，以帮助您将其与其他证书区分开来。
  3. 单击导入。证书将添加到“证书”表中。

使用 REST API 批量上传证书

有时，一次上传一个证书是不合理的。在这些情况下，请使用 REST API 批量上传证书。此方法支持 .p12 格式的证书。有关 REST API 的详细信息，请参阅 REST API。
  1. 将每个证书文件重命名为 device_identity_value.p12 格式。device_identity_value 可以是每个设备的 IMEI、序列号或 MEID。
    例如，您选择使用序列号作为识别方法。如果一个设备的序列号为 A12BC3D4EFGH，则将您希望安装在该设备上的证书文件命名为 A12BC3D4EFGH.p12。
  2. 创建一个文本文件来存储 .p12 证书的密码。在该文件中，在新行上键入每个设备的设备标识符和密码。使用 device_identity_value=password 格式。请参阅以下内容：
    A12BC3D4EFGH.p12=password1!
    A12BC3D4EFIJ.p12=password2@
    A12BC3D4EFKL.p12=password3#
  3. 将所有证书和您创建的文本文件打包到一个 .zip 文件中。
  4. 启动您的 REST API 客户端，登录 Citrix Endpoint Management，并获取身份验证令牌。
  5. 导入您的证书，并确保在消息正文中包含以下内容：
    {
        "alias": "",
        "useAs": "device",
        "uploadType": "keystore",
        "keystoreType": "PKCS12",
        "identityType":"SERIAL_NUMBER",        # identity type can be "SERIAL_NUMBER","IMEI","MEID"
        "credentialFileName":"credential.txt"   # The credential file name in .zip
    }
    REST API 客户端(/en-us/citrix-endpoint-management/media/bulk-import-certificates.png)
  6. 创建一个 VPN 策略，凭据类型为 Always on IKEv2，设备身份验证方法为 Device Certificate Based on Device Identity。选择您在证书文件名中使用的 Device identity type。请参阅 VPN 设备策略。
  7. 注册 iOS 设备并等待 VPN 策略部署。通过检查设备上的 MDM 配置来确认证书安装。您还可以在 Citrix Endpoint Management 控制台中查看设备详细信息。
    iOS MDM 管理(/en-us/citrix-endpoint-management/media/bulk-certificate-ios.png)
    设备详细信息(/en-us/citrix-endpoint-management/media/bulk-certificate-device-details.png)
您还可以通过创建一个文本文件来批量删除证书，该文件中列出了要删除的每个证书的 device_identity_value。在 REST API 中，调用删除 API 并使用以下请求，将 device_identity_value 替换为相应的标识符：
```
{
    "identityType"="device_identity_value"
}
```
REST API 客户端(/en-us/citrix-endpoint-management/media/bulk-delete-certificates.png)

更新证书

Citrix Endpoint Management 系统中每个公钥一次只允许存在一个证书。如果您尝试为与已导入证书相同的密钥对导入证书，您可以：
  • 替换现有条目。
  • 删除条目。
上传新证书以替换旧证书后，您无法删除旧证书。配置 PKI 实体设置时，两个证书都存在于 SSL 客户端证书 菜单中。新证书在列表中的位置低于旧证书。

更新您的证书

  1. 通过遵循客户端证书或证书加域身份验证中的步骤创建替换证书。
    重要提示：
    请勿使用现有私钥创建证书的选项。当您创建证书以更新即将过期的证书时，私钥也必须是新的。
  2. 在 Citrix Endpoint Management 控制台中，单击控制台右上角的齿轮图标。使用搜索栏查找并打开“证书”设置。
  3. 在“导入”对话框中，导入新证书。
当您更新服务器证书时，使用先前证书的组件会自动切换到使用新证书。同样，如果您已在设备上部署了服务器证书，则该证书会在下次部署时自动更新。
要更新 APNs 证书，请执行创建证书的步骤，然后转到 Apple 推送证书门户。有关详细信息，请参阅续订 APNs 证书。
如果您的 NetScaler Gateway 已设置为 SSL 卸载，请确保使用新的 cacert.pem 更新您的负载均衡器。
注意：
如果您已从本地 XenMobile 迁移到 Citrix Endpoint Management，并且正在更新证书，请在完成上述步骤后联系 Citrix 支持。您需要向他们提供新证书的副本（PFX 格式），包括证书密码。Citrix 支持将更新云 NetScaler 并重新启动租户节点以完成证书更新过程。

更新 PKI 服务证书颁发机构 (CA)

您可以请求 Citrix Cloud Operations 刷新或重新生成 Citrix Endpoint Management 部署中的内部 PKI 证书颁发机构 (CA)。请为这些请求开具技术支持案例。
When the new CAs are available, Cloud Operations lets you know that you can proceed with renewing the device certificates for your users.

续订设备证书

如果设备上的证书过期，则该证书将变为无效。您将无法再在您的环境中运行安全事务，也无法访问 Citrix Endpoint Management 资源。证书颁发机构 (CA) 会提示您在到期日期之前续订 SSL 证书。执行前面描述的步骤来更新证书，然后开始在已注册设备上续订证书。
对于受支持的 iOS、macOS 和 Android 设备，您可以通过安全操作“证书续订”来启动证书续订。您可以从 Citrix Endpoint Management 控制台或公共 REST API 续订设备证书。对于已注册的 Windows 设备，用户必须重新注册其设备才能接收新的设备证书颁发机构 (CA)。
设备下次连接回 Citrix Endpoint Management 时，Citrix Endpoint Management 服务器会根据新的 CA 颁发新的设备证书。

使用控制台续订设备证书

  1. 转到 管理 > 设备 并选择要续订设备证书的设备。
  2. 单击 安全，然后单击 证书续订。
    安全操作中的证书续订
    已注册的设备将继续正常工作，不受中断影响。当设备重新连接到服务器时，Citrix Endpoint Management 会颁发设备证书。
要查询属于特定设备证书颁发者 CA 组的设备：
  1. 在 管理 > 设备 中，展开 筛选器 窗格。
  2. 在 筛选器 窗格中，展开 设备证书颁发者 CA，然后选择要续订的颁发者 CA。
    在设备表中，将显示所选颁发者 CA 的设备。
    按 CA 证书组筛选的设备列表

使用 REST API 续订设备证书

Citrix Endpoint Management 在内部将以下证书颁发机构 (CA) 用于 PKI：根 CA、设备 CA 和服务器 CA。这些 CA 是一个逻辑组，并具有一个组名称。在 Citrix Endpoint Management 预配期间，服务器会生成三个 CA 并为其指定组名称“default”。
CA 颁发以下 API 来管理和续订设备证书。已注册的设备将继续正常工作，不受中断影响。当设备重新连接到服务器时，Citrix Endpoint Management 会颁发设备证书。有关详细信息，请下载 Public API for REST Services PDF。
  • 返回仍在使用旧 CA 的设备列表（请参阅 Public API for REST Services PDF 中的 3.16.2 节）
  • 续订设备证书（请参阅 3.16.58 节）
  • 获取所有 CA 组（请参阅 3.23.1 节）

适用于 Citrix Secure Mail 的 APNs 证书

Apple 推送通知服务 (APNs) 证书每年都会过期。请务必在证书过期之前创建 APNs SSL 证书并在 Citrix 门户中更新。如果证书过期，用户将面临 Citrix Secure Mail 推送通知不一致的问题。此外，您将无法再为您的应用程序发送推送通知。

适用于 iOS 设备管理的 APNs 证书

要使用 Citrix Endpoint Management 注册和管理 iOS 设备，请设置并创建 Apple 的 APNs 证书。如果证书过期，用户将无法注册 Citrix Endpoint Management，并且您无法管理其 iOS 设备。有关详细信息，请参阅APNs 证书。
您可以通过登录 Apple 推送证书门户查看 APNs 证书状态和过期日期。请务必以创建证书的同一用户身份登录。
您还会在过期日期前 30 天和 10 天收到 Apple 发送的电子邮件通知。该通知包含以下信息：
The following Apple Push Notification Service certificate, created for Apple ID CustomerID will expire on Date. Revoking or allowing this certificate to expire will require existing devices to be re-enrolled with a new push certificate.

Please contact your vendor to generate a new request (a signed CSR), then visit https://identity.apple.com/pushcert to renew your Apple Push Notification Service certificate.

Thank You,

Apple Push Notification Service

MDX Toolkit（iOS 分发证书）

在物理 iOS 设备上运行的应用程序（Apple App Store 中的应用程序除外）具有以下签名要求：
  • 使用预配配置文件对应用程序进行签名。
  • 使用相应的分发证书对应用程序进行签名。
要验证您是否拥有有效的 iOS 分发证书，请执行以下操作：
  1. 在 Apple 企业开发者门户中，为您计划使用 MDX 包装的每个应用程序创建一个显式应用程序 ID。可接受的应用程序 ID 示例为：com.CompanyName.ProductName。
  2. 在 Apple 企业开发者门户中，转到 Provisioning Profiles > Distribution（预配配置文件 > 分发）并创建内部预配配置文件。对上一步中创建的每个应用程序 ID 重复此步骤。
  3. 下载所有预配配置文件。有关详细信息，请参阅包装 iOS 移动应用程序。
要确认所有 Citrix Endpoint Management 服务器证书均有效，请执行以下操作：
  1. 在 Citrix Endpoint Management 控制台中，单击“设置 > 证书”。
  2. 检查所有证书（包括 APNs、SSL 侦听器、根证书和中间证书）是否有效。

Android 密钥库

密钥库是包含用于签署 Android 应用程序的证书的文件。当密钥有效期到期时，用户将无法无缝升级到应用程序的新版本。

NetScaler 网关

有关如何处理 NetScaler Gateway 证书过期的详细信息，请参阅 Citrix 支持知识中心中的如何处理 NetScaler 上的证书过期。
过期的 NetScaler Gateway 证书会阻止用户注册和访问应用商店。过期的证书还会阻止用户在使用 Citrix Secure Mail 时连接到 Exchange Server。此外，用户无法枚举和打开 HDX 应用程序（具体取决于哪个证书已过期）。
过期监视器和命令中心可以帮助您跟踪 NetScaler Gateway 证书。该中心会在证书过期时通知您。这些工具可帮助监控以下 NetScaler Gateway 证书：
  • 适用于 MDM FQDN 的 SSL 证书
  • 适用于 Gateway FQDN 的 SSL 证书
  • 适用于 ShareFile SZC FQDN 的 SSL 证书
  • 适用于 Exchange 负载平衡（卸载配置）的 SSL 证书
  • 适用于 StoreFront 负载平衡的 SSL 证书
  • 上述证书的根 CA 证书和中间 CA 证书