配置设备姿态全局设置

Last published : Oct 24, 2026
以下是一些您可以根据需要进行配置的全局设备姿态设置。
  • 通过事件驱动的姿态检查实现设备合规性(/zh-cn/device-posture/device-posture-global-settings.html#device-compliance-with-event-driven-posture-checks)
  • 定期扫描设备(/zh-cn/device-posture/device-posture-global-settings.html#periodic-scanning-of-devices)
  • 用于访问被拒绝场景的自定义消息(/zh-cn/device-posture/device-posture-global-settings.html#customized-messages-for-access-denied-scenarios)
  • 跳过设备姿态检查(/zh-cn/device-posture/device-posture-global-settings.html#skip-device-posture-checks)
  • 自定义工作区 URL 支持(/zh-cn/device-posture/device-posture-global-settings.html#custom-workspace-urls-support)
  • 结合设备姿态的会话录制配置(/zh-cn/device-posture/device-posture-global-settings.html#session-recording-configuration-with-device-posture)
  • 设备证书检查(/zh-cn/device-posture/device-posture-global-settings.html#device-certificate-check)
  • 配置允许的域列表(/zh-cn/device-posture/device-posture-global-settings.html#configure-the-list-of-allowed-domains)

通过事件驱动的姿态检查实现设备合规性

从 EPA Library 版本 24.11.1.1 开始，设备姿态引入了增强的检查，以评估设备的合规性。
添加了以下两种扫描，以提供对设备合规性更强的控制：
  • 外部设备已连接： 此扫描检测外部 USB 存储设备是否连接到端点。
  • 网络设置： 此扫描确定设备是否连接到受保护的 Wi-Fi 网络。
当发生以下任何事件时，设备姿态会重新评估设备的合规性状态：
  • 配置了外部设备连接扫描，并且插入或移除了外部 USB 存储设备。
  • 配置了网络设置扫描，并且检测到开放网络和受保护网络之间的切换。
  • 配置了Windows Defender 防火墙扫描，并且它已启用或禁用。
资源的访问权限会根据新的合规性状态进行更新。这确保了根据设备的实时合规性状态授予或撤销对资源的访问权限。
注意：
  • 事件驱动的姿态检查目前仅在适用于 Windows 版本 24.8.1.19 及更高版本的 Citrix Secure Access 客户端上受支持。
  • 尽管用户和管理员安装都可以利用姿态扫描，但基于事件的设备合规性实时重新评估需要管理员权限。
下图显示了在设备姿态管理控制台中配置的外部设备连接和网络设置扫描。
基于触发器的扫描

设备的定期扫描

您可以为配置的检查启用 Windows 设备每 30 分钟进行一次定期扫描。终端设备上的 EPA 客户端必须以管理员权限安装才能启用设备的定期扫描。要启用定期扫描，请执行以下操作：
  1. 导航到设备姿态 > 设备扫描，然后单击设置。
  2. 在定期设备姿态扫描部分中，将切换开关滑动到“开”以启用设备的定期扫描。
定期扫描
  • 对于 HTTP/HTTPS 应用程序，如果设备姿态扫描结果从 合规 变为 不合规 或 拒绝访问，则对资源的访问将根据新的合规状态进行更新。
  • 对于从 Citrix Secure Access 客户端启动的 TCP/UDP 应用程序，如果设备姿态扫描导致降级（例如从 合规 变为 不合规 或 拒绝访问），用户将收到通知，并在 5 分钟后终止活动会话。
设备降级

访问被拒绝场景的自定义消息

管理员可以自定义在访问被拒绝时显示在终端设备上的消息。
执行以下步骤以添加自定义消息：
  1. 导航到 设备姿态 > 设备扫描 页面。
  2. 单击 设置。
  3. 单击 编辑，然后在 消息 框中，输入在访问被拒绝场景中必须显示的消息。您最多可以输入 256 个字符。
  4. 单击 保存时启用自定义消息 以强制执行显示自定义消息的选项。如果您未选中此复选框，则会创建自定义消息，但不会在访问被拒绝场景中显示在设备上。
    或者，您可以在 设置 页面上启用 自定义消息 切换开关以在设备上显示消息。
  5. 单击 保存。
下图显示了管理员添加的示例消息。
自定义消息1
下图显示了当访问被拒绝时，最终用户设备上显示的自定义消息。
自定义消息2
当终端设备访问被拒绝时，您输入的消息将显示出来。

跳过设备姿态检查

管理员可以配置设备姿态检查自动跳过，或者允许最终用户在以下场景中跳过检查：
  • 设备上未安装 EPA 客户端。
  • 设备上安装的 EPA 客户端已过时。
启用跳过检查功能后，将强制执行默认策略结果（不合规），并将设备归类为不合规。最终用户将获得对 Citrix Secure Private Access™ 或 Citrix DaaS 资源的有限或受限访问权限。

启用跳过设备姿态检查

  1. 导航到 设备姿态 > 设备扫描。
  2. 单击 设置。
  3. 在 跳过设备姿态检查 部分，将切换开关滑动到“开”以启用跳过设备姿态检查，然后单击 编辑。
    跳过选项
  4. 选择以下选项之一：
    • 自动跳过检查 - 当 EPA 客户端缺失或过时时，系统会自动绕过姿态检查，从而简化了从没有 EPA 客户端的设备访问 Citrix Workspace 的用户的登录过程。
    • 可选跳过检查 - 当从没有 EPA 客户端的设备登录 Citrix Workspace 时，系统会提示用户通过单击 跳过姿态检查 来手动跳过姿态检查。
    当启用可选跳过检查选项且最终用户登录到 Citrix Workspace 时，当最终用户尝试下载客户端或升级 EPA 版本时，将显示以下消息。
    跳过检查消息
  5. 单击保存。

自定义工作区 URL 支持

设备状态服务支持自定义工作区 URL。除了您的 cloud.com URL 之外，您还可以使用您拥有的 URL 来访问工作区。确保您允许您的网络访问 citrix.com。有关自定义域的详细信息，请参阅配置自定义域。

会话录制与设备状态配置

会话录制允许组织录制虚拟会话中的屏幕用户活动。您可以在创建自定义会话录制策略、事件检测策略或事件响应策略时指定标签。有关示例，请参阅创建自定义录制策略。

设备证书检查

要使用设备状态服务配置设备证书检查，管理员必须从其设备导入颁发者证书。一旦设备状态服务中存在有效的颁发者证书，管理员就可以将设备证书检查用作设备状态策略的一部分。
注意事项：
  • 设备状态服务仅支持 PEM 颁发者证书类型。
  • 对于 Windows 上的设备证书检查，最终设备上的 EPA 客户端必须以管理员权限安装。对于其他检查，您不需要本地管理员权限。有关支持的扫描的详细信息，请参阅设备状态支持的扫描。
  • 要在 Windows 上以管理员权限安装 Endpoint Analysis 客户端，请在客户端下载的文件夹中，从提升的命令提示符运行命令 epasetup.exe /quiet。在 ARM64 设备上，请改为运行 epasetup_ARM64.exe /quiet。
  • 使用设备状态服务的设备证书检查不支持证书吊销检查。
  • 如果设备证书由中间证书签名，则必须将包含根证书和中间证书的完整链上传到单个 PEM 文件中。
    Example: chain.pem

    -----BEGIN CERTIFICATE-----
    ******************************
    -----END CERTIFICATE-----
    -----BEGIN CERTIFICATE-----
    ******************************
    -----END CERTIFICATE

上传设备证书

  1. 在设备姿态主页上，点击设置。
  2. 点击管理，然后点击导入颁发证书。
  3. 在证书类型中，选择证书类型。仅支持 PEM 类型。
  4. 在证书文件中，点击选择证书以选择颁发者证书。
  5. 点击打开，然后点击导入。
导入设备证书
所选证书列在设置 > 颁发者证书中。您可以导入多个证书。

查看已导入的证书

  1. 在设备姿态主页上，点击设置。
  2. 在颁发者证书中，点击管理。
  3. 颁发者证书页面列出了已导入的颁发者证书。
已导入的证书

配置设备证书检查扫描

  1. 配置设备姿态策略。有关详细信息，请参阅配置设备姿态策略。
  2. 添加设备证书检查的策略规则时，请同时指定“检查指纹”和“颁发者”条件。
重要提示：
如果您的环境中存在多个设备证书共享相同的颁发者名称，您必须启用“检查指纹”选项，以防止服务匹配错误的证书。如果未启用此选项，服务将仅按颁发者名称匹配证书，这可能会在存在重复颁发者名称时导致策略冲突。
检查指纹

在终端设备上安装设备证书

视窗：
  1. 从“开始”菜单，打开“计算机证书管理器”。
  2. 确保证书已安装在 Certificates - Local Computer\Personal\Certificates。
    • “预期用途”必须包括“客户端身份验证”。
    • “颁发者”列必须与管理 GUI 上配置的颁发者名称匹配。
安装证书
macOS：
  1. 打开“钥匙串访问”，然后选择“系统”。
  2. 单击“文件 > 导入项目”以导入证书。
    “颁发者”字段必须显示证书颁发者名称。
安装证书 macOS

配置允许的域列表

您可以配置 NetScaler Gateway 虚拟服务器的 FQDN，从中可以启动设备姿态服务扫描。
注意：
  • 此功能仅适用于 Secure Private Access 部署。
  • 要为您的 Secure Private Access 部署启用此功能，请联系 Citrix 支持。
  1. 导航到 设备姿态 > 设备扫描，然后单击 设置。
  2. 在 NetScaler Gateway URL 中，输入必须为其启用设备姿态检查的虚拟服务器的 FQDN。例如，https://gw.example.net。
设备姿态检查
有关此功能的示例用例，请参阅 为 Secure Private Access 混合解决方案启用设备姿态。
要在 NetScaler 上配置设备姿态扫描，请参阅 NetScaler Gateway 上的设备姿态检查。