身份验证

Last published : Oct 21, 2026
在 XenMobile® 部署中，决定如何配置身份验证时需要考虑多个因素。本节通过讨论以下内容，帮助您了解影响身份验证的各种因素：
  • 与身份验证相关的主要 MDX 策略、XenMobile 客户端属性和 Citrix Gateway 设置。
  • 这些策略、客户端属性和设置的交互方式。
  • 每种选择的权衡。
本文还包括三个推荐配置示例，以提高安全性。
广义而言，更强的安全性会导致用户体验不佳，因为用户需要更频繁地进行身份验证。如何平衡这些问题取决于您组织的需要和优先级。通过审阅这三个推荐配置，您将更好地了解可用的身份验证措施之间的相互作用，以及如何最佳地部署您自己的 XenMobile 环境。
Related information
XenMobile® 部署

身份验证模式

联机身份验证： 允许用户访问 XenMobile 网络。需要 Internet 连接。
脱机身份验证： 在设备上进行。用户解锁安全保管库，并脱机访问项目，例如下载的邮件、缓存的网站和笔记。

身份验证方法

单因素

LDAP： 您可以在 XenMobile 中配置与一个或多个目录（例如符合轻型目录访问协议 (LDAP) 的 Active Directory）的连接。这是一种常用的方法，用于为公司环境提供单点登录 (SSO)。您可以选择使用 Citrix PIN 和 Active Directory 密码缓存来改善 LDAP 的用户体验，同时仍在注册、密码过期和帐户锁定方面提供复杂密码的安全性。
有关更多详细信息，请参阅 域或域加 STA。
客户端证书： XenMobile 可以与行业标准证书颁发机构集成，以使用证书作为联机身份验证的唯一方法。XenMobile 在用户注册后提供此证书，这需要一次性密码、邀请 URL 或 LDAP 凭据。当使用客户端证书作为主要的身份验证方法时，在仅限客户端证书的环境中需要 Citrix PIN 来保护设备上的证书。
XenMobile 仅支持第三方证书颁发机构的证书吊销列表 (CRL)。如果配置了 Microsoft CA，XenMobile 将使用 Citrix ADC 管理吊销。配置基于客户端证书的身份验证时，请考虑是否需要配置 Citrix ADC 证书吊销列表 (CRL) 设置“启用 CRL 自动刷新”。此步骤可确保处于仅 MAM 模式的设备用户无法使用设备上的现有证书进行身份验证。XenMobile 会重新颁发新证书，因为它不限制用户在证书被吊销时生成用户证书。当 CRL 检查过期的 PKI 实体时，此设置可提高 PKI 实体的安全性。
有关计划为用户使用基于证书的身份验证或需要使用企业证书颁发机构 (CA) 颁发设备证书所需的部署图，请参阅本地部署参考体系结构。

双因素

LDAP + 客户端证书： 在 XenMobile 环境中，此配置是安全性与用户体验的最佳组合，具有最佳的 SSO 可能性，并结合了 Citrix ADC 提供的双因素身份验证安全性。同时使用 LDAP 和客户端证书可提供安全性，既有用户知道的信息（其 Active Directory 密码），也有他们拥有的信息（其设备上的客户端证书）。Secure Mail（以及其他一些移动生产力应用程序）可以自动配置并提供无缝的首次用户体验，通过客户端证书身份验证，并结合正确配置的 Exchange 客户端访问服务器环境。为了获得最佳可用性，您可以将此选项与 Citrix PIN 和 Active Directory 密码缓存结合使用。
LDAP + 令牌： 此配置允许使用 RADIUS 协议进行 LDAP 凭据的经典配置，以及一次性密码。为了获得最佳可用性，您可以将此选项与 Citrix PIN 和 Active Directory 密码缓存结合使用。

身份验证中涉及的重要策略、设置和客户端属性

以下策略、设置和客户端属性适用于以下三种推荐配置：

MDX 策略

应用程序密码： 如果设置为“开”，则在应用程序启动或在一段时间不活动后恢复时，需要 Citrix PIN 或密码才能解锁应用程序。默认值为“开”。
要为所有应用程序配置不活动计时器，请在 XenMobile 控制台的“设置”选项卡上的“客户端属性”中设置 INACTIVITY_TIMER 值（以分钟为单位）。默认值为 15 分钟。要禁用不活动计时器，以便仅在应用程序启动时显示 PIN 或密码提示，请将该值设置为零。
注意：
如果为“加密密钥”策略选择了“安全脱机”，则此策略将自动启用。
需要在线会话： 如果设置为“开”，则用户必须连接到企业网络并具有活动会话才能访问设备上的应用程序。如果设置为“关”，则无需活动会话即可访问设备上的应用程序。默认值为“关”。
最长脱机时间（小时）： 定义应用程序在不重新确认应用程序授权和从 XenMobile 刷新策略的情况下可以运行的最长时间。当您设置最长脱机时间时，如果适用于 iOS 的 Secure Hub 具有有效的 Citrix Gateway 令牌，则应用程序会从 XenMobile 检索 MDX 应用程序的新策略，而不会中断用户。如果 Secure Hub 没有有效的 Citrix ADC 令牌，则用户必须通过 Secure Hub 进行身份验证才能更新应用程序策略。Citrix ADC 令牌可能会因 Citrix Gateway 会话不活动或强制会话超时策略而失效。当用户再次登录 Secure Hub 时，他们可以继续运行应用程序。
在期限到期前 30、15 和 5 分钟，系统会提醒用户登录。到期后，应用程序将被锁定，直到用户登录。默认值为“72 小时（3 天）”。最短期限为 1 小时。
注意：
请记住，在用户经常出差并可以使用国际漫游的情况下，默认的 72 小时（3 天）可能太短。
后台服务票证过期： 后台网络服务票证保持有效的时间段。当 Secure Mail 通过 Citrix Gateway 连接到运行 ActiveSync 的 Exchange Server 时，XenMobile 会颁发一个令牌，Secure Mail 使用该令牌连接到内部 Exchange Server。此属性设置确定 Secure Mail 在无需新令牌进行身份验证和连接到 Exchange Server 的情况下可以使用该令牌的持续时间。当时间限制到期时，用户必须再次登录以生成新令牌。默认值为 168 小时（7 天）。当此超时到期时，邮件通知将停止。
需要在线会话的宽限期： 确定用户在“需要在线会话”策略阻止其进一步使用（直到在线会话得到验证）之前可以离线使用应用程序的分钟数。默认值为 0（无宽限期）。
有关身份验证策略的信息，请参阅：

XenMobile 客户端属性

注意：
客户端属性是适用于连接到 XenMobile 的所有设备的全局设置。
Citrix PIN： 为了获得简单的登录体验，您可以选择启用 Citrix PIN。使用 PIN，用户无需重复输入其他凭据，例如其 Active Directory 用户名和密码。您可以将 Citrix PIN 配置为仅限独立的离线身份验证，或者将 PIN 与 Active Directory 密码缓存结合使用，以简化身份验证，从而实现最佳可用性。您可以在 XenMobile 控制台的 设置 > 客户端 > 客户端属性 中配置 Citrix PIN。
以下是几个重要属性的摘要。有关详细信息，请参阅客户端属性。
ENABLE_PASSCODE_AUTH
显示名称： 启用 Citrix PIN 身份验证
此密钥允许您启用 Citrix PIN 功能。使用 Citrix PIN 或密码，系统会提示用户定义一个 PIN，以代替其 Active Directory 密码。如果启用了 ENABLE_PASSWORD_CACHING 或 XenMobile 正在使用证书身份验证，则必须启用此设置。
可能的值： true 或 false
默认值： false
ENABLE_PASSWORD_CACHING
**显示名称：**启用用户密码缓存
此密钥允许您将用户的 Active Directory 密码缓存在移动设备本地。当您将此密钥设置为 true 时，系统会提示用户设置 Citrix PIN 或密码。当您将此密钥设置为 true 时，必须将 ENABLE_PASSCODE_AUTH 密钥设置为 true。
可能的值： true 或 false
默认值： false
PASSCODE_STRENGTH
**显示名称：**PIN 强度要求
此密钥定义 Citrix PIN 或密码的强度。更改此设置后，下次系统提示用户进行身份验证时，会要求他们设置新的 Citrix PIN 或密码。
可能的值： 低、中或高
默认值： 中
INACTIVITY_TIMER
**显示名称：**非活动计时器
此密钥定义用户可将其设备置于非活动状态，然后访问应用程序而无需提示输入 Citrix PIN 或密码的分钟数。要为 MDX 应用程序启用此设置，必须将“应用程序密码”设置设为“开”。如果“应用程序密码”设置设为“关”，用户将被重定向到 Secure Hub 以执行完全身份验证。更改此设置后，该值将在下次系统提示用户进行身份验证时生效。默认值为 15 分钟。
ENABLE_TOUCH_ID_AUTH
显示名称： 启用触控 ID 身份验证
允许使用指纹读取器（仅限 iOS）进行离线身份验证。在线身份验证仍需要主要身份验证方法。
ENCRYPT_SECRETS_USING_PASSCODE
显示名称： 使用密码加密密钥
此密钥允许将敏感数据存储在移动设备上的秘密保管库中，而不是存储在基于平台的本机存储（例如 iOS 钥匙串）中。此配置密钥可实现密钥工件的强加密，但也会增加用户熵（只有用户知道的用户生成的随机 PIN 码）。
可能的值： true 或 false
默认值： false

Citrix ADC 设置

会话超时： 如果启用此设置，当 Citrix ADC 在指定时间间隔内未检测到网络活动时，Citrix Gateway 将断开会话连接。此设置对使用 Citrix Gateway 插件、Citrix Receiver™、Secure Hub 或通过 Web 浏览器连接的用户强制执行。默认值为 1440 分钟。如果将此值设置为零，则禁用此设置。
强制超时： 如果启用此设置，无论用户正在做什么，Citrix Gateway 都会在超时时间间隔到期后断开会话连接。当超时时间间隔到期时，用户无法采取任何操作来阻止断开连接。此设置对使用 Citrix Gateway 插件、Citrix Receiver、Secure Hub 或通过 Web 浏览器连接的用户强制执行。如果 Secure Mail 正在使用 STA（一种特殊的 Citrix ADC 模式），则强制超时设置不适用于 Secure Mail 会话。默认值为 1440 分钟。如果将此值留空，则禁用此设置。
有关 Citrix Gateway 中超时设置的详细信息，请参阅 Citrix ADC 文档。
有关提示用户通过在其设备上输入凭据向 XenMobile 进行身份验证的场景的详细信息，请参阅身份验证提示场景。

默认配置设置

这些设置是以下各项提供的默认值：
  • 适用于 XenMobile 的 NetScaler® 向导
  • MAM SDK 或 MDX 工具包
  • XenMobile 控制台
设置 设置位置 默认设置
会话超时 Citrix 网关 1440 分钟
强制超时 思杰网关 1440 分钟
最长脱机时间 MDX 策略 72 小时
后台服务票证过期 MDX 策略 168 小时（7 天）
需要在线会话 MDX 策略 关
需要在线会话宽限期 MDX 策略 0
应用程序密码 MDX 策略 开
使用密码加密机密 XenMobile 客户端属性 否
启用 Citrix PIN 身份验证 XenMobile 客户端属性 否
PIN 强度要求 XenMobile 客户端属性 中
PIN 类型 XenMobile 客户端属性 数字
启用用户密码缓存 XenMobile 客户端属性 否
非活动计时器 XenMobile 客户端属性 15
启用触控 ID 身份验证 XenMobile 客户端属性 否

推荐配置

本节提供了三个 XenMobile 配置示例，这些配置的范围从最低安全性、最佳用户体验到最高安全性、更具侵入性的用户体验。这些示例应为您提供有用的参考点，以确定您希望将自己的配置置于哪个级别。修改这些设置可能还需要您更改其他设置。例如，最大离线时间必须始终小于会话超时。

最高安全性

此配置提供了最高级别的安全性，但存在显著的可用性权衡。
设置 设置位置 推荐设置 行为影响
会话超时 Citrix 网关 1440 用户仅在需要在线身份验证时（每 24 小时）输入其 Secure Hub 凭据。
强制超时 思杰网关 1440 每 24 小时严格要求在线身份验证。活动不会延长会话生命周期。
最长离线时间 MDX 策略 23 每天需要刷新策略。
后台服务票证过期 MDX 策略 72 小时 STA 超时，允许在没有 Citrix Gateway 会话令牌的情况下进行长时间会话。对于 Secure Mail，将 STA 超时设置得比会话超时长，可以避免在会话过期前用户未打开应用程序时，邮件通知停止而没有提示用户的情况。
需要在线会话 MDX 策略 关闭 确保有效的网络连接和 Citrix Gateway 会话以使用应用程序。
需要在线会话的宽限期 MDX 策略 0 无宽限期（如果您启用了“需要在线会话”）。
应用程序密码 MDX 策略 开启 要求应用程序使用密码。
使用密码加密密钥 XenMobile 客户端属性 是 从用户熵派生的密钥可保护保管库。
启用 Citrix PIN 身份验证 XenMobile 客户端属性 是 启用 Citrix PIN 以简化身份验证体验。
PIN 强度要求 XenMobile 客户端属性 强 高密码复杂性要求。
PIN 类型 XenMobile 客户端属性 字母数字 PIN 是字母数字序列。
启用密码缓存 XenMobile 客户端属性 否 Active Directory 密码不缓存，Citrix PIN 用于离线身份验证。
不活动计时器 XenMobile 客户端属性 15 如果用户在此期间不使用 MDX 应用程序或 Secure Hub，则提示进行离线身份验证。
启用触控 ID 身份验证 XenMobile 客户端属性 否 在 iOS 中禁用触控 ID 以用于离线身份验证用例。

更高安全性

这是一种更折中的方法，此配置要求用户更频繁地进行身份验证（最多每 3 天一次，而不是 7 天），并提供更强的安全性。增加的身份验证次数会更频繁地锁定容器，从而确保设备不使用时的数据安全。
设置 设置位置 建议设置 行为影响
会话超时 Citrix 网关 4320 用户仅在需要在线身份验证时（每 3 天）输入其 Secure Hub 凭据。
强制超时 Citrix 网关 无值 如果有任何活动，会话将延长。
最长离线时间 MDX 策略 71 每 3 天需要刷新策略。小时差是为了允许在会话超时之前进行刷新。
后台服务票证过期 MDX 策略 168 小时 STA 超时，允许在没有 Citrix Gateway 会话令牌的情况下进行长时间会话。对于 Secure Mail，将 STA 超时设置得比会话超时长，可以避免在会话过期前用户未打开应用程序时邮件通知停止而不提示用户的情况。
需要在线会话 MDX 策略 关 确保有效的网络连接和 Citrix Gateway 会话以使用应用程序。
需要在线会话的宽限期 MDX 策略 0 无宽限期（如果您启用了“需要在线会话”）。
应用程序密码 MDX 策略 开 要求应用程序使用密码。
使用密码加密机密 XenMobile 客户端属性 否 不需要用户熵来加密保管库。
启用 Citrix PIN 身份验证 XenMobile 客户端属性 是 启用 Citrix PIN 以简化身份验证体验。
PIN 强度要求 XenMobile 客户端属性 中等 强制执行中等密码复杂性规则。
PIN 类型 XenMobile 客户端属性 数字 PIN 是一个数字序列。
启用密码缓存 XenMobile 客户端属性 是 用户 PIN 缓存并保护 Active Directory 密码。
不活动计时器 XenMobile 客户端属性 30 如果用户在此期间未使用 MDX 应用程序或 Secure Hub，则提示进行离线身份验证。
启用触控 ID 身份验证 XenMobile 客户端属性 是 在 iOS 中为离线身份验证用例启用触控 ID。

高安全性

此配置对用户而言最方便，可提供基本级别的安全性。
设置 设置位置 推荐设置 行为影响
会话超时 思杰网关 10080 用户仅在需要在线身份验证时（每 7 天）输入其 Secure Hub 凭据。
强制超时 思杰网关 无值 如果存在任何活动，会话将延长。
最长离线期限 MDX 策略 167 需要每周（每 7 天）刷新策略。小时差是为了允许在会话超时之前进行刷新。
后台服务票证过期 MDX 策略 240 STA 超时，允许长时间会话，无需 Citrix Gateway 会话令牌。对于 Secure Mail，将 STA 超时时间设置得比会话超时时间长，可以避免邮件通知在用户未在会话过期前打开应用程序的情况下停止，而无需提示用户。
需要在线会话 MDX 策略 关 确保有效的网络连接和 Citrix Gateway 会话以使用应用程序。
需要在线会话宽限期 MDX 策略 0 无宽限期（如果您启用了“需要在线会话”）。
应用程序密码 MDX 策略 开 要求应用程序使用密码。
使用密码加密机密 XenMobile 客户端属性 否 不要求用户熵来加密保管库。
启用 Citrix PIN 身份验证 XenMobile 客户端属性 是 启用 Citrix PIN 以简化身份验证体验。
PIN 强度要求 XenMobile 客户端属性 低 无密码复杂性要求
PIN 类型 XenMobile 客户端属性 数字 PIN 是一个数字序列。
启用密码缓存 XenMobile 客户端属性 是 用户 PIN 缓存并保护 Active Directory 密码。
不活动计时器 XenMobile 客户端属性 90 如果用户在此期间未使用 MDX 应用程序或 Secure Hub，则提示进行脱机身份验证。
启用触控 ID 身份验证 XenMobile 客户端属性 是 为 iOS 中的脱机身份验证用例启用触控 ID。

使用增强型身份验证

某些应用程序可能需要增强型身份验证（例如，辅助身份验证因素，如令牌或激进的会话超时）。您可以通过 MDX 策略控制此身份验证方法。此方法还需要一个单独的虚拟服务器来控制身份验证方法（在相同或不同的 Citrix ADC 设备上）。
设置 查找设置的位置 推荐设置 行为影响
备用思杰网关 MDX 策略 需要辅助 Citrix ADC 设备的 FQDN 和端口。 允许通过辅助 Citrix ADC 设备身份验证和会话策略控制增强型身份验证。
如果用户打开一个登录到备用 Citrix Gateway 实例的应用程序，则所有其他应用程序都将使用该 Citrix Gateway 实例与内部网络通信。会话仅在增强安全性的 Citrix Gateway 实例会话超时后，才会切换回安全性较低的 Citrix Gateway 实例。

使用“需要在线会话”

对于某些应用程序（例如 Secure Web），您可能希望确保用户仅在具有经过身份验证的会话且设备连接到网络时才运行应用程序。此策略强制执行该选项，并允许一个宽限期，以便用户可以完成其工作。
设置 设置位置 推荐设置 行为影响
需要在线会话 MDX 策略 开启 确保设备在线并具有有效的身份验证令牌。
在线会话要求宽限期 MDX 策略 15 允许 15 分钟的宽限期，之后用户将无法再使用应用程序。