适用于 Android 移动生产力应用程序的 MDX 策略

Last published : Oct 24, 2026
本文介绍了适用于 Android 应用程序的 MDX 策略。您可以在 Citrix Endpoint Management 控制台中更改策略设置。有关详细信息，请参阅 添加应用程序。
以下列表不包括 Secure Web 特有的 MDX 策略。有关 Secure Web 显示的策略的详细信息，请参阅 Secure Web 策略。
Related information
管理员任务和注意事项

身份验证

应用程序密码

如果设置为 开，则当应用程序启动或在一段时间不活动后恢复时，需要 PIN 或密码才能解锁应用程序。默认值为 开。
要为所有应用程序配置不活动计时器，请在 设置 选项卡上的 客户端属性 中以分钟为单位设置 INACTIVITY_TIMER 值。默认不活动计时器值为 60 分钟。要禁用不活动计时器，以便仅在应用程序启动时显示 PIN 或密码提示，请将值设置为零。
注意：
如果为“加密密钥”策略选择“安全脱机”，此策略将自动启用。

最长脱机时间（小时）

定义应用程序可以脱机运行的最长时间，无需网络登录即可重新确认授权和刷新策略。默认值为 168 小时（7 天）。最短时间为 1 小时。
在期限到期前 30、15 和 5 分钟，系统会提醒用户登录。到期后，应用程序将保持锁定状态，直到用户成功完成网络登录。

替代的 Citrix Gateway

注意：
此策略在 Endpoint Management 控制台中的名称为 备用 NetScaler® Gateway。
特定备用 Citrix Gateway（以前称为 NetScaler Gateway）的地址，用于身份验证以及与此应用程序的微型 VPN 会话。备用 NetScaler Gateway 是一个可选策略，当与“需要在线会话”策略一起使用时，会强制应用程序重新向特定网关进行身份验证。此类网关通常具有不同的（更高保障的）身份验证要求和流量管理策略。如果留空，则始终使用服务器的默认值。默认值为空。

设备安全性

阻止越狱或已获得 root 权限

如果设置为“开”，则当设备已越狱或已获得 root 权限时，应用程序将被锁定。如果设置为“关”，则即使设备已越狱或已获得 root 权限，应用程序也可以运行。默认值为“开”。

要求设备加密

如果设置为“开”，则如果设备未配置加密，应用程序将被锁定。如果设置为“关”，则即使设备未配置加密，应用程序也允许运行。默认值为“关”。
注意：
此策略仅在 Android 3.0 (Honeycomb) 上受支持。将策略设置为“开”会阻止应用程序在旧版本上运行。

要求设备锁定

如果选中“设备 PIN 或密码”，则如果设备没有 PIN 或密码，应用程序将被锁定。如果选中“设备图案屏幕锁定”，则如果设备没有设置图案屏幕锁定，应用程序将被锁定。如果设置为“关”，则即使设备没有设置 PIN、密码或图案屏幕锁定，应用程序也允许运行。默认值为“关”。
设备 PIN 或密码 需要最低版本为 Android 4.1 (Jelly bean)。将策略设置为“设备 PIN 或密码”会阻止应用程序在旧版本上运行。
在 Android M 设备上，“设备 PIN 或密码”和“设备图案屏幕锁定”选项具有相同的效果：无论选择其中哪个选项，如果设备没有设置 PIN、密码或图案屏幕锁定，应用程序都将被锁定。

网络要求

要求 Wi-Fi

如果设置为“开”，则当设备未连接到 Wi-Fi 网络时，应用程序将被锁定。如果设置为“关”，则如果设备具有活动连接（例如 4G/3G、LAN 或 Wi-Fi 连接），应用程序可以运行。默认值为“关”。

允许的 Wi-Fi 网络

允许的 Wi-Fi 网络的逗号分隔列表。如果网络名称包含任何非字母数字字符（包括逗号），则名称必须用双引号括起来。应用程序仅在连接到列出的其中一个网络时运行。如果留空，则允许所有网络。此值不影响蜂窝网络连接。默认值为空白。

杂项访问

应用程序更新宽限期（小时）

定义系统发现有可用应用程序更新后，应用程序可以使用的宽限期。默认值为 168 小时（7 天）。
注意：
不建议使用零，因为它会立即阻止正在运行的应用程序被使用，直到更新下载并安装完成（且不向用户发出任何警告）。此值可能导致用户被迫退出正在运行的应用程序（可能会丢失工作）以遵守所需的更新。

禁用强制升级

禁用用户在应用商店中升级到最新版本应用程序的要求。默认值为 ON。

锁定后擦除应用程序数据

应用程序锁定时擦除数据并重置应用程序。如果为 Off，则应用程序锁定时不会擦除应用程序数据。默认值为 Off。
应用程序可能因以下任何原因被锁定：
  • 用户失去应用程序授权
  • 应用程序订阅已删除
  • 帐户已删除
  • Secure Hub 已卸载
  • 应用程序身份验证失败次数过多
  • 检测到越狱设备（根据策略设置）
  • 设备因其他管理操作而处于锁定状态

活动轮询周期（分钟）

当应用程序启动时，MDX 框架会轮询 Citrix Endpoint Management 以确定当前应用程序和设备状态。假设可以访问运行 Endpoint Management 的服务器，该框架会返回有关设备的锁定/擦除状态以及应用程序的启用/禁用状态的信息。无论服务器是否可访问，都会根据活动轮询周期间隔安排后续轮询。周期到期后，将再次尝试新的轮询。默认值为 60 分钟（1 小时）。
重要提示：
仅对高风险应用程序将此值设置得更低，否则性能可能会受到影响。

加密

加密类型

允许您选择是由 MDX 还是设备平台处理数据加密。如果选择 MDX 加密，则 MDX 会加密数据。如果选择 带合规性强制的平台加密，则设备平台会加密数据。默认值为 MDX 加密。

不合规设备行为

允许您选择当设备不符合最低加密合规性要求时要执行的操作。选择 允许应用程序 以使应用程序正常运行。选择 警告后允许应用程序 以使应用程序在警告出现后运行。选择 阻止 以阻止应用程序运行。默认值为 警告后允许应用程序。

加密密钥

允许用于派生加密密钥的机密在设备上持久保存。仅允许脱机访问是唯一可用的选项。
Citrix 建议您将身份验证策略设置为启用网络登录或离线密码质询，以保护对加密内容的访问。

私有文件加密

控制以下位置中私有数据文件的加密：/data/data/\<appname> 和 /mnt/sdcard/Android/data/\<appname>。
禁用选项表示私有文件未加密。安全组选项使用同一安全组中所有 MDX 应用程序共享的密钥加密私有文件。应用程序选项使用此应用程序独有的密钥加密私有文件。默认值为安全组。

私有文件加密排除项

包含一个逗号分隔的文件路径列表。每个路径都是一个正则表达式，表示一个或多个加密文件。文件路径是相对于内部和外部沙盒的。默认值为空。
排除项仅适用于以下文件夹：
  • 内部存储：
    /data/data/<your_package_name>
  • SD 卡：
    /storage/emulated/\<SD Card Slot>/Android/data/<your_package_name>
    /storage/emulated/legacy/Android/data/<your_package_name>

示例

要排除的文件 私有文件加密排除项中的值
/data/data/com.citrix.mail/files/a.txt \^files/a.txt
/storage/emulated/0/Android/data/com.citrix.mail/files 中的所有文本文件 \^files/(.)+.txt$
/data/data/com.citrix.mail/files 中的所有文件 \^文件/

公共文件的访问限制

包含一个逗号分隔的列表。每个条目都是一个正则表达式路径，后跟 (NA)、(RO) 或 (RW)。与路径匹配的文件被限制为无访问权限、只读或读写访问权限。列表按顺序处理，第一个匹配的路径用于设置访问限制。默认值为空。
此策略仅在启用公共文件加密时强制执行（从禁用选项更改为安全组或应用程序选项）。此策略仅适用于现有未加密的公共文件，并指定何时加密这些文件。
要排除的文件 私有文件加密中的值
外部存储上的下载文件夹只读 EXT:\^Download/(RO)
虚拟存储上 Music 文件夹中的所有 MP3 文件无访问权限 VS:\^Music/(.)+.mp3$(NA)

公共文件加密

控制公共文件的加密。如果设置为“禁用”，则公共文件不加密。如果设置为“安全组”，则使用同一安全组中所有 MDX 应用程序共享的密钥加密公共文件。如果设置为“应用程序”，则使用此应用程序独有的密钥加密公共文件。
默认值为“安全组”。

公共文件加密排除项

包含一个逗号分隔的文件路径列表。每个路径都是一个正则表达式，表示一个或多个不加密的文件。文件路径是相对于默认外部存储和任何设备特定的外部存储的。
公共文件加密排除项仅包括外部文件夹位置。

示例

要排除的文件 公共文件加密排除项中的值
SD 卡上的下载文件夹 下载
音乐文件夹中的所有 MP3 文件 \^Music/(.)+.mp3$

公共文件迁移

此策略仅在启用公共文件加密策略（从“禁用”更改为“安全组”或“应用程序”）时强制执行。此策略仅适用于现有未加密的公共文件，并指定何时加密这些文件。默认值为“写入 (RO/RW)”。
“禁用”选项表示现有文件未加密。“写入 (只写/读写)”选项仅当以只写或读写访问方式打开现有文件时才对其进行加密。“任意”选项在任何模式下打开现有文件时都对其进行加密。选项：
  • 禁用。不加密现有文件。
  • 写入 (只写/读写)。仅当以只写或读写访问方式打开现有文件时才对其进行加密。
  • 任意。在任何模式下打开现有文件时都对其进行加密。
注意：
-新文件或被覆盖的现有未加密文件在任何情况下都会加密替换文件。 -加密现有公共文件会使该文件对没有相同加密密钥的其他应用程序不可用。

应用程序交互

安全组

如果您希望由 Citrix Endpoint Management™ 管理的所有移动应用程序相互交换信息，请将此字段留空。定义一个安全组名称，以管理特定应用程序集（例如，财务或人力资源）的安全设置。
注意：
如果您更改现有应用程序的此策略，用户必须删除并重新安装该应用程序才能应用策略更改。

剪切和复制

阻止、允许或限制此应用程序的剪贴板剪切和复制操作。如果设置为受限，则复制的剪贴板数据将放置在仅适用于 MDX 应用程序的专用剪贴板中。默认值为受限。

粘贴

阻止、允许或限制此应用程序的剪贴板粘贴操作。如果设置为受限，则粘贴的剪贴板数据将来源于仅适用于 MDX 应用程序的专用剪贴板。默认值为不受限。

文档交换 (打开方式)

阻止、允许或限制此应用的文档交换操作。如果设置为“受限”，则文档只能与其他 MDX 应用以及“受限打开方式例外列表”策略中指定的应用例外进行交换。如果设置为“不受限”，请将“私有文件加密”和“公共文件加密”策略设置为“已禁用”，以便用户可以在未封装的应用中打开文档。默认值为“受限”。

从筛选中排除的 URL 域

此策略用于将某些出站 URL 从 MDX 筛选中排除。以下逗号分隔的完全限定域名 (FQDN) 或 DNS 后缀列表将从任何 MDX 筛选中排除。如果此策略包含任何条目，则主机字段与列表中至少一个项目匹配（通过 DNS 后缀匹配）的 URL 将未经修改地发送到默认浏览器。默认值为空。

允许的安全 Web 域

此策略仅对未被 URL 筛选策略排除的域有效。添加一个逗号分隔的完全限定域名 (FQDN) 或 DNS 后缀列表，当文档交换受限时，这些域名或 DNS 后缀将重定向到 Secure Web 应用。
如果此策略包含任何条目，则只有主机字段与列表中至少一个项目匹配（通过 DNS 后缀匹配）的 URL 才会在文档交换受限时重定向到 Secure Web 应用。
所有其他 URL 都将发送到默认的 Android Web 浏览器（绕过“文档交换受限”策略）。默认值为空。

受限打开方式例外列表

当“文档交换 (打开方式)”策略设置为“受限”时，此 Android Intent 列表允许传递到非托管应用。需要熟悉 Android Intent 才能向列表中添加筛选器。筛选器可以指定操作、包、方案或任意组合。

示例

{action=android.intent.action.MAIN}
{package=com.sharefile.mobile}
{action=android.intent.action.DIAL scheme=tel}
{action=android.intent.action.VIEW scheme=msteams package=com.microsoft.teams}
注意
请务必考虑此策略的安全影响。例外列表允许内容在非托管应用和 MDX 环境之间传输。

入站文档交换 (打开方式)

阻止、限制或允许此应用的入站文档交换操作。如果设置为“受限”，则文档只能与其他 MDX 应用交换。默认值为“不受限”。
如果设置为“已阻止”或“受限”，您可以使用“入站文档交换白名单”策略来指定可向此应用发送文档的应用。有关其他策略交互的信息，请参阅“阻止图库”策略。
选项：无限制、已阻止或受限

入站文档交换白名单

当“入站文档交换”策略设置为受限或已阻止时，此逗号分隔的应用 ID 列表（包括非 MDX 应用）允许向该应用发送文档。此策略处于隐藏状态，无法编辑。

连接安全级别

确定连接使用的最低 TLS/SSL 版本。如果设置为 TLS，则连接支持所有 TLS 协议。如果设置为 SSLv3 和 TLS，则连接支持 SSL 3.0 和 TLS。默认值为 TLS。

应用限制

重要提示：
务必考虑阻止应用访问或使用手机功能的策略所带来的安全隐患。当这些策略设置为“关闭”时，内容可以在非托管应用和安全环境之间传输。

阻止相机

如果设置为“启用”，则阻止应用直接使用相机硬件。默认值为“启用”。

阻止图库

如果设置为“启用”，则阻止应用访问设备上的图库。默认值为“禁用”。此策略与“入站文档交换 (Open In)”策略协同工作。
  • 如果“入站文档交换 (Open In)”设置为“受限”，则在托管应用中工作的用户无法从图库附加图像，无论“阻止图库”设置如何。
  • 如果“入站文档交换 (Open In)”设置为“无限制”，则在托管应用中工作的用户会遇到以下情况：
    • 如果“阻止图库”设置为关闭，用户可以附加图像。
    • 如果“阻止图库”设置为开启，用户将无法附加图像。

阻止麦克风录音

如果设置为开启，则阻止应用直接使用麦克风硬件。默认值为开启。

阻止位置服务

如果设置为开启，则阻止应用使用位置服务组件（GPS 或网络）。Secure Mail 的默认值为关闭。

阻止短信撰写

如果设置为开启，则阻止应用使用用于从应用发送短信/文本消息的短信撰写功能。默认值为开启。

阻止屏幕捕获

如果设置为开启，则阻止用户在应用运行时进行屏幕捕获。此外，当用户切换应用时，会模糊应用屏幕。默认值为开启。
使用 Android 近场通信 (NFC) 功能时，某些应用会在传输内容之前截取自身的屏幕截图。要在封装应用中启用该功能，请将“阻止屏幕捕获”策略更改为关闭。

阻止设备传感器

如果设置为开启，则阻止应用使用设备传感器（例如加速计、运动传感器和陀螺仪）。默认值为开启。

阻止 NFC

如果设置为开启，则阻止应用使用近场通信 (NFC)。默认值为开启。

阻止应用日志

如果为“开”，则禁止应用使用移动生产力应用诊断日志记录功能。如果为“关”，则会记录应用日志，并且可以通过 Secure Hub 电子邮件支持功能进行收集。默认值为“关”。

阻止打印

如果为“开”，则阻止应用打印数据。如果应用具有“共享”命令，则必须将文档交换（打开方式）设置为“受限”或“已阻止”才能完全阻止打印。默认值为“开”。

启用 ShareFile

允许用户使用 ShareFile 传输文件。默认值为“开”。

应用网络访问

网络访问

注意：
“隧道式 - Web SSO”是设置中“安全浏览”的名称。行为相同。
设置选项如下：
  • 使用以前的设置：默认为您在早期策略中设置的值。如果更改此选项，则不得恢复为该选项。另请注意，新策略的更改在用户将应用升级到版本 18.12.0 或更高版本之前不会生效。
  • 已阻止：您的应用使用的网络 API 将失败。根据之前的指导原则，您必须妥善处理此类故障。
  • 无限制：所有网络调用都直接进行，不通过隧道。
  • 隧道式 - 完全 VPN：来自托管应用的所有流量都通过 Citrix Gateway 建立隧道。
  • 隧道式 - Web SSO：HTTP/HTTPS URL 会被重写。此选项仅允许 HTTP 和 HTTPS 流量的隧道传输。隧道式 - Web SSO 的一个显著优势是为 HTTP 和 HTTPS 流量提供单点登录 (SSO) 以及 PKINIT 身份验证。在 Android 上，此选项设置开销低，因此是 Web 浏览类型操作的首选选项。
如果选择其中一种隧道模式，则在此初始模式下会创建一个每应用 VPN 隧道，并将其连接回企业网络。此处使用 Citrix Gateway 分割隧道设置。Citrix 建议对使用客户端证书或端到端 SSL 连接到企业网络中资源的连接使用隧道式完整 VPN。Citrix 建议对需要单点登录 (SSO) 的连接使用隧道式 - Web SSO。

需要微型 VPN 会话

如果为是，则用户必须连接到企业网络并拥有活动会话。如果为否，则不需要活动会话。默认值为使用上一个设置。对于新上传的应用，默认值为否。在升级到此策略之前选择的任何设置都将保持有效，直到选择使用上一个设置以外的选项。

排除列表

以逗号分隔的 FQDN 或 DNS 后缀列表，这些 FQDN 或 DNS 后缀将直接访问，而不是通过 VPN 连接访问。此策略仅适用于 Citrix Gateway 配置为反向分割隧道模式时的隧道式 - Web SSO 模式。

阻止本地主机连接

如果为开，则不允许应用建立本地主机连接。本地主机是设备上本地通信的地址（例如 127.0.0.1）。本地主机绕过本地网络接口硬件并访问主机上运行的网络服务。如果为关，则此策略将覆盖网络访问策略，这意味着如果设备在本地运行代理服务器，应用可以连接到安全容器外部。默认值为关。

证书标签

与 StoreFront™ 证书集成服务一起使用时，此标签标识此应用所需的特定证书。如果未提供标签，则不会提供证书以用于公钥基础设施 (PKI)。默认值为空（不使用证书）。

应用日志

默认日志输出

确定 Citrix Endpoint Management 应用诊断日志记录工具默认使用的输出介质。可能的值为文件、控制台或两者。默认值为文件。

默认日志级别

控制移动生产力应用诊断日志记录工具的默认详细程度。级别数字越高，日志记录越详细。
  • 0 - 未记录任何内容
  • 1 - 严重错误
  • 2 - 错误
  • 3 - 警告
  • 4 - 信息性消息
  • 5 - 详细信息性消息
  • 6 到 15 - 调试级别 1 到 10
默认值为级别 4（信息性消息）。

最大日志文件数

限制移动生产力应用诊断日志记录工具在滚动更新前保留的日志文件数量。最小值为 2。最大值为 8。默认值为 2。

最大日志文件大小

限制移动生产力应用诊断日志记录工具在滚动更新前保留的日志文件大小（以 MB 为单位）。最小值为 1 MB。最大值为 5 MB。默认值为 2 MB。

重定向应用日志

如果设置为 On，则拦截并将来自应用的系统或控制台日志重定向到移动生产力应用诊断工具。如果此设置设置为 Off，则不会拦截应用对系统或控制台日志的使用。默认值为 On。

加密日志

如果为 开，Citrix Endpoint Management 会在记录诊断日志时对其进行加密。如果为 关，诊断日志在应用程序沙盒中保持未加密状态。
注意：
根据配置的日志级别，日志加密可能会对应用程序性能和电池续航时间产生显著影响。
默认值为 关。

应用程序地理围栏

中心点经度

应用程序受限运行的点/半径地理围栏中心点的经度（X 坐标）。当在配置的地理围栏之外运行时，应用程序将保持锁定状态。该值必须以带符号的度数格式 (DDD.dddd) 表示，例如“-31.9635”。西经必须以负号开头。默认值为 0。

中心点纬度

应用程序受限运行的点/半径地理围栏中心点的纬度（Y 坐标）。当在配置的地理围栏之外运行时，应用程序将保持锁定状态。
该值必须以带符号的度数格式 (DDD.dddd) 表示，例如“43.06581”。南纬必须以负号开头。默认值为 0。

半径

应用程序受限运行的地理围栏的半径。当在配置的地理围栏之外运行时，应用程序将保持锁定状态。 该值必须以米为单位表示。当设置为零时，地理围栏将被禁用。默认值为 0（禁用）。

分析

Google Analytics 详细信息

Citrix 收集分析数据以提高产品质量。选择“匿名”可选择不包含公司可识别信息。

应用设置

安全邮件 Exchange 服务器

Exchange 服务器的完全限定域名 (FQDN)，或者（仅限 iOS）IBM Notes Traveler 服务器的完全限定域名 (FQDN)。默认值为空。如果您在此字段中提供域名，用户将无法编辑它。如果将此字段留空，用户将提供自己的服务器信息。
注意：
如果您更改现有应用程序的此策略，用户必须删除并重新安装该应用程序才能应用策略更改。

Secure Mail 用户域

Exchange 用户或（仅限 iOS）Notes 用户的默认 Active Directory 域名。默认值为空。

后台网络服务

允许后台网络访问的服务地址的 FQDN 和端口。此值可以是 Exchange 服务器或 ActiveSync 服务器，位于您的内部网络中，或位于 Secure Mail 连接到的其他网络中，例如 mail.example.com:443。
如果您配置此策略，请将网络访问策略设置为隧道连接到内部网络。此策略在您配置网络访问策略时生效。当 Exchange 服务器位于您的内部网络中，并且您希望使用 NetScaler Gateway 代理连接到内部 Exchange 服务器时，请使用此策略。
默认值为空，这意味着后台网络服务不可用。

后台服务票证过期

后台网络服务票证保持有效的时间段。过期后，需要企业登录才能续订票证。默认值为 168 小时（7 天）。

后台网络服务网关

用于后台网络服务的备用网关地址，格式为 FQDN:port。此地址是 Secure Mail 用于连接到内部 Exchange 服务器的 Citrix Gateway FQDN 和端口号。在 Citrix Gateway 配置实用程序中，您必须配置安全票证颁发机构 (STA) 并将策略绑定到虚拟服务器。
默认值为空，表示不存在备用网关。
如果您配置此策略，请将“网络访问策略”设置为“隧道连接到内部网络”。此策略在您配置网络访问策略时生效。当 Exchange Server 位于您的内部网络中并且您希望使用 Citrix Gateway 代理连接到内部 Exchange Server 时，请使用此策略。

导出联系人

重要提示：
如果用户可以直接访问您的 Exchange Server（即在 Citrix Gateway 外部），请勿启用此功能。否则，联系人将在设备和 Exchange 中重复。
如果设置为“关”，则阻止 Secure Mail 联系人单向同步到设备，并阻止共享 Secure Mail 联系人（作为 vCard）。默认值为“关”。

要导出的联系人字段

控制要导出到通讯录的联系人字段。如果设置为“全部”，则导出所有联系人字段。如果设置为“姓名和电话”，则导出所有与姓名和电话相关的联系人字段。如果设置为“姓名、电话和电子邮件”，则导出所有与姓名、电话和电子邮件相关的联系人字段。默认值为“全部”。

接受所有 SSL 证书

如果设置为“开”，Secure Mail 将接受所有 SSL 证书（无论是否有效）并允许访问。如果设置为“关”，当发生证书错误时，Secure Mail 将阻止访问并显示警告。默认值为“关”。

使用安全连接

如果设置为“开”，Secure Mail 将使用安全连接。如果设置为“关”，Secure Mail 将不使用安全连接。默认值为“开”。

信息权限管理

如果设置为“开”，Secure Mail 将支持 Exchange 信息权限管理 (IRM) 功能。默认值为“关”。

控制锁定屏幕通知

控制邮件和日历通知是否显示在锁定的设备屏幕上。如果选择“允许”，则通知中包含的所有信息都会显示。如果选择“阻止”，则不显示通知。如果选择“电子邮件发件人或事件标题”，则仅显示电子邮件发件人的姓名或日历事件的标题。如果选择“仅计数”，则仅显示邮件和会议邀请的数量以及日历提醒的时间。默认值为“允许”。

默认同步间隔

指定 Secure Mail 的默认同步间隔。Secure Mail 用户可以更改默认值。
“Exchange ActiveSync 邮箱”策略设置“最大电子邮件保留期限筛选器”优先于此策略。如果您指定的默认同步间隔大于最大电子邮件保留期限筛选器，则将使用“最大电子邮件保留期限”筛选器设置。Secure Mail 仅显示小于“Active Sync 最大电子邮件保留期限”筛选器设置的同步间隔值。
默认值为“3 天”。

启用通过 Wi-Fi 下载附件

如果为“开”，则启用 Secure Mail 的“下载附件”选项，以便用户默认可以通过内部 Wi-Fi 网络下载附件。如果为“关”，则禁用 Secure Mail 的“下载附件”选项，以便用户默认无法通过 Wi-Fi 下载附件。默认值为“关”。

允许脱机文档

指定用户是否以及可以在设备上存储脱机文档多长时间。默认值为“无限制”。

启用电子邮件草稿自动保存

如果为“开”，则 Secure Mail 支持自动将邮件保存到“草稿”文件夹。默认值为“开”。

初始身份验证机制

此策略指示是使用 MDX 提供的邮件服务器地址填充首次使用预配屏幕上的“地址”字段，还是使用用户电子邮件地址。默认值为“邮件服务器地址”。

初始身份验证凭据

此策略定义必须选择的值作为用户名，以填充到初始首次使用预配屏幕中。默认值为“注册用户名”。

启用周数

如果设置为“开”，日历视图将包含周数。默认值为“关”。

电子邮件分类

如果设置为“开”，Secure Mail 支持 SEC（安全）和 DLM（传播限制标记）的电子邮件分类标记。分类标记在电子邮件标头中显示为 X-Protective-Marking values。请务必配置相关的电子邮件分类策略。默认值为“关”。

电子邮件分类标记

指定可供最终用户使用的分类标记。如果列表为空，Secure Mail 不会包含保护性标记列表。标记列表包含由分号分隔的值对。每对都包含在 Secure Mail 中显示的值以及在 Secure Mail 中附加到电子邮件主题和标头的标记值。例如，在标记对 "UNOFFICIAL,SEC=UNOFFICIAL;" 中，列表值为 “UNOFFICIAL”，标记值为 “SEC=UNOFFICIAL”。

电子邮件分类命名空间

指定所用分类标准在电子邮件标头中所需的分类命名空间。例如，命名空间“gov.au”在标头中显示为“NS=gov.au”。默认值为空。

电子邮件分类版本

指定所用分类标准在电子邮件标头中所需的分类版本。例如，版本“2012.3”在标头中显示为“VER=2012.3”。默认值为空。

默认电子邮件分类

指定如果用户未选择标记，Secure Mail 将应用于电子邮件的保护性标记。此值必须在“电子邮件分类标记”策略的列表中。默认值为 UNOFFICIAL。

邮件搜索限制

通过限制邮件服务器搜索中包含的天数，限制可从移动设备访问的邮件历史记录量。要限制同步到移动设备的邮件量，请配置“最大同步间隔”策略。默认值为“无限制”。

最大同步间隔

通过限制同步周期来控制移动设备上本地存储的邮件量。
要限制设备在邮件服务器上搜索的时间段，请配置“邮件服务器搜索限制”策略。
值包括：
  • 3 天
  • 1 周
  • 2 周
  • 1 个月
  • 所有
默认值为 所有。

日历网络和音频选项

  • GoToMeeting 和用户输入 - 选择此选项后，用户可以选择要设置的会议类型。选项包括 GoToMeeting（打开 GoToMeeting 页面）和其他会议（允许用户手动输入会议信息）。
  • 仅用户输入 - 选择此选项后，用户将直接转到“其他会议”页面，可在其中手动输入会议信息。

S/MIME 公共证书源

指定 S/MIME 公共证书的来源。如果为 Exchange，Secure Mail 将从 Exchange Server 获取证书。如果为 LDAP，Secure Mail 将从 LDAP 服务器获取证书。默认值为 Exchange。

LDAP 服务器地址

LDAP 服务器地址，包括端口号。默认值为空。

LDAP 基本 DN

LDAP 基本可分辨名称。默认值为空。

匿名访问 LDAP

如果此策略为“开”，Secure Mail 可以在未经事先身份验证的情况下搜索 LDAP。默认值为“关”。

允许的电子邮件域

以逗号分隔的格式定义允许的电子邮件域列表，例如 server.company.com,server.company.co.uk。默认值为空，这意味着 Secure Mail 不会筛选电子邮件域并支持所有电子邮件域。Secure Mail 将列出的域与电子邮件地址中的域名进行匹配。
例如，当 server.company.com 是列出的域名且电子邮件地址为 user@internal.server.company.com 时，Secure Mail 支持该电子邮件地址。

推送通知

启用基于 FCM 的邮箱活动通知。如果为“开”，Secure Mail 支持推送通知。默认值为“关”。

推送通知 EWS 主机名

为邮件托管 Exchange Web Services (EWS) 的服务器。该值必须是 EWS 的 URL 以及端口号。默认值为空。

推送通知区域

您的 Secure Mail 用户的 FCM 主机所在的区域。选项包括美洲、EMEA 和 PAC。默认值为美洲。

身份验证失败时尝试用户名迁移

此策略尝试将 Exchange 用户名迁移到 UPN 进行身份验证。默认值为 Off。

报告网络钓鱼邮件地址

如果已配置，您可以将可疑网络钓鱼邮件报告给指定的电子邮件地址或逗号分隔的电子邮件地址列表。默认值为空。如果您未配置此策略，则无法报告网络钓鱼邮件。

报告网络钓鱼机制

此策略指示用于报告可疑网络钓鱼邮件的机制。
  • 通过附件 (.eml) 报告 – 将网络钓鱼邮件作为附件报告。该附件将发送到在“报告网络钓鱼邮件地址”策略中配置的电子邮件地址或逗号分隔的电子邮件地址列表。
  • 通过转发报告 – 将网络钓鱼邮件作为转发报告。该邮件将转发到在“报告网络钓鱼邮件地址”策略中配置的电子邮件地址或逗号分隔的电子邮件地址列表。
注意：
此策略仅适用于 Microsoft Exchange 服务器。
默认值为“通过附件 (.eml) 报告”。

Skype for Business 会议域

此策略包含用于 Skype for Business 会议的逗号分隔域列表。 Secure Mail 已处理具有以下 URL 前缀的会议：
  • https://join
  • https://meet
  • https://lync
使用此策略，可以按 https://*domain* 形式添加其他 Skype for Business 域。域可以是字母数字字符串，不能包含任何特殊字符。请勿输入前面的 https:// 或后面的点。

示例

如果策略值为 customDomain1,customDomain2，则 Skype for Business 支持的 URL 前缀为： https://customDomain1 http://customDomain1 https://customDomain2 http://customDomain2
默认值为空。

导出日历

此策略允许将 Secure Mail 日历事件导出到您的设备或个人日历。您可以在个人日历中查看事件。您可以使用 Secure Mail 编辑事件。默认值为 会议时间。
个人日历中显示的日历事件字段可使用以下 MDX 策略值：
  • 无（不导出）
  • 会议时间
  • 会议时间、地点
  • 会议时间、主题、地点
  • 会议时间、可用性、与会者、主题、地点、备注

对 Office 365 的 OAuth 支持

对 O365 使用新式身份验证

如果此策略为 开，则 Secure Mail 在 Office 365 上配置帐户时使用 OAuth 协议进行身份验证。如果为 关，则 Secure Mail 使用基本身份验证。默认值为 关。

受信任的 Exchange Online 主机名

定义受信任的 Exchange Online 主机名列表，这些主机名在配置帐户时使用 OAuth 机制进行身份验证。此值采用逗号分隔格式，例如 server.company.com, server.company.co.uk。如果列表为空，则 Secure Mail 将使用基本身份验证进行帐户配置。默认值为 outlook.office365.com。

受信任的 AD FS 主机名

定义网页的受信任 AD FS 主机名列表，在 Office 365 OAuth 身份验证期间，密码会在这些网页中自动填充。此值采用逗号分隔格式，例如 sts.companyname.com, sts.company.co.uk。如果列表为空，则 Secure Mail 不会自动填充密码。Secure Mail 会将列出的主机名与在 Office 365 身份验证期间遇到的网页主机名进行匹配，并检查该页面是否使用 HTTPS 协议。
例如，当 sts.company.com 是列出的主机名时，如果用户导航到 https://sts.company.com，则如果页面有密码字段，Secure Mail 会填充密码。默认值为 login.microsoftonline.com。

用于现代身份验证的自定义用户代理

此策略允许您更改用于现代身份验证的默认用户代理字符串。 如果配置，此用户代理字符串将用于 Microsoft AD FS 身份验证。如果您未配置此策略，则在现代身份验证期间将使用默认的 Secure Mail 用户代理。

Slack 集成

启用 Slack

阻止或允许 Slack 集成。如果设置为“开”，Secure Mail 界面将包含 Slack 功能。如果设置为“关”，Secure Mail 界面将不包含 Slack 功能。

Slack 工作区名称

贵公司的 Slack 工作区名称。如果您提供名称，Secure Mail 会在登录时预填充工作区名称。如果您不提供名称，用户必须手动输入工作区名称 (name.slack.com)。