管理模式

Last published : Oct 21, 2026
对于每个 XenMobile® 实例（单个服务器或节点群集），您可以选择管理设备、应用程序或两者。XenMobile 使用以下术语来表示设备和应用程序管理模式：
  • 移动设备管理模式 (MDM 模式)
  • 移动应用程序管理模式 (MAM 模式)
  • MDM+MAM 模式（企业模式）
Related information
XenMobile® 部署

移动设备管理 (MDM 模式)

重要提示：
如果您配置了 MDM 模式，然后更改为 ENT 模式，请务必使用相同的（Active Directory）身份验证。XenMobile 不支持在用户注册后更改身份验证模式。有关详细信息，请参阅升级。
借助 MDM，您可以配置、保护和支持移动设备。MDM 使您能够在系统级别保护设备和设备上的数据。您可以配置策略、操作和安全功能。例如，如果设备丢失、被盗或不合规，您可以选择性地擦除设备。尽管 MDM 模式下不提供应用程序管理，但您可以在此模式下交付移动应用程序，例如公共应用商店应用程序和企业应用程序。以下是 MDM 模式的常见用例：
  • 对于需要设备级管理策略或限制（例如完全擦除、选择性擦除或地理位置）的企业自有设备，MDM 是一个考虑因素。
  • 当客户需要管理实际设备，但不需要 MDX 策略（例如应用程序容器化、应用程序数据共享控制或微型 VPN）时。
  • 当用户只需要将电子邮件传送到其移动设备上的本机电子邮件客户端，并且 Exchange ActiveSync 或客户端访问服务器已可从外部访问时。在此用例中，您可以使用 MDM 配置电子邮件传送。
  • 当您部署本机企业应用程序（非 MDX）、公共应用商店应用程序或从公共商店交付的 MDX 应用程序时。请注意，仅 MDM 解决方案可能无法阻止设备上应用程序之间机密信息的数据泄露。数据泄露可能发生在 Office 365 应用程序中的复制粘贴或“另存为”操作中。

移动应用程序管理 (MAM 模式)

MAM 保护应用程序数据并允许您控制应用程序数据共享。MAM 还允许独立于个人数据管理公司数据和资源。通过为 MAM 模式配置的 XenMobile，您可以使用支持 MDX 的移动应用程序提供每个应用程序的容器化和控制。术语 MAM 模式也称为纯 MAM 模式。此术语将此模式与旧版 MAM 模式区分开来。
通过使用 MDX 策略，XenMobile 可提供对网络访问（例如微 VPN）、应用程序和设备交互、数据加密以及应用程序访问的应用程序级控制。
MAM 通常适用于自带设备 (BYO)，因为尽管设备不受管理，但公司数据仍受到保护。MDX 具有许多仅限 MAM 的策略，这些策略不需要 MDM 控制。
MAM 还支持移动生产力应用程序。此支持包括向 Citrix Secure Mail 安全交付电子邮件、安全移动生产力应用程序之间的数据共享以及在 Citrix Files 中安全存储数据。有关详细信息，请参阅 移动生产力应用程序。
MAM 通常适用于以下示例：
  • 您交付移动应用程序，例如在应用程序级别管理的 MDX 应用程序。
  • 您不需要在系统级别管理设备。

MDM+MAM（企业模式）

MDM+MAM 是一种混合模式，也称为企业模式，它支持 XenMobile 企业移动性管理 (EMM) 解决方案中所有可用的功能集。使用 MDM+MAM 模式配置 XenMobile 可同时启用 MDM 和 MAM 功能。
XenMobile 允许您指定用户是否可以选择退出设备管理，或者您是否需要设备管理。这种灵活性对于包含混合用例的环境非常有用。这些环境可能需要或可能不需要通过 MDM 策略管理设备才能访问您的 MAM 资源。
MDM+MAM 适用于以下示例：
  • 您有一个同时需要 MDM 和 MAM 的单一用例。访问您的 MAM 资源需要 MDM。
  • 某些用例需要 MDM，而另一些则不需要。
  • 某些用例需要 MAM，而另一些则不需要。
您通过 服务器模式 属性指定 XenMobile Server 的管理模式。您在 XenMobile 控制台中配置此设置。模式可以是 MDM、MAM 或 ENT（用于 MDM+MAM）。
您拥有许可证的 XenMobile 版本决定了可用的管理模式和其他功能，如下表所示。
XenMobile MDM 版本 XenMobile Advanced 版本
MDM 功能 MDM 功能
- MAM 功能
- MAM SDK
安全中心 安全中心
- 安全邮件
- 安全 Web

管理模式和注册配置文件

管理模式和注册配置文件协同工作。您可以使用注册配置文件为 Android 和 iOS 设备配置设备管理和应用程序管理注册选项。对于 Android，MDM+MAM 服务器模式可用的注册选项与 MDM 模式的选项不同。有关详细信息，请参阅注册配置文件。

设备管理和 MDM 注册

XenMobile Enterprise 环境可以包含多种用例，其中一些用例需要通过 MDM 策略进行设备管理，以允许访问 MAM 资源。在向用户部署移动生产力应用程序之前，请充分评估您的用例并决定是否需要 MDM 注册。如果您以后决定更改 MDM 注册要求，则用户可能必须重新注册其设备。
注意：
要指定是否要求用户注册 MDM，请在 XenMobile 控制台（设置 > 服务器属性）中使用 XenMobile Server 属性 Enrollment Required。该全局服务器属性适用于 XenMobile 实例的所有用户和设备。该属性仅在 XenMobile Server 模式为 ENT 时适用。
以下是 XenMobile Enterprise 模式部署中要求 MDM 注册的优点和缺点（以及缓解措施）的摘要。

当 MDM 注册是可选的

优点：
  • 用户可以访问 MAM 资源，而无需将其设备置于 MDM 管理之下。此选项可以提高用户采用率。
  • 能够安全访问 MAM 资源以保护企业数据。
  • MDX 策略（例如 App Passcode）可以控制每个 MDX 应用程序的应用程序访问。
  • 配置 Citrix ADC、XenMobile Server 和每个应用程序的超时，以及 Citrix PIN，可提供额外的保护层。
  • 虽然 MDM 操作不适用于设备，但某些 MDX 策略可用于拒绝 MAM 访问。拒绝将基于系统设置，例如越狱或已 root 的设备。
  • 用户可以在首次使用时选择是否将其设备注册到 MDM。
缺点：
  • MAM 资源可用于未注册 MDM 的设备。
  • MDM 策略和操作仅适用于已注册 MDM 的设备。
缓解选项：
  • 让用户同意公司条款和条件，如果他们选择不合规，则需承担责任。让管理员监控未受管设备。
  • 通过使用应用程序计时器管理应用程序访问和安全性。缩短超时值可提高安全性，但可能会影响用户体验。
  • 另一个需要 MDM 注册的 XenMobile 环境是一个选项。在考虑此选项时，请记住管理两个环境的额外开销以及所需的额外资源。

需要 MDM 注册时

优点：
  • 能够将 MAM 资源的访问权限仅限于 MDM 管理的设备。
  • MDM 策略和操作可以根据需要应用于环境中的所有设备。
  • 用户无法选择不注册其设备。
缺点：
  • 要求所有用户注册 MDM。
  • 可能会降低那些反对公司管理其个人设备的用户的使用率。
缓解选项：
  • 教育用户了解 XenMobile 实际在其设备上管理的内容以及管理员可以访问的信息。
  • 您可以使用第二个 XenMobile 环境，其服务器模式为 MAM（也称为仅 MAM 模式），用于不需要 MDM 管理的设备。在考虑此选项时，请记住管理两个环境的额外开销以及所需的额外资源。

关于 MAM 和旧版 MAM 模式

XenMobile 10.3.5 引入了一种新的仅 MAM 服务器模式。为了区分以前和新的 MAM 模式，文档使用这些术语。新模式称为仅 MAM 或 MA，以前的 MAM 模式称为旧版 MAM 模式。
当 XenMobile 的 服务器模式 属性为 MAM 时，仅 MAM 模式生效。设备在 MAM 模式下注册。
当 XenMobile 的 服务器模式 属性为 ENT 且用户选择退出设备管理时，旧版 MAM 功能生效。在这种情况下，设备在 MAM 模式下注册。选择退出 MDM 管理的用户将继续接收旧版 MAM 功能。
注意：
以前，将服务器模式属性设置为 MAM 与将其设置为 ENT 具有相同的效果：选择退出 MDM 管理的用户会收到旧版 MAM 功能。
下表总结了针对特定许可证类型和所需设备模式要使用的 服务器模式 设置：
您的许可证适用于此版本 您希望设备在此模式下注册 将服务器模式属性设置为
企业版/高级版/MDM MDM 模式 MDM
企业版/高级版 MAM 模式（也称为仅 MAM 模式） MAM
企业版/高级版 MDM+MAM 模式 ENT（选择退出设备管理的用户在旧版 MAM 模式下运行。）
仅 MAM 模式支持以前仅适用于 ENT 的以下功能。
  • 基于证书的身份验证： 仅 MAM 模式支持基于证书的身份验证。即使用户的 Active Directory 密码过期，他们也能持续访问其应用程序。如果您对 MAM 设备使用基于证书的身份验证，则必须配置 Citrix Gateway。默认情况下，在 XenMobile Settings > Citrix Gateway 中，“Deliver the user certificate for authentication”设置为 Off，这意味着使用用户名和密码身份验证。将该设置更改为 On 以启用证书身份验证。
  • 自助服务门户： 允许用户自行执行应用程序锁定和应用程序擦除。这些操作适用于设备上的所有应用程序。您可以在 Configure > Actions 中配置应用程序锁定和应用程序擦除操作。
  • 所有注册安全模式： 包括通过 Manage > Enrollment Invitations 配置的“高安全性”、“邀请 URL”和“双重身份验证”。
  • Android 和 iOS 设备的设备注册限制： 服务器属性 Number of Devices Per User 已移至 Configure > Enrollment Profiles，现在适用于所有服务器模式。
  • 仅 MAM API： 对于仅 MAM 设备，您可以使用任何 REST 客户端和 XenMobile REST API 调用 REST 服务，以调用 XenMobile 控制台公开的服务。
  • 仅 MAM API 使您能够：
    • 发送邀请 URL 和一次性 PIN。
    • 在设备上执行应用程序锁定和擦除。
下表总结了旧版 MAM 和仅 MAM 功能之间的差异。
注册方案和其他功能 旧版 MAM（服务器模式为 ENT） 仅 MAM 模式（服务器模式为 MAM）
证书身份验证 不支持。 支持。对于证书身份验证，需要 Citrix Gateway。
部署要求 XenMobile Server 无需从设备直接访问。 XenMobile Server 无需从设备直接访问。
注册选项 使用 Citrix Gateway FQDN，或者在使用 MDM FQDN 时，选择不注册。 使用 XenMobile Server FQDN。
注册方法* 用户名 + 密码 用户名 + 密码、高安全性、邀请 URL、邀请 URL + PIN、邀请 URL + 密码、双因素、用户名 + PIN
应用程序锁定和擦除 支持。 支持。
应用程序锁定和擦除的自助服务门户选项 不支持。 支持。
应用程序擦除行为 应用程序保留在设备上，但无法使用。XenMobile 仅删除客户端上的帐户。 应用程序保留在设备上，但无法使用。XenMobile 仅删除客户端上的帐户。
针对仅限 MAM 用户的自动化操作。 支持事件、设备属性、用户属性操作。不支持基于已安装应用程序的自动化操作。 支持事件、设备属性、用户属性以及某些基于应用程序的操作，包括应用程序擦除和应用程序锁定。
当 Active Directory 用户被删除时的内置操作 支持应用程序擦除。 支持应用擦除。
注册限制 支持；通过注册配置文件配置。 支持；通过注册配置文件配置。
软件清单 支持。XenMobile 列出设备上安装的应用程序 不支持。
*关于通知： SMTP 是发送注册邀请的唯一支持方法。
重要：
对于仅 MAM 模式，以前注册的用户必须重新注册其设备。请务必向用户提供注册所需的 XenMobile Server FQDN。在仅 MAM 模式下，与 ENT 模式一样，设备使用 XenMobile Server FQDN 进行注册。（在旧版 MAM 模式下，设备使用 Citrix Gateway FQDN 进行注册。）