与 Microsoft Office 365 的现代身份验证

Last published : Oct 24, 2026
Secure Mail 支持通过 Microsoft Office 365 进行现代身份验证，适用于 Active Directory 联合身份验证服务 (AD FS) 或身份提供程序 (IDP)。现代身份验证是基于 OAuth 令牌的身份验证，使用用户名和密码。使用 iOS 设备的 Secure Mail 用户在连接到 Office 365 时可以利用基于证书的身份验证。当他们登录 Secure Mail 时，用户通过使用客户端证书进行身份验证，而不是输入其凭据。
在继续之前，请执行以下操作：
  1. 为 Microsoft Office 365 启用现代身份验证 (OAuth)。
  2. 在防火墙中启用 Office 365 端点、URL 和 IP 地址范围，以确保最佳网络连接。有关详细信息，请参阅 Microsoft 文档中的 Office 365 URL 和 IP 地址范围。
注意：
Related information
配置 Secure Mail

Citrix Endpoint Management™ 策略先决条件

在 Citrix Endpoint Management 控制台中启用以下策略：
对于运行 iOS 的设备：
  • Office 365 身份验证机制： 使用此策略指示在 Office 365 上配置帐户时用于身份验证的 OAuth 机制。此策略具有以下必须配置的值：
    • 不使用 OAuth： 在帐户配置期间，使用此策略进行基本身份验证。
    • 将 OAuth 与用户名和密码结合使用： 在身份验证期间，使用此策略进行 OAuth 协议。用户必须提供其用户名和密码，并且可以选择提供多重身份验证代码以进行 OAuth 流程。
    • 将 OAuth 与客户端证书结合使用： 如果 Office 365 配置为执行基于证书的身份验证，请使用此策略。默认配置为“不使用 OAuth”。
对于运行 Android 的设备：
  • 用于 O365 的现代身份验证： 在身份验证期间，将此策略用于 OAuth 协议。
  • 用于隧道的 Web SSO 策略： 使用此策略通过隧道 – Web SSO 隧道传输 OAuth 流量。为此：
    • 将用于隧道的 Web SSO 策略设置为开。
    • 在网络访问策略中选择隧道 – Web SSO 选项。
      注意：
      有关启用 STA 的信息，请参阅通过 STA 连接到邮件服务器。
    • 从后台服务策略中排除任何与 OAuth 相关的主机名。
iOS 和 Android 设备通用策略：
  • 用于现代身份验证的自定义用户代理： 使用此策略更改现代身份验证的默认用户代理字符串。
  • 受信任的 Exchange Online 主机名： 使用此策略定义受信任的 Exchange Online 主机名列表，这些主机名在配置帐户时使用 OAuth 机制进行身份验证。这是一个逗号分隔的格式，例如 server.company.com, server.company.co.uk。此列表可以包含默认值或虚荣 URL，但不能为空。默认值为 outlook.office365.com。
  • 受信任的 AD FS 主机名： 使用此策略定义受信任的 AD FS 主机名列表，用于在 Office 365 OAuth 身份验证期间自动填充密码的网页。这是一个逗号分隔的格式，例如 sts.companyname.com, sts.company.co.uk。如果列表为空，Secure Mail 不会自动填充密码。Secure Mail 会将列出的主机名与 Office 365 身份验证期间遇到的网页主机名进行匹配，并检查该页面是否使用 HTTPS 协议。例如，当 sts.company.com 是列出的主机名且用户导航到 https://sts.company.com 时，如果页面包含密码字段，Secure Mail 会填充密码。默认值为 login.microsoftonline.com。
  • Office 365 Exchange Server： 使用此策略定义云上 Office 365 邮箱的主机名。主机名是单个值，例如 outlook.office365.com。默认值为 outlook.office365.com。
  • Secure Mail Exchange Server： 使用此策略定义您的 Exchange Server 地址。您可以根据需要使用此策略定义本地服务器地址或云服务器地址。
  • 配置 HTTP 451 重定向： 有关如何配置重定向的更多信息，请参阅知识中心文章 Secure Mail ActiveSync redirect 451。
在设备上刷新策略后，适用于 iOS 的 Secure Mail 现已启用现代身份验证。

Exchange Server 配置选项

您可以使用 outlook.office365.com 或 Microsoft 统一域 outlook.cloud.microsoft 配置 Secure Mail。

使用 outlook.office365.com 进行配置

要将 outlook.office365.com 配置为 Secure Mail Exchange Server，请执行以下操作：
  • 将 安全邮件 Exchange 服务器 设置为 outlook.office365.com。
  • 将 outlook.office365.com:443 添加到 后台网络服务。
  • 将 Trusted Exchange Online Hostnames 保留为默认值 outlook.office365.com。
  • 将 Office 365 Exchange Server 保留为默认值 outlook.office365.com。

使用 Microsoft 统一域 outlook.cloud.microsoft 进行配置

要将 outlook.cloud.microsoft 配置为 Secure Mail Exchange Server，请执行以下操作：
  • 将 Secure Mail Exchange 服务器 设置为 outlook.cloud.microsoft。
  • 将 outlook.cloud.microsoft:443 添加到 后台网络服务。
  • 将 outlook.cloud.microsoft 添加到 受信任的 Exchange Online 主机名。
  • 将 Office 365 Exchange Server 保留为默认值 outlook.office365.com。请勿将其替换为新域。

限制

  • 如果您的环境中使用现代身份验证，则 iOS 的富推送通知功能不可用。有关富推送通知的详细信息，请参阅 Secure Mail 的推送通知。
  • 运行基于证书的身份验证的设置不支持多个帐户。

Secure Mail 策略

以下两个表列出了根据您的 Exchange 基础结构所需的 Secure Mail 策略：
Exchange 基础结构 Office 365 身份验证机制/对 O365 使用现代身份验证 受信任的 AD FS Online 主机名 受信任的 Exchange Online 主机名
本地 关闭 不适用 不适用
混合* 开启 AD FS/IDP Outlook.office365.com 或自定义 URL
Exchange 在线 开 AD FS/IDP Outlook.office365.com 或自定义 URL
Exchange 基础架构 安全邮件 Exchange 服务器 后台网络服务 (iOS) 后台网络服务 (Android)
本地部署 Exchange 本地部署主机名 本地部署 本地部署
混合* 本地部署、Exchange Online 主机名 本地部署、本地 Exchange 主机名 本地部署、本地 Exchange 主机名、AD FS/IDP（仅限内部）
易捷在线 Outlook.office365.com Exchange Online 主机名 本地 Exchange 主机名、AD FS、IDP
*Secure Mail 支持具有已迁移邮箱的混合 Exchange 基础结构。
如果本地用户的邮箱迁移到 Exchange Online，Secure Mail 会自动检测此更改并提示用户进行现代身份验证，而无需重新配置其帐户。

支持 OAuth 的 Secure Mail 兼容性列表

下表列出了 iOS 和 Android 设备上 Secure Mail 的 OAuth 支持矩阵：
身份验证类型 IDP/外部 AD FS IDP/内部 AD FS 艾泽活动目录 英通
用户名和密码 是 是 是 是
客户端证书 是 仅限 Android 否 否