托管配置策略

Last published : Oct 21, 2026
托管配置设备策略控制各种应用程序配置选项和应用程序限制。您为要控制的每个 Android Enterprise 应用程序创建此策略。
应用程序开发人员定义了应用程序可用的选项和工具提示。如果工具提示提及使用“模板化值”，请改用相应的 Citrix Endpoint Management 宏。有关详细信息，请参阅 远程配置概述（在 Android 开发者网站上）和 宏。
应用程序配置设置可以包括以下各项：
  • 电子邮件应用程序设置
  • 允许或阻止 Web 浏览器的 URL
  • 通过蜂窝连接或仅通过 Wi-Fi 连接控制应用程序内容同步的选项
有关应用程序中显示的设置的信息，请联系应用程序开发人员。
注意：
适用于 Android 的 Citrix SSO 现已更名为 Citrix Secure Access。我们正在更新文档以反映此名称更改。
Related information
设备策略

先决条件

要添加或配置此策略，请转到 配置 > 设备策略。有关详细信息，请参阅 设备策略。

每应用 VPN 的要求

要为 AE 创建每应用 VPN，除了配置托管配置设备策略外，您还需要执行额外的步骤。此外，您必须验证是否满足以下先决条件：
  • 本地 NetScaler Gateway
  • 设备上安装了以下应用程序：
    • Citrix 单点登录
    • Citrix 安全中心
为 AE 设备配置按应用 VPN 的一般工作流程如下：
  1. 按照本文所述配置 VPN 配置文件。
  2. 配置 Citrix ADC 以接受来自按应用 VPN 的流量。有关详细信息，请参阅 (/zh-cn/citrix-gateway/current-release/vpn-user-config/configure-full-vpn-setup.html)。

限制

由于 Android 11 中引入的软件包可见性限制，Android 11+ 设备上的 Android Enterprise 环境中按应用 VPN 存在以下限制：
  • 如果在 VPN 会话启动后，将属于允许/拒绝列表中的应用程序部署到设备，则最终用户必须重新启动 VPN 会话，以便该应用程序通过 VPN 会话路由其流量。
  • 如果通过始终开启的 VPN 会话使用按应用 VPN，则在设备上安装新应用程序后，最终用户必须重新启动工作资料或重启设备，以便应用程序的流量通过 VPN 会话路由。
注意：
如果您使用的是 Citrix SSO for Android 23.8.1 或更高版本，则这些限制不适用。有关详细信息，请参阅 Always On VPN 的自动重启。

安卓企业版设置

选择添加托管配置设备策略后，将出现一个选择应用程序的提示。如果 Citrix Endpoint Management 中没有添加 Android Enterprise 应用程序，则无法继续。
选择应用程序后，配置策略设置。这些设置特定于每个应用程序。
设备策略配置屏幕

为 Android Enterprise 配置 VPN 配置文件

使用托管配置设备策略，通过 Citrix SSO 应用使 VPN 配置文件可用于 Android Enterprise 设备。
首先，将 Citrix SSO 作为 Google Play 商店应用添加到 Citrix Endpoint Management 控制台。请参阅 添加公共应用商店应用。
控制台中的 SSO 应用(/en-us/citrix-endpoint-management/media/citrixsso-app-added.png)
观看此视频了解更多信息：
(https://www.youtube.com/watch?v=wcsTKsfjFmc)[(/en-us/citrix-endpoint-management/media/shared-video-placeholder.png)]

为 Citrix SSO 创建 Android Enterprise 托管配置

为 Citrix SSO 配置托管配置设备策略以创建 VPN 配置文件。已安装 Citrix SSO 应用并部署了策略的设备可以访问您创建的 VPN 配置文件。
如果满足以下条件，Citrix Endpoint Management 将使用设备密钥库中的用户证书：
  • NetScaler Gateway 配置为基于证书的身份验证。
  • 在 Citrix Endpoint Management 页面 设置 > NetScaler Gateway 中启用了交付用户证书以进行身份验证。
您需要 NetScaler Gateway FQDN 和端口。
  1. 在 Citrix Endpoint Management 控制台中，单击配置 > 设备策略。单击添加。
  2. 选择 Android Enterprise。单击托管配置。
    选择 Android Enterprise 策略(/en-us/citrix-endpoint-management/media/select-ae-managed-configuration-policy.png)
  3. 当选择应用程序 ID 窗口出现时，从列表中选择 Citrix SSO，然后单击确定。
    选择应用程序 ID 窗口
  4. 为您的 Citrix SSO VPN 配置键入名称和描述。单击 下一步。
    Android Enterprise 托管配置向导
  5. 配置 VPN 配置文件参数。
    • VPN 配置文件名称： 为 VPN 配置文件键入一个名称。如果您要创建多个 VPN 配置文件，请为每个配置文件使用唯一的名称。如果您不提供名称，则您在 服务器地址 字段中输入的地址将用作 VPN 配置文件名称。
    • 服务器地址(*): 键入您的 NetScaler Gateway FQDN。如果您的 NetScaler Gateway 端口不是 443，请同时键入您的端口。使用 URL 格式。例如，https://gateway.mycompany.com:8443。
    • 用户名（可选）： 提供最终用户用于向 NetScaler Gateway 进行身份验证的用户名。您可以将 Citrix Endpoint Management 宏 {user.username} 用于此字段。（请参阅 宏。）如果您不提供用户名，则当用户连接到 NetScaler Gateway 时，系统会提示他们提供用户名。
    • 密码（可选）： 提供最终用户用于向 NetScaler Gateway 进行身份验证的密码。如果您不提供密码，则当用户连接到 NetScaler Gateway 时，系统会提示他们提供密码。
    • 证书别名（可选）： 键入证书别名。证书别名使应用程序更容易访问证书。当相同的证书别名与凭据设备策略一起使用时，应用程序会检索证书并对 VPN 进行身份验证，而无需用户执行任何操作。
    • 网关证书固定（可选）： 描述用于 NetScaler Gateway 的证书固定的 JSON 对象。示例值：{"hash-alg" : "sha256", "pinset" : ["AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=", "BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB="]}。有关详细信息，请参阅 使用 Android Citrix SSO 进行 NetScaler Gateway 证书固定。
    • 每应用 VPN 类型（可选）： 如果您正在使用每应用 VPN 来限制哪些应用使用此 VPN，则可以配置此设置。如果您选择 允许，则 每应用 VPN 应用列表 中列出的应用包的网络流量将通过 VPN 路由。所有其他应用的流量将路由到 VPN 外部。如果您选择 不允许，则 每应用 VPN 应用列表 中列出的应用包的网络流量将路由到 VPN 外部。所有其他应用的流量将通过 VPN 路由。默认值为 允许。
    • 每应用 VPN 应用列表： 一个应用列表，其流量在 VPN 上是允许还是阻止，具体取决于 每应用 VPN 类型 的值。列出用逗号或分号分隔的应用包名称。应用包名称区分大小写，并且必须与它们在 Google Play 商店中显示的名称完全一致。此列表是可选的。如果为空，则表示配置设备范围的 VPN。
    • 默认 VPN 配置文件： 键入当用户在 Citrix SSO 应用中点击连接开关而不是特定配置文件时要使用的 VPN 配置文件名称。如果此字段留空，则主配置文件将用于连接。如果只配置了一个配置文件，则将其标记为默认配置文件。对于始终开启的 VPN，此字段必须设置为用于建立始终开启的 VPN 的 VPN 配置文件名称。
    • 始终开启的 VPN（可选）： 此属性指示 VPN 配置文件是否配置为始终开启的 VPN 配置文件。当设置为 true 时，表示该 VPN 配置文件是始终开启的 VPN 配置文件。默认值为 false。此属性只能分配给主 VPN 配置文件。启用此属性对于确保始终开启的 VPN 的可靠运行至关重要。
    • 禁用用户配置文件： 如果此设置为“开”，则用户无法在其设备上创建自己的 VPN。如果此设置为“关”，则用户可以在其设备上创建自己的 VPN。默认值为“关”。
    • 阻止不受信任的服务器： 在以下任一情况下，此设置处于“关闭”状态：
      • 当您为 NetScaler Gateway 使用自签名证书时
      • 当颁发 NetScaler Gateway 证书的 CA 的根证书不在系统 CA 列表中时。
      如果此设置处于“开启”状态，Android 操作系统将验证 NetScaler Gateway 证书。如果验证失败，则不允许连接。默认值为“开启”。
    Android Enterprise 托管配置向导
  6. （可选）创建自定义参数。支持自定义参数 XenMobileDeviceId 和 UserAgent。选择当前 VPN 配置，然后单击“添加”。
    Android Enterprise 托管配置向导
    参数名称 描述 值
    XenMobileDeviceId 此字段是用于根据设备在 Citrix Endpoint Management 中的注册情况进行网络访问检查的设备 ID。如果 Citrix Endpoint Management 注册并管理设备，则允许 VPN 连接。否则，在建立 VPN 时将拒绝身份验证。 为了让 Citrix Endpoint Management 确定设备的注册和管理状态，XenMobileDeviceID 的值设置为 DeviceID_${device.id}。
    UserAgent 此文本附加到 User-Agent HTTP 标头，用于对 NetScaler Gateway 进行额外检查。Citrix SSO 应用程序在与 NetScaler Gateway 通信时，会将此文本的值附加到 User-Agent HTTP 标头。 键入要附加到 User-Agent HTTP 标头的文本。此文本必须符合 HTTP User-Agent 规范。
    EnableDebugLogging 在 Citrix SSO 应用程序上启用调试日志记录，以帮助排查 Always On VPN 情况下的 VPN 连接问题。您可以在任何一个托管 VPN 配置中启用它。调试日志记录在处理托管配置时生效。 True：启用调试日志记录。默认值：False
    DisableLogoutFromStoreOnExplicitDisconnect 控制当最终用户从应用程序 UI 显式断开 VPN 会话时是否从商店注销。仅适用于 Citrix Secure Private Access 部署。 True：禁用从 Secure Private Access 商店注销，并保持 Secure Private Access 会话完整，仅断开 Citrix Secure Access 应用程序会话。默认值：False。
    Android Enterprise 托管配置向导
    要创建另一个自定义参数，请再次单击添加。
  7. （可选）创建更多 VPN 配置文件配置。单击配置列表下的添加。新配置将显示在列表中。选择新配置并重复步骤 5，以及（可选）步骤 6。
    Android Enterprise 托管配置向导
  8. 创建完所有所需的 VPN 配置文件后，单击下一步。
  9. 为 Citrix SSO 配置此托管配置的部署规则。
  10. 点击 保存。
此 Citrix SSO 托管配置现在显示在您已配置的设备策略列表中。
要为您配置的 VPN 配置文件启用始终开启，请设置 (/zh-cn/citrix-endpoint-management/policies/options-policy.html#android-enterprise-settings)。
注意：
Android Enterprise 的始终开启 VPN 需要 Citrix Secure Hub 19.5.5 或更高版本。

从设备访问 VPN 配置文件

要访问您创建的 VPN 配置文件，Android Enterprise 用户需从托管的 Google Play 商店安装 Citrix SSO。
您配置的 VPN 配置文件会显示在应用程序的托管连接区域。用户点击 VPN 配置文件即可使用该 VPN 配置文件进行连接。
设备上 SSO 应用程序的托管连接区域(/en-us/citrix-endpoint-management/media/citrixsso-user-device-1.png)
用户通过身份验证并连接后，VPN 配置文件旁边会出现一个复选标记。密钥图标表示 VPN 已连接。

使用 Zebra OEMConfig 管理斑马 Android 设备

使用 Zebra Technologies OEMConfig 管理工具管理斑马 Android 设备。有关 Zebra OEMConfig 应用程序的信息，请参阅 Zebra Technologies 网站。
Citrix Endpoint Management 支持 Zebra OEMConfig 9.2 及更高版本。有关在设备上安装 Zebra OEMConfig 的系统要求信息，请参阅 Zebra Technologies 网站上的 OEMConfig 设置。
我们目前支持以下斑马设备：
  • EC50、EC55、ET56
  • TC52x, TC52x-HC
  • TC52ax, TC52ax-HC
  • TC57x
开始：在 Citrix Endpoint Management 控制台中，将 Zebra OEMConfig 应用程序添加为 Google Play 商店应用程序。请参阅 添加公共应用商店应用程序。

为 Zebra OEMConfig 应用程序创建 Android Enterprise 托管配置

为 Zebra OEMConfig 应用程序配置托管配置设备策略。该策略适用于已安装 Zebra OEMConfig 应用程序并已部署策略的斑马设备。
  1. 在 Citrix Endpoint Management 控制台中，单击 配置 > 设备策略。单击 添加。
  2. 选择 Android Enterprise。单击 托管配置。
    选择 Android Enterprise 策略(/en-us/citrix-endpoint-management/media/select-ae-managed-configuration-policy.png)
  3. 当出现“选择应用程序 ID”窗口时，从列表中选择 ZebraOEMConfig powered by MX，然后单击 确定。
  4. 为您的 Zebra OEMConfig 配置键入名称和描述。单击 下一步。
  5. 为 Zebra OEMConfig 配置键入名称。
  6. 配置可用参数。例如：
    • 要禁用设备正面的摄像头，请选择 摄像头配置 并将 前置摄像头使用 设置为 关闭。
    • 要更改设备时间格式，请选择 时钟配置 并将 时间格式 设置为 12（12 小时制）或 24（24 小时制）。
有关所有可用配置的列表和说明，请参阅 Zebra Technologies 网站上的 Zebra 托管配置。
  1. （可选）创建更多 Zebra OEMConfig 配置。在配置列表下单击 添加。新配置将显示在列表中。选择新配置并配置参数。
  2. 创建完所有所需的 Zebra OEMConfig 配置后，单击 下一步。
  3. 为 Zebra OEMConfig 的此托管配置配置部署规则。
  4. 点击 保存。

使用预定义书签管理 Chrome 浏览器

以下是使用预定义书签管理 Chrome 浏览器的示例：
[

{ "toplevel_name": "My managed bookmarks folder" }
,

{ "name": "Google", "url": "[google.com|http://google.com/]" }
,

{ "name": "Youtube", "url": "[youtube.com|http://youtube.com/]" }
,
{
"nested_links": [

{ "name": "Chromium", "url": "[chromium.org|http://chromium.org/]" }
,

{ "name": "Chromium Developers", "url": "[dev.chromium.org|http://dev.chromium.org/]" }
],
"name": "Chrome links"
}
]

支持托管配置反馈 (技术预览版)

有关支持托管配置反馈功能的更多信息，请参阅支持托管配置反馈。