安全性与用户体验
安全性对任何组织都很重要，但您需要在安全性与用户体验之间取得平衡。例如，您可能有一个高度安全但用户难以使用的环境。或者，您的环境可能非常用户友好，但访问控制不够严格。本虚拟手册的其他部分详细介绍了安全功能。本文的目的是概述常见的安全问题以及 XenMobile 中可用的安全选项。
以下是每个用例需要牢记的一些关键注意事项：
-
您是想保护特定应用程序、整个设备，还是两者都保护？
-
您希望用户如何验证其身份？您打算使用 LDAP、基于证书的身份验证，还是两者的组合？
-
您希望如何处理用户会话超时？请记住，后台服务、Citrix ADC 以及离线访问应用程序都有不同的超时值。
-
您希望用户设置设备级密码、应用程序级密码，还是两者都设置？您希望为用户提供多少次登录尝试？请记住，通过 MAM 实施的额外每应用身份验证要求可能会如何影响用户体验。
-
您还想对用户施加哪些限制？您希望用户访问 Siri 等云服务吗？对于您提供给他们的每个应用程序，他们可以做什么，不能做什么？您是否希望部署企业 Wi-Fi 策略，以防止在办公场所内消耗蜂窝数据流量？
应用程序与设备
首先要考虑的是，是仅使用移动应用程序管理 (MAM) 来保护某些应用程序，还是也想使用移动设备管理 (MDM) 来管理整个设备。最常见的情况是，如果您不需要设备级控制，则只管理移动应用程序，尤其是在您的组织支持自带设备 (BYOD) 的情况下。
XenMobile 不管理的设备用户可以通过应用商店安装应用程序。您通过应用程序策略控制对应用程序的访问，而不是通过设备级控制（例如选择性擦除或完全擦除）。这些策略（取决于您设置的值）要求设备定期检查 XenMobile，以确认应用程序仍被允许运行。
MDM 允许您保护整个设备，包括清点设备上的所有软件。如果设备已越狱、已 root 或安装了不安全的软件，您可以阻止注册。然而，这种级别的控制会让用户对个人设备被赋予如此大的权力感到担忧，并可能降低注册率。
身份验证
身份验证是用户体验的重要组成部分。如果您的组织已运行 Active Directory，那么使用 Active Directory 是让用户访问系统的最简单方法。
身份验证用户体验的另一个重要部分是超时。高安全环境可以要求用户每次访问系统时都登录，但该选项并非适用于所有组织。例如，让用户每次访问电子邮件时都输入凭据会显著影响用户体验。
用户熵
为了增强安全性，您可以启用一项名为用户熵的功能。Citrix Secure Hub™ 和其他一些应用程序通常共享密码、PIN 和证书等常见数据，以确保一切正常运行。此信息存储在 Secure Hub 内的通用保管库中。如果您通过加密机密选项启用用户熵，XenMobile 将创建一个名为 UserEntropy 的新保管库。XenMobile 会将信息从通用保管库移动到新保管库中。Secure Hub 或其他应用程序要访问数据，用户必须输入密码或 PIN。
启用用户熵可在多个位置增加一层身份验证。因此，每次应用程序需要访问 UserEntropy 保管库中的共享数据（包括证书）时，用户都必须输入密码或 PIN。
您可以通过阅读 XenMobile 文档中的关于 MDX Toolkit 了解有关用户熵的更多信息。要启用用户熵，您可以在客户端属性中找到相关设置。
策略
MDX 和 MDM 策略都为组织提供了极大的灵活性，但它们也可能限制用户。例如，您可能希望阻止访问云应用程序，例如 Siri 或 iCloud，这些应用程序有可能将敏感数据发送到各种位置。您可以设置策略来阻止访问这些服务，但请记住，此类策略可能会产生意想不到的后果。iOS 键盘麦克风也依赖于云访问，您也可能会阻止访问该功能。
应用程序
企业移动管理 (EMM) 分为移动设备管理 (MDM) 和移动应用程序管理 (MAM)。MDM 使组织能够保护和控制移动设备，而 MAM 则促进应用程序交付和管理。随着 BYOD 的日益普及，您通常可以实施 MAM 解决方案来协助应用程序交付、软件许可、配置和应用程序生命周期管理。
借助 XenMobile，您可以通过配置特定的 MAM 策略和 VPN 设置来进一步保护这些应用程序，以防止数据泄露和其他安全威胁。XenMobile 为组织提供了部署以下任何解决方案的灵活性：
-
仅限 MAM 的环境
-
仅限 MDM 的环境
-
统一的 XenMobile Enterprise 环境，在同一平台上提供 MDM 和 MAM 功能
除了能够将应用程序交付到移动设备之外，XenMobile 还通过 MDX 技术提供应用程序容器化。MDX 通过加密来保护应用程序，这种加密独立于平台提供的设备级加密。您可以擦除或锁定应用程序，并且应用程序受基于策略的精细控制。独立软件供应商 (ISV) 可以使用 Mobile Apps SDK 应用这些控制。
在企业环境中，用户使用各种移动应用程序来协助其工作。这些应用程序可以包括来自公共应用商店的应用程序、内部开发的应用程序和本机应用程序。XenMobile 将这些应用程序分类如下：
**公共应用程序：**这些应用程序包括公共应用商店（例如 Apple App Store 或 Google Play）中提供的免费或付费应用程序。组织外部的供应商通常会在公共应用商店中提供其应用程序。此选项允许其客户直接从 Internet 下载应用程序。根据用户的需求，您可能在组织中使用许多公共应用程序。此类应用程序的示例包括 GoToMeeting、Salesforce 和 EpicCare 应用程序。
Citrix 不支持直接从公共应用商店下载应用程序二进制文件，然后使用 MDX Toolkit 对其进行打包以进行企业分发。要启用第三方应用程序的 MDX 功能，请联系您的应用程序供应商以获取应用程序二进制文件。您可以使用 MDX Toolkit 打包二进制文件，或将 MAM SDK 与二进制文件集成。
内部应用程序： 许多组织都有内部开发人员，他们创建提供特定功能的应用程序，并在组织内部独立开发和分发。在某些情况下，一些组织可能还拥有 ISV 提供的应用程序。您可以将此类应用程序部署为本机应用程序，也可以使用 XenMobile 等 MAM 解决方案对应用程序进行容器化。例如，医疗保健组织可以创建一个内部应用程序，允许医生在移动设备上查看患者信息。然后，组织可以启用 MAM SDK 或 MDM 封装该应用程序，以保护患者信息并启用对后端患者数据库服务器的 VPN 访问。
Web 和 SaaS 应用程序： 这些应用程序包括从内部网络（Web 应用程序）或通过公共网络 (SaaS) 访问的应用程序。XenMobile 还允许您使用应用程序连接器列表创建自定义 Web 和 SaaS 应用程序。这些应用程序连接器可以促进对现有 Web 应用程序的单点登录 (SSO)。有关详细信息，请参阅 (/zh-cn/xenmobile/server/apps/app-connector-types.html)。例如，您可以将 Google Apps SAML 用于基于安全断言标记语言 (SAML) 的 Google Apps SSO。
移动生产力应用程序： 随 XenMobile 许可证提供的 Citrix 开发的应用程序。有关详细信息，请参阅关于移动生产力应用程序。Citrix 还提供其他业务就绪型应用程序，这些应用程序由 ISV 使用移动应用程序 SDK 开发。
HDX 应用程序： 您使用 StoreFront 发布的 Windows 托管应用程序。如果您有 Citrix Virtual Apps and Desktops™ 环境，则可以将应用程序与 XenMobile 集成，使已注册用户可以使用这些应用程序。
根据您计划使用 XenMobile 部署和管理的移动应用程序类型，底层配置和体系结构会有所不同。例如，如果具有不同权限级别的多个用户组使用单个应用程序，则可能需要单独的交付组来部署两个版本的应用程序。此外，您必须确保用户组成员资格是互斥的，以避免用户设备上出现策略不匹配。
您可能还希望通过 Apple 批量采购来管理 iOS 应用程序许可。此选项要求您注册 Apple 批量采购并在 XenMobile 控制台中配置 XenMobile 批量采购设置，以使用批量采购许可证分发应用程序。各种此类用例使得在实施 XenMobile 环境之前评估和规划您的 MAM 策略变得非常重要。您可以通过定义以下内容来开始规划您的 MAM 策略：
应用程序类型： 列出您计划支持的不同类型的应用程序，然后对其进行分类。例如：公共、本机、移动生产力应用程序、Web、内部、ISV 应用程序等。此外，还要根据不同的设备平台（例如 iOS 和 Android）对应用程序进行分类。此分类有助于您调整每种应用程序所需的 XenMobile 设置。例如，某些应用程序可能不符合封装条件，或者可能需要移动应用程序 SDK 来启用特殊的 API 以与其他应用程序进行交互。
网络要求： 使用适当的设置配置具有特定网络访问要求的应用程序。例如，某些应用程序可能需要通过 VPN 访问您的内部网络。某些应用程序可能需要 Internet 访问才能通过 DMZ 路由访问。要允许此类应用程序连接到所需的网络，您必须相应地配置各种设置。定义每个应用程序的网络要求有助于尽早确定您的架构决策，从而简化整个实施过程。
安全要求： 定义适用于单个应用程序或所有应用程序的安全要求至关重要。该规划可确保您在安装 XenMobile Server 时创建正确的配置。尽管 MDX 策略等设置适用于单个应用程序，但会话和身份验证设置适用于所有应用程序。某些应用程序可能具有特定的加密、容器化、封装、加密、身份验证、地理围栏、密码或数据共享要求，您可以提前概述这些要求以简化部署。
部署要求： 您可能希望使用基于策略的部署，以仅允许合规用户下载已发布的应用程序。例如，您可能希望某些应用程序需要以下任何一项：
-
启用基于设备平台的加密
-
设备已受管理
-
设备满足最低操作系统版本要求
-
某些应用程序仅供企业用户使用
您可能还希望某些应用程序仅供企业用户使用。请提前概述此类要求，以便您可以配置适当的部署规则或操作。
许可要求： 记录与应用程序相关的许可要求。这些记录有助于您有效管理许可证使用情况，并决定是否在 XenMobile 中配置特定功能以方便许可。例如，如果您部署免费或付费的 iOS 应用程序，Apple 会通过要求用户登录其 iTunes 帐户来强制执行应用程序的许可要求。您可以注册 Apple 批量采购，通过 XenMobile 分发和管理这些应用程序。批量采购允许用户下载应用程序，而无需登录其 iTunes 帐户。此外，Samsung SAFE 和 Samsung Knox 等工具也有特殊的许可要求，您需要在部署这些功能之前完成这些要求。
允许列表和阻止列表要求： 您可能希望阻止用户安装或使用某些应用程序。创建使设备不合规的应用程序的允许列表。然后，设置策略以在设备不合规时触发。另一方面，某个应用程序可能可以接受使用，但由于某种原因可能属于阻止列表。在这种情况下，您可以将该应用程序添加到允许列表，并指出该应用程序可以接受使用，但不是必需的。此外，请记住，新设备上预装的应用程序可能包含一些不属于操作系统的常用应用程序。这些应用程序可能与您的阻止列表策略冲突。
应用程序用例
一家医疗保健组织计划部署 XenMobile 作为其移动应用程序的 MAM 解决方案。移动应用程序将交付给企业用户和 BYOD 用户。IT 部门决定交付和管理以下应用程序：
-
移动生产力应用程序： Citrix 提供的 iOS 和 Android 应用程序。
-
Secure Mail： 电子邮件、日历和联系人应用程序。
-
Secure Web： 提供 Internet 和内部网站点访问权限的安全 Web 浏览器。
-
Citrix Files： 用于访问共享数据以及共享、同步和编辑文件的应用程序。
公共应用商店
-
Secure Hub： 所有移动设备用于与 XenMobile 通信的客户端。IT 部门通过 Secure Hub 客户端将安全设置、配置和移动应用程序推送到移动设备。Android 和 iOS 设备通过 Secure Hub 注册到 XenMobile。
-
Citrix Receiver™： 允许用户在移动设备上打开由 Virtual Apps and Desktops 托管的应用程序的移动应用程序。
-
GoToMeeting： 一款在线会议、桌面共享和视频会议客户端，允许用户通过 Internet 与其他计算机用户、客户、客户端或同事实时会面。
-
Salesforce1： Salesforce1 允许用户从移动设备访问 Salesforce，并将所有 Chatter、CRM、自定义应用程序和业务流程整合到一个统一的体验中，供任何 Salesforce 用户使用。
-
RSA SecurID： 用于双因素身份验证的基于软件的令牌。
-
EpicCare 应用： 这些应用为医疗从业者提供安全且便携的患者病历、患者列表、日程和消息访问权限。
-
Haiku： 适用于 iPhone 和 Android 手机的移动应用。
-
Canto： 适用于 iPad 的移动应用。
-
Rover： 适用于 iPhone 和 iPad 的移动应用。
-
HDX： 这些应用通过 Citrix Virtual Apps™ 和 Desktops 交付。
-
Epic Hyperspace： 用于电子健康记录管理的 Epic 客户端应用程序。
ISV
-
Vocera： 符合 HIPAA 规范的 IP 语音和消息移动应用，通过 iPhone 和 Android 智能手机随时随地扩展 Vocera 语音技术的优势。
内部应用
-
HCMail： 此应用可帮助编写加密消息、在内部邮件服务器上搜索地址簿，并使用电子邮件客户端将加密消息发送给联系人。
内部 Web 应用
-
PatientRounding： 用于不同部门记录患者健康信息的 Web 应用程序。
-
Outlook Web Access： 允许通过 Web 浏览器访问电子邮件。
-
SharePoint： 用于组织范围内的文件和数据共享。
下表列出了 MAM 配置所需的基本信息。
| 应用程序名称 | 应用程序类型 | MDX 封装 | iOS | 安卓 |
| 安全邮件 | XenMobile 应用程序 | 版本 10.4.1 及更高版本不需要 | 是 | 是 |
| 安全 Web | XenMobile 应用程序 | 版本 10.4.1 及更高版本不需要 | 是 | 是 |
| 思杰文件 | XenMobile App | 版本 10.4.1 及更高版本不支持 | 是 | 是 |
| 安全中心 | 公共应用 | 不适用 | 是 | 是 |
| 思杰接收器 | 公共应用 | 不适用 | 是 | 是 |
| GoToMeeting | 公共应用 | 不适用 | 是 | 是 |
| 赛富时1 | 公共应用 | 不适用 | 是 | 是 |
| RSA SecurID | 公共应用 | 不适用 | 是 | 是 |
| Epic 海库 | 公共应用 | 不适用 | 是 | 是 |
| Epic 坎托 | 公共应用 | 不适用 | 是 | 否 |
| Epic 罗孚 | 公共应用 | 不适用 | 是 | 否 |
| Epic 超空间 | HDX™ 应用 | 不适用 | 是 | 是 |
| 沃西拉 | ISV 应用 | 是 | 是 | 是 |
| HC邮件 | 内部应用 | 是 | 是 | 是 |
| PatientRounding | Web 应用 | 不适用 | 是 | 是 |
| Outlook Web 访问 | Web 应用 | 不适用 | 是 | 是 |
| SharePoint | Web 应用 | 不适用 | 是 | 是 |
以下表格列出了在 XenMobile 中配置 MAM 策略时可以参考的具体要求。
| 应用程序名称 | 需要 VPN | 交互 | 交互 | 基于设备平台的加密 |
|---|---|---|---|---|
| （与容器外部的应用程序） | （来自容器外部的应用程序） | |||
| 安全邮件 | 是 | 选择性允许 | 允许 | 不需要 |
| 安全 Web | 是 | 允许 | 允许 | 不需要 |
| 思杰文件 | 是 | 允许 | 允许 | 不需要 |
| 思杰安全中心 | 是 | 不适用 | 不适用 | 不适用 |
| 思杰接收器 | 是 | 不适用 | 不适用 | 不适用 |
| GoToMeeting | 否 | 不适用 | 不适用 | 不适用 |
| 赛富时1 | 否 | 不适用 | 不适用 | 不适用 |
| RSA SecurID | 否 | N/A | N/A | N/A |
| 艾派克海库 | 是 | N/A | N/A | N/A |
| 艾派克坎托 | 是 | N/A | N/A | N/A |
| 艾派克罗孚 | 是 | 不适用 | 不适用 | 不适用 |
| 埃匹克超空间 | 是 | 不适用 | 不适用 | 不适用 |
| 沃西拉 | 是 | 已阻止 | 已阻止 | 不需要 |
| 医院邮件 | 是 | 已阻止 | 已阻止 | 必需 |
| PatientRounding | 是 | 不适用 | 不适用 | 必需 |
| Outlook Web 访问 | 是 | 不适用 | 不适用 | 非必需 |
| SharePoint | 是 | 不适用 | 不适用 | 不需要 |
| 应用程序名称 | 代理筛选 | 许可 | 地理围栏 | 移动应用程序 SDK | 最低操作系统版本 |
|---|---|---|---|---|---|
| 安全邮件 | 必需 | 不适用 | 选择性必需 | 不适用 | 强制执行 |
| 安全 Web | 必需 | 不适用 | 不需要 | 不适用 | 强制 |
| 思杰文件 | 必需 | 不适用 | 不需要 | 不适用 | 强制 |
| 安全中心 | 不需要 | 批量购买 | 不需要 | 不适用 | 未强制执行 |
| 思杰接收器 | 不需要 | 批量采购 | 不需要 | 不适用 | 未强制执行 |
| GoToMeeting | 不需要 | 批量采购 | 不需要 | 不适用 | 未强制执行 |
| 赛富时1 | 不需要 | 批量购买 | 不需要 | 不适用 | 未强制执行 |
| RSA SecurID | 不需要 | 批量购买 | 不需要 | 不适用 | 未强制执行 |
| 埃匹克俳句 | 不需要 | 批量购买 | 不需要 | 不适用 | 未强制执行 |
| 艾派克 坎托 | 不需要 | 批量采购 | 不需要 | 不适用 | 未强制执行 |
| 艾派克 罗孚 | 不需要 | 批量采购 | 不需要 | 不适用 | 未强制执行 |
| 埃匹克 超空间 | 不需要 | 不适用 | 不需要 | 不适用 | 未强制 |
| 沃塞拉 | 需要 | 不适用 | 需要 | 需要 | 已强制 |
| 医疗邮件 | 需要 | 不适用 | 必需 | 必需 | 已强制执行 |
| PatientRound-ing | 必需 | 不适用 | 非必需 | 不适用 | 未强制执行 |
| Outlook 网页版 | 必需 | 不适用 | 非必需 | 不适用 | 未强制执行 |
| SharePoint | 必需 | 不适用 | 不需要 | 不适用 | 未强制执行 |
用户社区
每个组织都由在不同职能角色中运作的多元用户社区组成。这些用户社区通过您通过用户的移动设备提供的各种资源执行不同的任务和办公职能。用户可能在家或在远程办公室使用您提供的移动设备工作。或者，用户可能使用其个人移动设备，这使他们能够访问受某些安全合规规则约束的工具。
随着越来越多的用户社区使用移动设备，企业移动性管理 (EMM) 对于防止数据泄露和强制实施安全限制变得至关重要。为了实现高效且更复杂的移动设备管理，您可以对用户社区进行分类。这样做可以简化用户到资源的映射，并确保正确的安全策略应用于正确的用户。
以下示例说明了医疗保健组织的用户社区如何针对 EMM 进行分类。
用户社区用例
这个示例医疗保健组织为包括网络和附属员工以及志愿者在内的多个用户提供技术资源和访问权限。该组织已选择仅向非执行用户推出 EMM 解决方案。
该组织的用户角色和职能可分为以下子组：临床、非临床和承包商。一部分选定的用户会收到公司移动设备，而其他用户可以从其个人设备访问有限的公司资源。为了强制执行适当级别的安全限制并防止数据泄露，该组织决定由公司 IT 管理每个已注册的设备，无论是公司发放的还是 BYOD 设备。此外，用户只能注册一台设备。
以下部分概述了每个子组的角色和职能：
临床
-
护士
-
医生（内科医生、外科医生等）
-
专科医生（营养师、麻醉师、放射科医生、心脏病专家、肿瘤科医生等）
-
外部医生（非雇员医生和在远程办公室工作的办公室职员）
-
家庭健康服务（为患者上门就诊提供医生服务的办公室和移动工作人员）
-
研究专家（六个研究所的知识工作者和高级用户，他们进行临床研究以寻找医学问题的答案）
-
教育和培训（教育和培训领域的护士、医生和专家）
非临床
-
共享服务（执行各种后台职能的办公室职员，包括：人力资源、薪资、应付账款、供应链服务等）
-
医生服务（为提供者执行各种医疗保健管理、行政服务和业务流程解决方案的办公室职员，包括：行政服务、分析和商业智能、业务系统、客户服务、财务、管理式医疗管理、患者访问解决方案、收入周期解决方案等）
-
支持服务（执行各种非临床职能的办公室职员，包括：福利管理、临床整合、通信、薪酬和绩效管理、设施和物业服务、人力资源技术系统、信息服务、内部审计和流程改进等）
-
慈善项目（执行各种职能以支持慈善项目的办公室和移动工作人员）
承包商
-
制造商和供应商合作伙伴（通过站点到站点 VPN 在现场和远程连接，提供各种非临床支持功能）
根据上述信息，组织创建了以下实体。有关 XenMobile 中交付组的更多信息，请参阅部署资源。
Active Directory 组织单位 (OU) 和组
对于 OU = XenMobile Resources:
-
OU = 临床；组 =
-
XM-护士
-
XM-医生
-
XM-专家
-
XM-外部医生
-
XM-家庭健康服务
-
XM-研究专家
-
XM-教育和培训
-
-
OU = 非临床；组 =
-
XM-共享服务
-
XM-医生服务
-
XM-支持服务
-
XM-慈善项目
-
XenMobile 本地用户和组
对于组 = 承包商，用户 =
-
供应商1
-
供应商2
-
供应商 3
-
… 供应商 10
XenMobile 交付组
-
临床-护士
-
临床-医生
-
临床-专家
-
临床-外部医生
-
临床-家庭健康服务
-
临床-研究专家
-
临床-教育和培训
-
非临床-共享服务
-
非临床-医生服务
-
非临床-支持服务
-
非临床-慈善项目
交付组和用户组映射
| 活动目录组 | XenMobile 交付组 |
| XM-护士 | 临床-护士 |
| XM-医生 | 临床-医生 |
| XM-专家 | 临床-专家 |
| XM-外部医生 | 临床-外部医生 |
| XM-家庭健康服务 | 临床-家庭健康服务 |
| XM-研究专家 | 临床-研究专家 |
| XM-教育和培训 | 临床-教育和培训 |
| XM-共享服务 | 非临床-共享服务 |
| XM-医生服务 | 非临床-医生服务 |
| XM-支持服务 | 非临床-支持服务 |
| XM-慈善项目 | 非临床-慈善项目 |
交付组和资源映射
以下表格说明了此用例中分配给每个交付组的资源。第一个表格显示了移动应用程序分配。第二个表格显示了公共应用程序、HDX 应用程序和设备管理资源。
| XenMobile 交付组 | Citrix 移动应用程序 | 公共移动应用程序 | HDX 移动应用程序 |
| 临床护士 | X | ||
| 临床医生 | |||
| 临床专家 | |||
| 临床外部医生 | X | ||
| 临床家庭健康服务 | X | ||
| 临床研究专家 | X | ||
| 临床教育和培训 | X | X | |
| 非临床 - 共享服务 | X | X | |
| 非临床 - 医生服务 | X | X | |
| 非临床 - 支持服务 | X | X | X |
| 非临床 - 慈善项目 | X | X | X |
| 承包商 | X | X | X |
| XenMobile 交付组 | 公共应用：RSA SecurID | 公共应用：EpicCare Haiku | HDX 应用程序：Epic Hyperspace | 密码策略 | 设备限制 | 自动化操作 | WiFi 策略 |
| 临床护士 | X | ||||||
| 临床医生 | X | ||||||
| 临床专家 | |||||||
| 临床-外部医生 | |||||||
| 临床-家庭健康服务 | |||||||
| 临床-研究专家 | |||||||
| 临床-教育和培训 | X | X | |||||
| 非临床-共享服务 | X | X | |||||
| 非临床-医生服务 | X | X | |||||
| 非临床支持服务 | X | X |
注意事项
-
XenMobile 在初始配置期间会创建一个名为“所有用户”的默认交付组。如果您不禁用此交付组，则所有 Active Directory 用户都有权注册到 XenMobile。
-
XenMobile 使用与 LDAP 服务器的动态连接按需同步 Active Directory 用户和组。
-
如果用户属于未在 XenMobile 中映射的组，则该用户无法注册。同样，如果用户是多个组的成员，XenMobile 会将用户归类为仅属于映射到 XenMobile 的组。
-
要使 MDM 注册成为强制性，您必须在 XenMobile 控制台的“服务器属性”中将“需要注册”选项设置为“True”。有关详细信息，请参阅 服务器属性。
-
您可以通过删除 SQL Server 数据库中 dbo.userlistgrps 下的条目，从 XenMobile 交付组中删除用户组。 注意： 在执行此操作之前，请创建 XenMobile 和数据库的备份。
关于 XenMobile 中的设备所有权
您可以要求所有 BYOD 用户在访问应用程序之前接受对其设备的公司管理。或者，您可以允许用户访问公司应用程序，而无需管理其设备。
当您将服务器设置 wsapi.mdm.required.flag 设置为 true 时，XenMobile 会管理所有 BYOD 设备，并且任何拒绝注册的用户都将被拒绝访问应用程序。建议在企业 IT 团队在将用户设备注册到 XenMobile 时需要高安全性以及积极的用户体验的环境中，将 wsapi.mdm.required.flag 设置为 true。
如果您将 wsapi.mdm.required.flag 保留为 false（这是默认设置），用户可以拒绝注册，但仍可以通过 XenMobile Store 访问其设备上的应用程序。建议在隐私、法律或法规限制要求不进行设备管理，而只进行企业应用程序管理的环境中，将 wsapi.mdm.required.flag 设置为 false。
拥有 XenMobile 不管理的设备的用户可以通过 XenMobile Store 安装应用程序。与设备级控制（例如选择性擦除或完全擦除）不同，您通过应用程序策略控制对应用程序的访问。这些策略根据您设置的值，要求设备定期检查 XenMobile Server，以确认应用程序仍被允许运行。
安全要求
在部署 XenMobile 环境时，安全注意事项的数量可能很快变得令人应接不暇。有许多相互关联的组件和设置。为了帮助您入门并选择可接受的保护级别，Citrix 提供了针对高、更高和最高安全性的建议，如下表所示。
您的部署模式选择不仅仅涉及安全问题。在选择部署模式之前，还必须审查用例要求并确定是否可以缓解安全问题。
高： 使用这些设置可在保持大多数组织可接受的基本安全级别的同时，提供最佳用户体验。
更高： 这些设置在安全性和可用性之间实现了更强的平衡。
最高： 遵循这些建议可在牺牲可用性和用户采用率的情况下提供高水平的安全性。
部署模式安全注意事项
下表指定了每个安全级别的部署模式。
| 高安全性 | 更高安全性 | 最高安全性 |
| MAM 或 MDM | MDM+MAM | MDM+MAM；加上 FIPS |
注意：
-
根据用例，仅MDM或仅MAM部署可以满足安全要求并提供良好的用户体验。
-
如果您不需要应用程序容器化、微型VPN或应用程序特定策略，MDM足以管理和保护设备。
-
对于BYOD等用例，如果仅应用程序容器化即可满足所有业务和安全要求，Citrix 建议使用仅MAM模式。
-
对于高安全性环境（以及公司发放的设备），Citrix 建议使用MDM+MAM以利用所有可用的安全功能。请务必强制执行MDM注册。
-
适用于具有最高安全需求的环境（例如联邦政府）的FIPS选项。
如果启用FIPS模式，则必须将SQL Server配置为加密SQL流量。
Citrix ADC 和 Citrix Gateway 安全注意事项
下表指定了每个安全级别的 Citrix ADC 和 Citrix Gateway 建议。
| 高安全性 | 更高安全性 | 最高安全性 |
| 建议使用 Citrix ADC。MAM 和 ENT 需要 Citrix Gateway；MDM 建议使用。 | 如果 XenMobile 位于 DMZ 中，则使用带 SSL 桥接的 XenMobile 向导配置的标准 Citrix ADC。如果 XenMobile Server 位于内部网络中，则在必要时使用 SSL 卸载以满足安全标准。 | 具有端到端加密的 SSL 卸载 |
注意：
-
将 XenMobile Server 通过 NAT 或现有第三方代理和负载均衡器暴露给互联网可以是 MDM 的一个选项。但是，这种设置要求 SSL 流量在 XenMobile Server 上终止，这会带来潜在的安全风险。
-
对于高安全性环境，具有默认 XenMobile 配置的 Citrix ADC 通常能满足或超出安全要求。
-
对于具有最高安全需求的 MDM 环境，在 Citrix ADC 上终止 SSL 可实现边界流量检查并保持端到端 SSL 加密。
-
定义 SSL/TLS 密码的选项。
-
还提供 SSL FIPS Citrix ADC 硬件。
-
有关详细信息，请参阅 与 Citrix Gateway 和 Citrix ADC 集成。
注册安全注意事项
下表列出了每个安全级别的 Citrix ADC 和 Citrix Gateway 建议。
| 高安全性 | 更高安全性 | 最高安全性 |
| 仅限 Active Directory 组成员身份。所有用户交付组已禁用。 | 仅限邀请的注册安全模式。仅限 Active Directory 组成员身份。所有用户交付组已禁用。 | 注册安全模式与设备 ID 绑定。仅限 Active Directory 组成员身份。所有用户交付组已禁用。 |
注意：
-
Citrix 通常建议您将注册限制为仅限于预定义的 Active Directory 组中的用户。此设置需要禁用内置的“所有用户交付组”。
-
您可以使用注册邀请将注册限制为仅限收到邀请的用户。注册邀请不适用于 Windows 设备。
-
您可以使用一次性 PIN (OTP) 注册邀请作为双因素身份验证解决方案，并控制用户可以注册的设备数量。OTP 邀请不适用于 Windows 设备。
设备密码安全注意事项
下表列出了每个安全级别的设备密码建议。
| 高安全性 | 更高安全性 | 最高安全性 |
| 推荐。设备级加密需要高安全性。通过 MDM 强制执行。您可以使用 MDX 策略“不合规设备行为”将高安全性设置为仅适用于 MAM。 | 通过 MDM、MDX 策略或两者强制执行。 | 通过 MDM 和 MDX 策略强制执行。MDM 复杂密码策略。 |
注意：
-
Citrix 建议使用设备密码。
-
您可以通过 MDM 策略强制执行设备密码。
-
您可以使用 MDX 策略将设备密码设置为使用托管应用程序的必要条件。例如，对于 BYOD 用例。
-
Citrix 建议结合使用 MDM 和 MDX 策略选项，以提高 MDM+MAM 环境中的安全性。
-
对于具有最高安全要求的环境，您可以配置复杂的密码策略并通过 MDM 强制执行。您可以配置自动操作，以便在设备不符合密码策略时通知管理员或执行选择性/完全设备擦除。