适用于 HDX™ 应用程序的 SmartAccess

Last published : Oct 21, 2026
此功能允许您根据设备属性、设备的用户属性或设备上安装的应用程序来控制对 HDX 应用程序的访问。您可以通过设置自动化操作来使用此功能，将设备标记为不合规，从而拒绝该设备访问。与此功能一起使用的 HDX 应用程序在 Virtual Apps and Desktops 中配置，方法是使用 SmartAccess 策略拒绝不合规设备的访问。XenMobile 使用签名加密标签将设备状态传达给 StoreFront™。StoreFront 然后根据应用程序的访问控制策略允许或拒绝访问。
要使用此功能，您的部署需要：
  • 虚拟应用和桌面 7.6
  • StoreFront 3.7 或 3.8
  • 配置为聚合来自 StoreFront 服务器的 HDX 应用程序的 XenMobile® Server
  • 配置了 SAML 证书的 XenMobile Server，用于签名和加密标签。不带私钥的相同证书将上传到 StoreFront 服务器。
要开始使用此功能：
  • 将 XenMobile Server 证书配置到 StoreFront 存储
  • 配置至少一个具有所需 SmartAccess 策略的 Virtual Apps and Desktops 交付组
  • 在 XenMobile 中设置自动化操作
Related information
添加应用程序

导出并配置 XenMobile Server 证书，并将其上传到 StoreFront 存储

SmartAccess 使用签名和加密标签在 XenMobile 和 StoreFront 服务器之间进行通信。为启用该通信，您需要将 XenMobile Server 证书添加到 StoreFront 存储。
有关在 XenMobile 启用域和基于证书的身份验证时集成 StoreFront 和 XenMobile 的更多信息，请参阅 支持知识中心。

从 XenMobile Server 导出 SAML 证书

  1. 在 XenMobile 控制台中，单击右上角的齿轮图标。此时将显示“设置”页面。单击“证书”。
  2. 找到 XenMobile Server 的 SAML 证书。
    SmartAccess 配置
  3. 确保“导出私钥”设置为“关”。单击“导出”将证书导出到下载目录。
    SmartAccess 配置
  4. 在下载目录中找到该证书。该证书采用 PEM 格式。
    SmartAccess 配置

将证书从 PEM 格式转换为 CER 格式

  1. 打开 Microsoft 管理控制台 (MMC) 并右键单击“证书 > 所有任务 > 导入”。
    SmartAccess 配置
  2. 证书导入向导出现后，单击“下一步”。
    SmartAccess 配置
  3. 浏览到下载目录中的证书。
    SmartAccess 配置
  4. 选择“将所有证书放入以下存储”并选择“个人”作为证书存储。单击“下一步”。
    SmartAccess 配置
  5. 查看您的选择，然后单击“完成”。单击“确定”关闭确认窗口。
  6. 在 MMC 中，右键单击证书，然后选择“所有任务 > 导出”。
    SmartAccess 配置
  7. 当证书导出向导出现时，单击“下一步”。
    SmartAccess 配置
  8. 选择格式“DER 编码二进制 X.509 (.CER)”。单击“下一步”。
    SmartAccess 配置
  9. 浏览到证书。键入证书名称，然后单击“下一步”。
    SmartAccess 配置
  10. 保存证书。
    SmartAccess 配置
  11. 浏览到证书，然后单击“下一步”。
    SmartAccess 配置
  12. 查看您的选择，然后单击“完成”。单击“确定”关闭确认窗口。
    SmartAccess 配置
  13. 在下载目录中找到证书。该证书采用 CER 格式。
    SmartAccess 配置

将证书复制到 StoreFront 服务器

  1. 在 StoreFront 服务器上，创建一个名为 SmartCert 的文件夹。
  2. 将证书复制到 SmartCert 文件夹。
    SmartAccess 配置

在 StoreFront 存储上配置证书

在 StoreFront 服务器上，运行此 PowerShell 命令以在存储上配置转换后的 XenMobile Server 证书：
Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath  “C:\xms\xms.cer” –ServerName “XMS server”SmartAccess 配置
如果 StoreFront 存储上存在任何现有证书，请运行此 PowerShell 命令将其吊销：
Revoke-STFStorePnaSmartAccess –StoreService $store –AllSmartAccess 配置
或者，您可以在 StoreFront 服务器上运行以下任何 PowerShell 命令来吊销 StoreFront 存储上的现有证书：
  • 按名称吊销：
    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
  • 按指纹吊销：
    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint “ReplaceWithThumbprint”
  • 按服务器对象吊销：
    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    $access = Get-STFStorePnaSmartAccess –StoreService $store

    Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]

为 Virtual Apps and Desktops 配置 SmartAccess 策略

要将所需的 SmartAccess 策略添加到交付 HDX 应用程序的交付组，请执行以下操作：
  1. 在 Virtual Apps and Desktops 服务器上，打开 Citrix Studio。
  2. 在 Studio 导航窗格中选择 交付组。
  3. 选择一个交付您要控制访问的应用程序的组。然后在操作窗格中选择编辑交付组。
  4. 在访问策略页面上，选择通过 NetScaler® Gateway 的连接和满足以下任一条件的连接。
  5. 单击添加。
  6. 添加访问策略，其中 Farm 为 XM，Filter 为 XMCompliantDevice。
    SmartAccess 配置
  7. 单击应用以应用所做的任何更改并保持窗口打开，或者单击确定以应用更改并关闭窗口。

在 XenMobile 中设置自动化操作

当设备不合规时，您为 HDX 应用程序在交付组中设置的 SmartAccess 策略会拒绝设备访问。使用自动化操作将设备标记为不合规。
SmartAccess 配置
  1. 在 XenMobile 控制台中，单击配置 > 操作。此时将显示操作页面。
  2. 点击“添加”以添加操作。此时将显示“操作信息”页面。
  3. 在“操作信息”页面上，键入操作的名称和说明。
  4. 点击“下一步”。此时将显示“操作详细信息”页面。在以下示例中，如果设备具有用户属性名称 eng5 或 eng6，则会创建一个触发器，该触发器会立即将设备标记为不合规。
    SmartAccess 配置
  5. 在“触发器”列表中，选择“设备属性”、“用户属性”或“已安装的应用程序名称”。SmartAccess 不支持事件触发器。
  6. 在“操作”列表中：
    • 选择“将设备标记为不合规。”.
    • 选择“是”。
    • 选择“真”。
    • 要将操作设置为在满足触发器条件时立即将设备标记为不合规，请将时间范围设置为 0。
  7. 选择要应用此操作的 XenMobile 交付组。
  8. 查看操作摘要。
  9. 点击“下一步”，然后点击“保存”。
当设备被标记为不合规时，HDX 应用程序将不再显示在 Secure Hub 商店中。用户将不再订阅该应用程序。设备不会收到通知，Secure Hub 商店中也没有任何内容表明 HDX 应用程序以前可用。
如果您希望在设备被标记为不合规时通知用户，请创建通知，然后创建自动化操作以发送该通知。
此示例在设备被标记为不合规时创建并发送此通知：“设备序列号或电话号码不再符合设备策略，并且 HDX 应用程序已被阻止。”
SmartAccess 配置

创建设备被标记为不合规时用户看到的通知

  1. 在 XenMobile 控制台中，单击控制台右上角的齿轮图标。此时将显示设置页面。
  2. 单击通知模板。此时将显示通知模板页面。
  3. 在通知模板页面上，单击添加。
  4. 当系统提示您首先设置 SMS 服务器时，单击否，稍后设置。
    SmartAccess 配置
  5. 配置以下设置：
    • **名称：**HDX 应用程序阻止
    • **描述：**设备不合规时的代理通知
    • **类型：**即席通知
    • **Secure Hub：**已激活
    • **消息：**设备 ${firstnotnull(device.TEL_NUMBER,device.serialNumber)} 不再符合设备策略，并且 HDX 应用程序已被阻止。
    SmartAccess 配置
  6. 单击保存。

创建在设备被标记为不合规时发送通知的操作

  1. 在 XenMobile 控制台中，单击配置 > 操作。操作页面随即显示。
  2. 单击添加以添加操作。操作信息页面随即显示。
  3. 在操作信息页面上，输入操作的名称和说明：
    • **名称：**HDX 阻止通知
    • **说明：**HDX 阻止通知，因为设备不合规
  4. 单击下一步。操作详细信息页面随即显示。
  5. 在触发器列表中：
    • 选择设备属性。
    • 选择不合规。
    • 选择是。
    • 选择真。
    SmartAccess 配置
  6. 在操作列表中，指定满足触发器时执行的操作：
    • 选择 发送通知
    • 选择 HDX 应用程序阻止，您创建的通知。
    • 选择 0。将此值设置为 0 会导致在满足触发条件时发送通知。
  7. 选择要应用此操作的 XenMobile 交付组。在此示例中，选择 AllUsers。
  8. 查看操作摘要。
  9. 单击 下一步，然后单击 保存。
有关设置自动化操作的详细信息，请参阅 自动化操作。

用户如何重新获得对 HDX 应用程序的访问权限

设备恢复合规性后，用户可以再次访问 HDX 应用程序：
  1. 在设备上，转到 Secure Hub 商店以刷新商店中的应用程序。
  2. 转到应用程序并轻按 添加 到应用程序。
添加应用程序后，它会出现在“我的应用程序”中，旁边有一个蓝点，因为它是一个新安装的应用程序。
SmartAccess 配置