Windows 桌面和平板电脑

Last published : Oct 21, 2026
Citrix Endpoint Management 将 Windows 10 和 Windows 11 设备注册到 MDM。Citrix Endpoint Management 支持以下用于注册到 MDM 的 Windows 10 和 Windows 11 设备的身份验证类型：
  • 基于域的身份验证
    • 活动目录
    • Azure 活动目录
  • 身份提供程序：
    • Azure 活动目录
    • Citrix® 身份提供程序
有关支持的身份验证类型的详细信息，请参阅证书和身份验证。
启动 Windows 10 或 Windows 11 设备管理的通用工作流程如下：
  1. 完成入门过程。请参阅入门和资源设置和准备注册设备和交付资源。
    如果您计划使用 AutoDiscovery 服务注册 Windows 设备，则必须配置 Citrix AutoDiscovery 服务。请联系 Citrix 技术支持寻求帮助。有关详细信息，请参阅请求 Windows 设备的 AutoDiscovery。
  2. 选择并配置注册方法。请参阅支持的注册方法。
  3. 配置 Windows 桌面和平板电脑设备策略。
  4. 用户注册 Windows 10 和 Windows 11 设备。
  5. 设置设备和应用程序安全操作。请参阅安全操作。
有关支持的操作系统，请参阅支持的设备操作系统。
Related information
设备管理

支持的注册方法

您可以在注册配置文件中指定如何管理 Windows 10 和 Windows 11 设备。有两个选项可用：
  • 完全托管（MDM 注册）
  • 不管理设备（无 MDM 注册）
要配置 Windows 10 和 Windows 11 设备的注册设置，请转至 配置 > 注册配置文件 > Windows。有关注册配置文件的更多信息，请参阅注册配置文件。
Windows 注册配置文件页面
下表列出了 Citrix Endpoint Management 支持的 Windows 10 和 Windows 11 设备注册方法：
方法 受支持
Azure 活动目录注册 是
自动发现服务注册 是
Windows 批量注册 是
手动注册 是
注册邀请 否
注意：
  • 手动注册要求用户输入 Citrix Endpoint Management 服务器的完全限定域名 (FQDN)。我们不建议使用手动注册。相反，请使用其他方法来简化用户的注册过程。
  • 您无法向 Windows 设备发送注册邀请。Windows 用户直接通过其设备进行注册。

配置 Windows 桌面和平板电脑设备策略

使用这些策略配置 Citrix Endpoint Management 如何与运行 Windows 10 或 Windows 11 的桌面和平板设备交互。此表列出了适用于 Windows 桌面和平板设备的所有设备策略。
应用程序配置 应用程序清单 应用程序锁定
应用程序卸载 应用程序防护 BitLocker
凭据 自定义 XML 防御者
设备防护 设备运行状况证明 交换
防火墙 信息亭 网络
办公 操作系统更新 密码
限制 商店 条款和条件
VPN Web 剪辑 Windows 代理
Windows GPO 配置 Windows Hello 企业版

通过 Azure Active Directory 注册 Windows 10 和 Windows 11 设备

重要提示：
在用户注册之前，您必须在 Azure 中配置 Azure Active Directory (AD) 设置，然后配置 Citrix Endpoint Management。有关详细信息，请参阅将 Citrix Endpoint Management 连接到 Azure AD。
Windows 10 和 Windows 11 设备可以通过 Azure 注册，作为 AD 身份验证的联合方式。此注册需要 Azure AD Premium 订阅。
您可以使用以下任一方法将 Windows 10 和 Windows 11 设备加入 Microsoft Azure AD：
  • 对于公司拥有的设备：
    • 首次启动设备时，在将设备加入 Azure AD 时注册 MDM。在此场景中，用户按照本文所述完成注册：<https://docs.microsoft.com/zh-cn/azure/active-directory/devices/azuread-joined-devices-frx>。
      对于使用此方法注册的 Windows 设备，您可以使用 Windows AutoPilot 设置和预配置设备。有关详细信息，请参阅使用 Windows AutoPilot 设置和配置设备。
    • 配置设备后，从 Windows 的“设置”页面将设备加入 Azure AD 时注册 MDM。在此场景中，用户按照配置设备后加入 Azure AD 时注册 MDM中所述完成注册。
  • 对于个人设备（BYOD 或移动设备）：
    • 在将 Microsoft 工作帐户添加到 Windows 时注册到 Azure AD 时注册 MDM。在此场景中，用户按照注册到 Azure AD 时注册 MDM中所述完成注册。

配置设备后加入 Azure AD 时注册 MDM

  1. 在设备上，从“开始”菜单导航到“设置 > 帐户 > 访问工作或学校”，然后单击“连接”。
  2. 在“设置工作或学校帐户”对话框中，在“备用操作”下，单击“将此设备加入 Azure Active Directory”。
  3. 输入 Azure AD 凭据，然后单击“登录”。
  4. 接受组织要求的条款和条件。
    • 如果用户单击“拒绝”，则设备既不会加入 Azure AD，也不会注册到 Citrix Endpoint Management。
  5. 单击“加入”以继续注册过程。
  6. 单击“完成”以完成注册过程。

在注册到 Azure AD 时注册到 MDM

  1. 在设备上，从“开始”菜单导航到“设置 > 帐户 > 访问工作或学校”，然后单击“连接”。
  2. 在“设置工作或学校帐户”对话框中，输入 Azure AD 凭据，然后单击“登录”。
  3. 接受组织要求的条款和条件。设备将注册到 Azure AD 并注册到 Citrix Endpoint Management。
    • 如果用户单击“拒绝”，设备将注册到 Azure AD，但不会注册到 Citrix Endpoint Management。帐户上没有“信息”按钮。
  4. 单击“加入”以继续注册过程。
  5. 单击“完成”以完成注册过程。

使用 AutoDiscovery 服务注册 Windows 设备

要为 Windows 设备配置 AutoDiscovery 服务，请请求 Citrix 技术支持以获取帮助。有关详细信息，请参阅请求 Windows 设备的 AutoDiscovery。
注意：
对于要注册的 Windows 设备，SSL 侦听器证书必须是公共证书。自签名 SSL 证书的注册将失败。
用户执行以下步骤来完成注册：
  1. 在设备上，从“开始”菜单导航到“设置 > 帐户 > 访问工作或学校”，然后单击“仅注册到设备管理”。
  2. 在“设置工作或学校帐户”对话框中，输入公司电子邮件地址，然后单击“下一步”。
    要以本地用户身份注册，请输入一个不存在但具有正确域名（例如，foo@mydomain.com）的电子邮件地址。此步骤允许用户绕过一个已知的 Microsoft 限制，即 Windows 上的内置设备管理执行注册。在“连接到服务”对话框中，输入与本地用户关联的用户名和密码。然后设备会找到 Citrix Endpoint Management 服务器并开始注册过程。
  3. 输入凭据，然后单击“继续”。
  4. 在使用条款对话框中，同意管理设备，然后单击接受。
如果域策略禁用 MDM 注册，则通过 AutoDiscovery 服务注册已加入域的 Windows 设备会失败。用户可以改用以下任一方法：
  • 将设备从域中删除、注册，然后重新加入。
  • 输入 Citrix Endpoint Management 服务器的 FQDN 以继续。

Windows 批量注册

通过 Windows 批量注册，您可以为 MDM 服务器设置许多设备进行管理，而无需重新映像设备。您可以使用预配包对 Windows 10 和 Windows 11 桌面和笔记本电脑设备进行批量注册。有关信息，请参阅批量注册 Windows 设备。

安全操作

Windows 10 和 Windows 11 设备支持以下安全操作。有关每个安全操作的说明，请参阅安全操作。
定位 锁定 重新启动
吊销 选择性擦除 擦除

将 思杰端点管理 连接到 Azure 活动目录

Windows 10 和 Windows 11 设备可以注册到 Azure。在 Azure AD 中创建的用户可以访问这些设备。Citrix Endpoint Management 作为 MDM 服务部署在 Microsoft Azure 中。将 Citrix Endpoint Management 连接到 Azure AD 后，用户在将设备注册到 Azure AD 时，可以自动将其设备注册到 Citrix Endpoint Management。
要将 Citrix Endpoint Management 连接到 Azure AD，请执行以下步骤：
  1. 在 Azure 门户中，导航到 Azure Active Directory > 移动性 (MDM 和 MAM) > 添加应用程序，然后单击本地 MDM 应用程序。
  2. 为应用程序提供一个名称，然后单击添加。
  3. （可选）Azure 不允许将未经验证的域（例如 cloud.com）用于 IdP 配置。如果您的 Citrix Endpoint Management 注册 FQDN 包含 cloud.com，请联系 Citrix 支持并向他们提供 Azure 中的 TXT 记录。Citrix 支持将验证子域，以便您可以继续配置。如果您的 FQDN 位于您自己的域下，则可以在 Azure 中正常验证它。
  4. 选择您创建的应用程序，配置以下内容，然后单击保存。
    • MDM 用户范围。选择所有。
    • MDM 使用条款 URL。输入格式为 https://<Citrix Endpoint Management Enrollment FQDN>:8443/zdm/wpe/tou。
    • MDM 发现 URL。输入格式为 https:// <Citrix Endpoint Management Enrollment FQDN>:8443/zdm/wpe。
  5. 单击本地 MDM 应用程序设置。
    • 在属性窗格中，将 APP ID URI 设置为 https:// < Citrix Endpoint Management Enrollment FQDN>:8443 格式。此 App ID URI 是一个唯一 ID，不能在任何其他应用程序中再次使用。
    • 在所需权限窗格中，选择 Microsoft Graph 和 Windows Azure Active Directory。
    • 在密钥窗格中，创建身份验证密钥。单击保存以查看密钥值。密钥值仅显示一次。保存密钥以备后用。您在步骤 7 中需要此密钥。
  6. 在 Citrix Endpoint Management 控制台中，转到设置 > 身份提供程序 (IDP)，然后单击添加。
  7. 在发现 URL 页面上，配置以下内容，然后单击下一步。
    • IDP 名称。输入一个唯一名称以标识您正在创建的 IdP 连接。
    • IDP 类型。选择 Azure Active Directory。
    • 租户 ID。Azure 中的目录 ID。在 Azure 中导航到 Azure Active Directory > 属性时会看到它。
  8. 在 Windows MDM 信息页面上，配置以下内容，然后单击下一步。
    • 应用程序 ID URI。您在 Azure 中键入的应用程序 ID URI 值。
    • 客户端 ID。您在 Azure 的属性窗格中看到的应用程序 ID。
    • 密钥。您在前面的步骤 4 中创建并保存的密钥值。
  9. 在 IDP 声明使用页面上，配置以下内容，然后单击下一步。
    • 用户标识符类型。选择 userPrincipalName。
    • 用户标识符字符串。输入 ${id_token}.upn。
  10. 点击 保存。
  11. 将 Azure AD 用户添加为本地用户，并将其分配给本地用户组。
  12. 创建一个条款和条件设备策略以及一个包含该本地用户组的交付组。

与 Workspace Environment Management™ 集成时的设备管理

仅使用 Workspace Environment Management (WEM) 无法进行 MDM 部署。仅使用 Citrix Endpoint Management，您只能管理 Windows 10 和 Windows 11 设备。通过集成两者，WEM 可以访问 MDM 功能，并且您可以通过 Citrix Endpoint Management 管理更广泛的 Windows 操作系统。这种管理形式是配置 Windows GPO。目前，管理员将 ADMX 文件导入 Citrix Endpoint Management 并将其推送到 Windows 10 和 Windows 11 桌面和平板电脑以配置特定应用程序。使用 Windows GPO 配置设备策略，您可以配置 GPO 并将更改推送到 WEM 服务。然后，WEM 代理将 GPO 应用到设备及其应用程序。
MDM 管理不是 WEM 集成的要求。WEM 支持的任何设备都可以将 GPO 配置推送到其上，即使 Citrix Endpoint Management 不原生支持该设备。
有关支持的设备列表，请参阅操作系统要求。
接收 Windows GPO 配置设备策略的设备在名为 WEM 的新 Citrix Endpoint Management 模式下运行。在已注册设备的“管理 > 设备”列表中，WEM 管理的设备的“模式”列显示“WEM”。
有关详细信息，请参阅 Windows GPO 配置设备策略。

BitLocker 恢复密钥

使用 BitLocker 加密磁盘是一项有用的安全功能。但是，如果用户丢失了 BitLocker 恢复密钥，解锁设备可能会很困难。Citrix Endpoint Management 现在可以自动安全地为用户保存 BitLocker 恢复密钥。用户可以在自助服务门户上找到其 BitLocker 恢复密钥。要启用和查找 BitLocker 恢复密钥，请执行以下操作：
  1. 在 Citrix Endpoint Management 控制台中，导航到“设置 > 服务器属性”。
  2. 搜索 shp 并启用 shp.console.enable 功能。确保 enable.new.shp 保持禁用状态。有关启用自助服务门户的详细信息，请参阅配置注册安全模式。
  3. 导航到“配置 > 设备策略”。找到您的 BitLocker 策略或创建一个新策略，然后启用“将 BitLocker 恢复备份到 Citrix Endpoint Management”设置。
解锁设备时，最终用户会看到一条消息，要求他们输入密钥。该消息还会显示恢复密钥 ID。
BitLocker 恢复消息
要查找其 BitLocker 恢复密钥，用户请导航到自助服务门户。
  1. 在“常规”详细信息下，查看“BitLocker 恢复数据”。
    • 恢复密钥 ID： 用于加密磁盘的 BitLocker 恢复密钥的标识符。此 ID 必须与上一条消息中提供的密钥 ID 匹配。
    • 恢复密钥： 用户必须输入此密钥才能解锁其磁盘。在解锁提示符处输入此密钥。 自助服务门户上的 BitLocker 恢复密钥
有关 BitLocker 设备策略的详细信息，请参阅 BitLocker 设备策略。