设备管理

• 使用一组通用的设备策略来管理受支持的设备。要快速查看按平台提供的设备策略，请执行以下操作：
  1. 转到 Citrix Endpoint Management 控制台，然后导航到 Configure > Device Polices（配置 > 设备策略）。
  2. 单击 Add（添加），然后选择要查看的平台。
     有关详细信息，请参阅筛选已添加的设备策略列表。
• 通过对身份、公司拥有的设备和 BYO 设备、应用程序、数据和网络实施严格的安全措施来保护业务信息。指定用于对设备进行身份验证的用户身份。配置如何在设备上将企业数据和个人数据分开。
• 无论设备或操作系统如何，均可向最终用户交付任何应用程序。在应用程序级别保护您的信息，并提供企业级移动应用程序管理。
• 使用预配和配置控件来设置设备。这些控件包括设备注册、策略应用和访问权限。
• 使用安全和合规性控件创建具有可操作触发器的自定义安全基线。例如，锁定、擦除或通知违反定义的合规性标准的设备。
• 使用操作系统更新控件来阻止或强制执行操作系统更新。此功能对于防止针对操作系统漏洞的数据丢失至关重要。

设备管理工作流程

1. 添加设备和应用程序的推荐先决条件： 提前执行以下设置可让您不间断地配置设备和应用程序。
   添加设备和应用程序之前的推荐步骤(/en-us/citrix-endpoint-management/media/workflow-prereqs-for-adding-devices-apps.png)
   请参阅：
   部署资源
   使用 RBAC 配置角色
   创建和更新通知模板
   创建和管理工作流程
2. 添加设备：
   添加设备工作流程(/en-us/citrix-endpoint-management/media/workflow-add-devices.png)
   请参阅：
   准备注册设备和交付资源
   设备策略
   部署到交付组
   自动化操作
3. 准备注册邀请： 您可以向使用 iOS、iPadOS、macOS、Android Enterprise 和旧版 Android 设备的用户发送注册邀请。如果您计划使用注册邀请，请执行以下操作。
   准备注册邀请工作流程(/en-us/citrix-endpoint-management/media/workflow-enrollment-invitations.png)
   请参阅：
   配置注册安全模式
   向设备发送通知
4. 添加应用程序：
   
   请参阅：
   MAM SDK
   添加应用程序
   关于应用程序类别
   应用工作流程
   部署到交付组
5. 执行持续的设备和应用程序管理： 除了使用 Citrix Endpoint Management 控制板之外，我们还建议您查看每个版本的新增功能内容。新增功能提供了有关任何所需操作的信息，例如配置新的设备策略。
   
   请参阅：
   监视和支持
   报告
   安全操作
   新增功能
   设备策略

注册邀请

• 您可以向使用 iOS、iPadOS、macOS、Android Enterprise 和旧版 Android 设备的用户发送注册邀请。注册邀请不适用于 Windows 设备。
• 您可以向使用 iOS、iPadOS、Android Enterprise 或旧版 Android 设备的用户发送邀请 URL。邀请 URL 不适用于 Windows 设备。

• 如果 Active Directory 用户在 Active Directory 中有电子邮件地址，他们会收到邀请。本地用户会在用户属性中指定的电子邮件地址收到邀请。

安全操作

• 激活锁绕过： 在设备激活之前，从受监管的 iOS 设备中移除激活锁。此命令不需要用户的个人 Apple ID 或密码。
• 应用程序锁定： 拒绝访问设备上的所有应用程序。在 Android 上，应用程序锁定后，用户无法登录 Citrix Endpoint Management。在 iOS 上，用户可以登录，但无法访问任何应用程序。
• 应用程序擦除： 从 Citrix Secure Hub 中移除用户帐户并取消注册设备。在您使用“应用程序取消擦除”操作之前，用户无法重新注册。
• ASM 部署计划激活锁： 为已注册到 Apple School Manager 的 iOS 设备创建激活锁绕过代码。
• 证书续订： 对于受支持的 iOS、macOS 和 Android 设备，“证书续订”安全操作会启动证书续订。设备下次重新连接到 Citrix Endpoint Management 时，Citrix Endpoint Management 服务器会根据新的证书颁发机构颁发新的设备证书。
• 清除限制： 在受监督的 iOS 设备上，此命令允许 Citrix Endpoint Management 清除用户配置的限制密码和限制设置。
• 启用/禁用丢失模式： 将受监督的 iOS 设备置于丢失模式，并向设备发送要显示的消息、电话号码和脚注。第二次发送此命令会将设备带出丢失模式。
• 启用跟踪： 在 Android 或 iOS 设备上，此命令允许 Citrix Endpoint Management 以您定义的频率轮询特定设备的位置。要在地图上查看设备坐标和位置，请转到“管理 > 设备”，选择一个设备，然后单击“编辑”。设备信息位于“安全”下的“常规”选项卡中。使用“启用跟踪”持续跟踪设备。Citrix Secure Hub 在设备运行时定期报告位置。
• 完全擦除： 立即擦除设备上的所有数据和应用程序，包括任何存储卡中的数据。已擦除的设备会保留在“管理 > 设备”页面上的设备列表中，以供审计。您可以从设备列表中删除已擦除的设备。
  • 对于 Android 设备，此请求还可以包括擦除存储卡的选项。
  • 对于具有工作配置文件（COPE 设备）的 Android Enterprise 完全托管设备，您可以在选择性擦除删除工作配置文件后执行完全擦除。
  • 对于 iOS 和 macOS 设备，擦除会立即发生，即使设备已锁定。
    对于 iOS 11 设备和 iPadOS 12 设备（最低版本）：当您确认完全擦除时，您可以选择保留设备上的蜂窝数据套餐。
    对于 iOS 11.3 设备（最低版本）：当您确认完全擦除时，您可以阻止 iOS 设备进行近距离设置。设置新的 iOS 设备时，用户通常可以使用已配置的 iOS 设备来设置自己的设备。您可以阻止在由 Citrix Endpoint Management 管理且已擦除的设备上进行近距离设置。
    对于 iOS 17 设备（最低版本）：当您确认完全擦除时，设备会自动擦除所有用户数据，连接到指定的 Wi-Fi 网络，并使用提供的注册配置文件重新注册到 MDM 服务器。
  • 如果设备用户在存储卡内容被删除之前关闭设备，用户可能仍然可以访问设备数据。
  • 您可以取消擦除请求，直到请求发送到设备。
• 定位： 定位设备并报告设备位置，包括地图，位于“管理 > 设备”页面上的“设备详细信息 > 常规”下。“定位”是一次性操作。使用“定位”在您执行操作时显示当前设备位置。要在一段时间内持续跟踪设备，请使用“启用跟踪”。
  • 将此操作应用于 Android（Android Enterprise 除外）设备或 Android Enterprise（公司所有或 BYOD）设备时，请注意以下行为：
    • 定位要求用户在注册期间授予位置权限。用户可以选择不授予位置权限。如果用户在注册期间未授予权限，Citrix Endpoint Management 会在发送定位命令时再次请求位置权限。
  • 将此功能应用于 iOS 或 Android Enterprise 设备时，请注意以下限制：
    • 对于 Android Enterprise 设备，除非 位置设备策略 已将设备的位置模式设置为高精度或省电，否则此请求将失败。
    • 对于 iOS 设备，仅当设备处于 MDM 丢失模式时，该命令才会成功。
• 锁定： 远程锁定设备。如果设备被盗且必须锁定，则锁定功能很有用。Citrix Endpoint Management 会生成一个 PIN 码并将其设置到设备中。要访问设备，用户需要输入 PIN 码。使用取消锁定可从 Citrix Endpoint Management 控制台移除锁定。
• 锁定并重置密码： 远程锁定设备并重置密码。
  • 不支持以下设备：
    • 以工作配置文件模式注册到 Android Enterprise 的设备，以及
    • 运行早于 Android 7.0 版本的 Android 设备
  • 对于以工作配置文件模式注册到 Android Enterprise 且运行 Android 7.0 或更高版本的设备：
    • 密码锁定工作配置文件。设备未锁定。
    • 如果未发送密码，或者发送的密码不符合要求且工作配置文件没有密码：设备已锁定。
    • 如果未发送密码，或者发送的密码不符合要求，但工作配置文件有密码：工作配置文件已锁定，但设备未锁定。
  注意：
  密码重置功能仅支持 BYOD 三星设备，并且控制台管理员应具有 DEVICE_ACTION_CONTAINER_PASSWORD_RESET 权限。

• 通知（响铃）： 在设备上播放声音。
  注意：
  此功能仅支持 iOS 设备。

• 重新启动： 重新启动 Windows 10 和 Windows 11 设备。对于 Windows 平板电脑和 PC，将显示一条有关待处理重新启动的消息。重新启动将在五分钟内发生。
• 请求/停止 AirPlay 镜像： 在受监管的 iOS 设备上启动和停止 AirPlay 镜像。
• 重新启动/关机： 立即重新启动或关闭受监管的设备。
  注意：
  此功能仅支持 iOS 设备。

• 吊销： 禁止设备连接到 Citrix Endpoint Management。
• 吊销/授权： 执行与选择性擦除相同的操作。吊销后，您可以重新授权设备以重新注册。
• 响铃： 如果设备处于丢失模式，响铃会在受监管的 iOS 设备上播放声音。声音会一直播放，直到您将设备从丢失模式中移除或用户禁用声音。
• 轮换个人恢复密钥： 如果您已启用 FileVault 设备策略，此操作将生成一个新的个人恢复密钥，并用此新密钥替换旧密钥。您可以在请求仍处于待处理状态时取消此请求。为此，请单击取消轮换个人恢复密钥。
• 选择性擦除： 从设备中擦除所有企业数据和应用程序，保留个人数据和应用程序。选择性擦除后，使用授权操作重新授权设备，以便用户可以重新注册。擦除的设备会保留在管理 > 设备页面上的设备列表中，以供审计。您可以从设备列表中移除已擦除的设备。
  • 选择性擦除 Android 设备不会断开设备与设备管理器和企业网络的连接。要阻止设备访问设备管理器，您还必须吊销设备证书。
  • 选择性擦除 Android 设备也会吊销该设备。您只能在重新授权或从控制台删除设备后才能重新注册它。
  • 对于具有工作配置文件（COPE 设备）的 Android Enterprise 完全托管设备，您可以在选择性擦除移除工作配置文件后执行完全擦除。或者，您可以使用相同的用户名重新注册设备。重新注册设备会重新创建工作配置文件。
  • 对于 iOS 和 macOS 设备，此命令会移除通过 MDM 安装的任何配置文件。
  • Windows 设备上的选择性擦除还会删除当前登录用户的配置文件文件夹内容。选择性擦除不会删除您通过配置交付给用户的任何 Web 剪辑。要删除 Web 剪辑，用户需要手动取消注册其设备。您无法重新注册已选择性擦除的设备。
• 解锁： 清除设备锁定时发送到设备的密码。此命令不会打开设备。

获取设备信息

• 状态：图标指示设备是否已越狱、是否受管理、ActiveSync Gateway 是否可用以及部署状态。
• 模式：指示设备模式，例如 MDM 或 MDM+MAM。
• 有关设备的其他信息，例如“用户名”、“设备平台”、“上次访问”和“非活动天数”。这些标题是默认显示的。

从预配文件导入设备

1. 转到“管理 > 设备”，然后单击“导入”。此时将显示“导入预配文件”对话框。
   
2. 单击“选择文件”，然后导航到要导入的文件。
3. 单击“导入”。“设备”表列出了导入的文件。
4. 要编辑设备信息，请选择该信息，然后单击“编辑”。有关“设备详细信息”页面的信息，请参阅获取设备信息。

部署到设备

1. 转至“管理 > 设备”，选择一个 MDM 或 MDM+MAM 托管设备，然后单击“部署”。
2. 在对话框中，单击“部署”以确认您的操作。

向设备发送通知

1. 在“管理 > 设备”页面上，选择要向其发送通知的一个或多个设备。
2. 单击“通知”。“通知”对话框随即显示。“收件人”字段列出了所有将接收通知的设备。
   
3. 配置以下设置：
   • 模板：在下拉列表中单击要发送的通知类型。对于除 Ad Hoc 之外的每个模板，主题和消息字段显示为所选模板配置的文本。
   • 通道：选择发送消息的方式。默认值为 SMTP。单击选项卡可查看每个通道的消息格式。
   • 发件人：输入可选的发件人。
   • 主题：为 Ad Hoc 消息输入主题。
   • 消息：为 Ad Hoc 消息输入消息。
4. 单击通知。

导出设备表

1. 根据您希望在导出文件中显示的内容筛选设备表。
2. 单击设备表上方的导出按钮。Citrix Endpoint Management 将提取筛选后的设备表中的信息并将其转换为 .csv 文件。
3. 出现提示时，打开或保存 .csv 文件。

手动标记用户设备

• 在基于邀请的注册过程中。
• 在自助服务门户注册过程中。
• 通过将设备所有权添加为设备属性

1. 在 Citrix Endpoint Management 控制台的“设备”选项卡中，向设备添加属性。
2. 添加名为“所有者”的属性，然后选择“公司”或“BYOD”（员工个人所有）。
   

自定义 Active Directory 用户属性

• 用户帐户预配： 如果您删除名字和姓氏值，Citrix Endpoint Management 无法为 ShareFile 和 Salesforce 预配用户帐户。
• 注册邀请： 如果您删除用户的电子邮件或手机详细信息，用户将无法收到注册邀请。
• 设备通知操作： 如果您删除用户的电子邮件详细信息，用户将无法通过 SMTP 接收通知。
• Citrix Secure Mail 单点登录： 如果您删除显示名称值，用户将无法使用单点登录登录到 Citrix Secure Mail。
• 用户属性和部署规则： 如果您删除用于配置用户属性和部署规则的任何可选属性，可能会影响现有配置。
• 操作： 如果您删除用于在配置 > 操作中设置自动化操作的任何可选属性，可能会影响现有配置。
• 自定义报告： 如果您删除自定义报告中使用的任何可选属性，可能会影响现有配置。

搜索设备

• 序列号
• IMEI
• Wi-Fi MAC 地址
• 蓝牙 MAC 地址
• Active Sync 标识符
• 用户名

设备预配文件格式

• 有关每个属性的有效值，请参阅 PDF 设备属性名称和值
• 使用 UTF-8 字符集。
• 使用分号 (;) 分隔预配文件中的字段。如果字段的一部分包含分号，请使用反斜杠字符 (\\) 对其进行转义。
  例如，对于此属性：
  propertyV;test;1;2
  按如下方式转义：
  propertyV\;test\;1\;2
• iOS 设备需要序列号，因为序列号是 iOS 设备标识符。
• 对于其他设备平台，您必须包含序列号或 IMEI。
• OperatingSystemFamily 的有效值为 WINDOWS、ANDROID 或 iOS。

• SerialNumber: 1050BF3F517301081610065510590391
• IMEI: 15244201625379901
• OperatingSystemFamily: WINDOWS
• ProertyName: propertyN
• PropertyValue: propertyV\;test\;1\;2;prop 2