设备策略

Last published : Oct 21, 2026
您可以通过创建策略来配置 XenMobile® 与设备交互的方式。尽管许多策略对所有设备都通用，但每台设备都有一组特定于其操作系统的策略。因此，您可能会发现不同平台之间，甚至不同 Android 设备制造商之间存在差异。
有关每个设备策略的摘要说明，请参阅本文中的设备策略摘要。
注意：
如果您的环境配置了组策略对象 (GPO)：
为 Windows 10 和 Windows 11 设备配置 XenMobile 设备策略时，请牢记以下规则。如果一个或多个已注册设备上的策略发生冲突，则与 GPO 对齐的策略优先。
要查看 Android Enterprise 容器支持哪些策略，请参阅 Android Enterprise。
Related information
按平台划分的设备策略AirPlay 镜像设备策略AirPrint 设备策略Android Enterprise 应用权限APN 设备策略应用访问设备策略应用程序属性设备策略应用程序配置设备策略应用清单设备策略应用锁定设备策略应用程序网络使用设备策略应用通知设备策略隧道设备策略应用卸载设备策略自动更新托管应用程序设备策略BitLocker 设备策略日历 (CalDav) 设备策略蜂窝设备策略连接计划设备策略联系人 (CardDAV) 设备策略控制操作系统更新设备策略凭据设备策略自定义 XML 设备策略声明式设备管理策略Defender 设备策略设备健康证明设备策略设备名称设备策略教育配置设备策略Exchange 设备策略文件设备策略FileVault 设备策略字体设备策略主屏幕布局设备策略导入 iOS 和 macOS 配置文件设备策略屏幕锁定管理设备策略自助服务终端设备策略Knox Platform for Enterprise 密钥设备策略启动器配置设备策略LDAP 设备策略位置设备策略邮件设备策略托管配置策略托管域设备策略最大常驻用户设备策略MDM 选项设备策略组织信息设备策略密码设备策略个人热点设备策略配置文件删除设备策略预置配置文件设备策略配置文件移除设备策略代理设备策略限制设备策略漫游设备策略SCEP 设备策略Siri 和听写策略SSO 帐户设备策略应用商店设备策略已订阅日历设备策略条款和条件设备策略VPN 设备策略壁纸设备策略网页内容筛选器设备策略Web 剪辑设备策略Wi-Fi 设备策略Windows 信息保护设备策略XenMobile® 选项设备策略XenMobile® 卸载设备策略

先决条件

  • 创建您计划使用的任何交付组。
  • 安装任何必要的 CA 证书。

添加设备策略

创建设备策略的基本步骤如下：
  1. 命名并描述策略。
  2. 为一个或多个平台配置策略。
  3. 创建部署规则（可选）。
  4. 将策略分配给交付组。
  5. 配置部署计划（可选）。
要创建和管理设备策略，请转到 配置 > 设备策略。
设备策略配置屏幕的图像
要添加策略：
  1. 在 设备策略 页面上，单击 添加。将显示 添加新策略 页面。
    设备策略配置屏幕的图像
  2. 单击一个或多个平台以查看所选平台的设备策略列表。单击策略名称以继续添加策略。
    设备策略配置屏幕的图像
    您也可以在搜索框中键入策略名称。键入时，将显示潜在匹配项。如果您的策略在列表中，请单击它。结果中将只保留您选择的策略。单击它以打开该策略的 策略信息 页面。
  3. 选择要包含在策略中的平台。所选平台的配置页面将显示在步骤 5 中。
  4. 完成 策略信息 页面，然后单击 下一步。策略信息 页面收集策略名称等信息，以帮助您识别和跟踪策略。此页面对于所有策略都类似。
  5. 完成平台页面。您在步骤 3 中选择的每个平台都会显示平台页面。这些页面对于每个策略都不同。策略在不同平台之间可能有所不同。并非所有策略都适用于所有平台。
    某些页面包含项目表。要删除现有项目，请将鼠标悬停在包含列表的行上，然后单击右侧的垃圾桶图标。在确认对话框中，单击 删除。
    要编辑现有项目，请将鼠标悬停在包含列表的行上，然后单击右侧的铅笔图标。

配置部署规则、分配和计划

有关配置部署规则的详细信息，请参阅部署资源。
  1. 在平台页面上，展开部署规则，然后配置以下设置。默认情况下显示基本选项卡。
    • 在列表中，单击选项以确定何时部署策略。您可以选择在满足所有条件时或在满足任何条件时部署策略。默认选项设置为所有。
    • 单击新建规则以定义条件。
    • 在列表中，单击条件，例如设备所有权和BYOD。
    • 如果要添加更多条件，请再次单击新建规则。您可以根据需要添加任意数量的条件。
  2. 单击高级选项卡以使用布尔选项组合规则。您在基本选项卡上选择的条件将显示。
  3. 您可以使用更高级的布尔逻辑来组合、编辑或添加规则。
    • 单击AND、OR或NOT。
    • 在列表中，选择要添加到规则的条件。然后，单击右侧的加号 (+) 将条件添加到规则中。
      您可以随时单击以选择条件，然后单击编辑以更改条件或删除以删除条件。
    • 单击新建规则以添加另一个条件。
  4. 单击下一步以转到下一个平台页面，或者在所有平台页面完成后，转到分配页面。
  5. 在分配页面上，选择要应用策略的交付组。如果单击某个交付组，该组将显示在接收应用程序分配的交付组框中。
    接收应用分配的交付组在您选择交付组之前不会出现。
    设备策略配置屏幕的图像(/en-us/xenmobile/server/media/device-policies-assignment.png)
  6. 在分配页面上，展开部署计划，然后配置以下设置：
    • 在部署旁边，单击开以安排部署，或单击关以阻止部署。默认选项设置为开。
    • 在部署计划旁边，单击立即或稍后。默认选项设置为立即。
    • 如果单击稍后，请单击日历图标，然后选择部署的日期和时间。
    • 在部署条件旁边，单击每次连接时或单击仅当上次部署失败时。默认选项设置为每次连接时。
    • 在部署用于始终在线连接旁边，单击开或关。默认选项设置为关。
      注意：
      此选项在您已在设置 > 服务器属性中配置计划后台部署密钥时适用。始终在线选项不适用于 iOS 设备。
      您配置的部署计划对所有平台都相同。您所做的任何更改都适用于所有平台，但部署用于始终在线连接除外，该选项不适用于 iOS。
    设备策略配置屏幕的图像(/en-us/xenmobile/server/media/deployment-schedule.png)
  7. 单击保存。
    该策略显示在设备策略表中。

从设备中删除设备策略

从设备中删除设备策略的步骤取决于平台。
  • 安卓
    要从 Android 设备中删除设备策略，请使用 XenMobile 卸载设备策略。有关详细信息，请参阅XenMobile 卸载设备策略。
  • iOS 和 macOS
    要从 iOS 或 macOS 设备中删除设备策略，请使用配置文件删除设备策略。在 iOS 和 macOS 设备上，所有策略都是 MDM 配置文件的一部分。因此，您可以为要删除的策略创建配置文件删除设备策略。其余策略和配置文件将保留在设备上。有关信息，请参阅配置文件删除设备策略。
  • Windows 10 操作系统和 Windows 11 操作系统
    您无法直接从 Windows 桌面或平板电脑设备中删除设备策略。但是，您可以使用以下任一方法：
    • 取消注册设备，然后将一组新策略推送到设备。然后用户重新注册以继续。
    • 推送安全操作以选择性擦除特定设备。该操作会从设备中删除所有企业应用和数据。然后，从仅包含该设备的交付组中删除设备策略，并将该交付组推送到设备。然后用户重新注册以继续。
  • Chrome 操作系统
    要从 Chrome OS 设备中删除设备策略，您可以从仅包含该设备的交付组中删除设备策略。然后将该交付组推送到设备。

编辑设备策略

要编辑策略，请选中策略旁边的复选框以显示策略列表上方的选项菜单。或者，单击列表中的策略以显示列表右侧的选项菜单。
设备策略配置屏幕图像
要查看策略详细信息，请单击显示更多。
要编辑设备策略的所有设置，请单击 编辑。
如果单击 删除，将显示确认对话框。再次单击 删除 以删除策略。

检查策略部署状态

在 配置 > 设备策略 页面上单击策略行以检查其部署状态。
设备策略部署状态屏幕
当策略部署处于待定状态时，用户可以通过点击 首选项 > 设备信息 > 刷新策略 从 Secure Hub 刷新策略。

筛选已添加的设备策略列表

您可以按策略类型、平台和关联的交付组筛选已添加的策略列表。在 配置 > 设备策略 页面上，单击 显示筛选器。在列表中，选择要查看的项目的复选框。
设备策略配置屏幕的图像
单击 保存此视图 以保存筛选器。筛选器的名称将显示在 保存此视图 按钮下方的按钮中。

设备策略摘要

设备策略名称 设备策略描述
AirPlay 镜像 将特定的 AirPlay 设备（例如另一台 Mac 计算机）添加到 iOS 设备。您还可以选择将设备添加到受监督设备的允许列表中。该选项将用户限制为仅允许列表中的 AirPlay 设备。
隔空打印 将隔空打印机添加到 iOS 设备上的隔空打印机列表。此策略使得在打印机和设备位于不同子网的环境中提供支持变得更加容易。
Android Enterprise 应用权限 配置工作配置文件中对 Android Enterprise 应用的请求如何处理 Google 所谓的“危险”权限。
Android Enterprise 应用限制 更新与 Android 应用相关的限制。
APN 确定用于将设备连接到特定电话运营商的通用分组无线服务 (GPRS) 的设置。此设置已在大多数新手机中定义。如果您的组织不使用消费者 APN 从移动设备连接到互联网，请使用此策略。
应用访问 定义设备上必需、可选或禁止的应用列表。然后，您可以创建自动化操作以响应设备与该应用列表的合规性。
应用属性 为 iOS 设备指定属性，例如托管应用捆绑包 ID 或每应用 VPN 标识符。
应用配置 远程配置支持托管配置的各种应用的设置和行为。为此，您可以将 XML 配置文件（称为属性列表或 plist）部署到 iOS 设备。或者，您可以将键/值对部署到 Windows 10 手机，或运行 Windows 10 或 Windows 11 的桌面或平板设备。
应用清单 收集受管设备上的应用程序清单。XenMobile 随后会将该清单与部署到这些设备的任何应用程序访问策略进行比较。通过这种方式，您可以检测到位于应用程序访问允许列表或阻止列表上的应用程序，然后采取正确的措施。
应用程序锁定 定义用户可以在 iOS 或某些 Android 设备上运行或无法运行的应用程序列表。
应用程序网络使用情况 设置网络使用规则，以指定受管应用程序如何在 iOS 设备上使用网络（例如蜂窝数据网络）。这些规则仅适用于受管应用程序。受管应用程序是通过 XenMobile 部署到用户设备的应用程序。
应用程序卸载 从用户设备中删除应用程序。
应用程序通知 控制 iOS 用户如何接收来自指定应用程序的通知。
自动更新受管应用程序 控制已安装的受管应用程序如何在 Android Enterprise 设备上更新。
BitLocker 配置 Windows 10 和 Windows 11 设备上 BitLocker 界面中可用的设置。
日历 (CalDAV) 将日历 (CalDAV) 帐户添加到 iOS 或 macOS 设备。CalDAV 帐户使用户能够将日程数据与任何支持 CalDAV 的服务器同步。
蜂窝网络 配置蜂窝网络设置。
连接管理器 指定自动连接到互联网和专用网络的应用程序的连接设置。此策略仅适用于 Windows Pocket PC。
联系人 (CardDAV) 将 iOS 联系人 (CardDAV) 帐户添加到 iOS 或 macOS 设备。CardDAV 帐户使用户能够将联系人数据与任何支持 CardDAV 的服务器同步。
控制操作系统更新 将最新的操作系统更新部署到受支持的受监管设备。
凭据 在 XenMobile 中启用与您的 PKI 配置的集成身份验证。例如，使用 PKI 实体、密钥库、凭据提供程序或服务器证书。
自定义 XML 自定义设备预配、设备功能启用、设备配置和故障管理等功能。
防御者 配置 Windows 10 和 Windows 11 台式机和平板电脑的 Windows Defender 设置。
设备运行状况证明 要求 Windows 10 和 Windows 11 设备报告其运行状况。为此，它们会将特定数据和运行时信息发送到健康证明服务 (HAS) 进行分析。HAS 会创建并返回一个健康证明证书，然后设备会将其发送到 XenMobile。当 XenMobile 收到健康证明证书时，它会根据该证书的内容部署您配置的自动操作。
设备名称 设置 iOS 和 macOS 设备上的名称，以便您可以识别这些设备。您可以使用宏、文本或两者的组合来定义设备名称。
教育配置 配置教师和学生设备以与 Apple Education 配合使用。如果教师使用课堂应用，则需要教育配置设备策略。
交换 为设备上的本机电子邮件客户端启用 ActiveSync 电子邮件。
文件 将脚本文件添加到 XenMobile，这些文件为用户执行特定功能。或者，您可以添加文档文件，以便 Android 设备用户可以在其设备上访问。添加文件时，您还可以指定希望文件存储在设备上的目录。
FileVault 此策略允许您在已注册的 macOS 设备上启用 FileVault 设备加密。您还可以控制用户在登录期间可以跳过 FileVault 设置的次数。适用于 macOS 10.7 或更高版本。
字体 将字体添加到 iOS 和 macOS 设备。字体必须是 TrueType (.TTF) 或 OpenType (.OFT) 字体。XenMobile 不支持字体集合 (.TTC 或 .OTC)。
主屏幕布局 指定 iOS 9.3 及更高版本受监管设备上 iOS 主屏幕的应用和文件夹布局。
导入 iOS 和 macOS 配置文件 将 iOS 和 macOS 设备的设备配置 XML 文件导入 XenMobile。该文件包含您使用 Apple Configurator 准备的设备安全策略和限制。
键盘锁管理 控制用户在解锁设备键盘锁和工作挑战键盘锁之前可用的功能。您还可以控制完全托管设备和专用设备的设备键盘锁功能。例如，您可以禁用锁屏功能，如指纹解锁、信任代理和通知。
信息亭 限制 Samsung SAFE 设备上的应用程序使用。您可以将可用应用程序限制为特定应用程序。此策略适用于仅用于运行特定类型或类别应用程序的企业设备。此策略还允许您为信息亭模式选择设备主屏幕和锁屏壁纸的自定义图像。
Knox 企业平台密钥 允许您提供所需的 Samsung Knox Platform for Enterprise (KPE) 许可证信息。
启动器配置 指定 Android 设备上 Citrix Launcher 的设置，例如允许的应用程序和启动器图标的自定义徽标图像。
LDAP 提供用于 iOS 设备的 LDAP 服务器信息，包括任何必要的帐户信息，例如 LDAP 服务器主机名。此策略还提供一组在查询 LDAP 服务器时使用的 LDAP 搜索策略。
位置 允许您在地图上对设备进行地理定位，前提是设备已为 Secure Hub 启用 GPS。将此策略部署到设备后，您可以从 XenMobile Server 发送定位命令。然后设备会响应其位置坐标。XenMobile 还支持地理围栏和跟踪策略。
邮件 在 iOS 或 macOS 设备上配置电子邮件帐户。
受管域 定义适用于电子邮件和 Safari 浏览器的受管域。受管域通过控制哪些应用程序可以打开使用 Safari 从域下载的文档来帮助您保护公司数据。对于 iOS 8 及更高版本的受监督设备，您可以指定 URL 或子域来控制用户如何从浏览器打开文档、附件和下载。
MDM 选项 管理受监督的 iOS 7.0 及更高版本手机设备上的“查找我的手机”和 iPad 激活锁。
组织信息 指定 XenMobile 部署到 iOS 设备的警报消息的组织信息。
密码 在受管设备上强制执行 PIN 码或密码。您可以设置设备上密码的复杂性和超时。
个人热点 允许用户在不在 Wi-Fi 网络范围内时连接到互联网。用户通过其 iOS 设备上的蜂窝数据连接，使用个人热点功能进行连接。
配置文件删除 从 iOS 或 macOS 设备中删除应用程序配置文件。
预配配置文件 指定要发送到设备的企业分发预配配置文件。当您开发和代码签名 iOS 企业应用程序时，通常会包含一个预配配置文件。Apple 要求应用程序在 iOS 设备上运行需要此配置文件。如果预配配置文件丢失或已过期，则当用户点击打开应用程序时，应用程序会崩溃。
预配配置文件移除 移除 iOS 预配配置文件。
代理 指定运行 iOS 的设备的全局 HTTP 代理设置。每个设备只能部署一个全局 HTTP 代理策略。
限制 提供数百种选项来锁定和控制托管设备上的功能。限制选项示例包括：禁用摄像头或麦克风、强制执行漫游规则以及强制访问第三方服务（例如应用商店）。
漫游 配置是否允许 iOS 设备上的语音和数据漫游。如果禁用语音漫游，则数据漫游会自动禁用。
计划 Android 设备连接回 XenMobile Server 以进行 MDM 管理、应用推送和策略部署所需。如果您未将此策略发送到设备且未启用 Google FCM，则设备无法连接回服务器。
SCEP 配置 iOS 和 macOS 设备以从外部 SCEP 服务器检索证书。您还可以使用 SCEP 从连接到 XenMobile 的 PKI 向设备交付证书。为此，请在分布式模式下创建 PKI 实体和 PKI 提供程序。
SSO 帐户 创建单点登录 (SSO) 帐户，以便用户只需登录一次即可访问 XenMobile 和您的内部公司资源。用户无需在设备上存储任何凭据。XenMobile 将企业用户凭据用于跨应用程序（包括来自 App Store 的应用程序）的 SSO 帐户。此策略与 Kerberos 身份验证兼容。适用于 iOS。
订阅的日历 在 iOS 设备上的日历列表中添加订阅日历。请确保在将日历添加到用户设备上的订阅日历列表之前，您已订阅该日历。
条款和条件 要求用户接受公司管理企业网络连接的特定策略。当用户使用 XenMobile 注册其设备时，他们必须接受条款和条件才能注册其设备。拒绝条款和条件将取消注册过程。
隧道 仅用于远程支持。远程支持使您的技术支持代表能够远程控制受管的 Windows CE 和 Android 移动设备。远程支持不适用于群集部署的本地 XenMobile Server。自 January 1, 2019 起，新客户不再提供远程支持。现有客户可以继续使用该产品，但 Citrix 不会提供增强功能或修复。
VPN 提供对使用旧版 VPN 网关技术的后端系统的访问。此策略提供可部署到设备的 VPN 网关连接详细信息。XenMobile 支持多种 VPN 提供商，包括 Cisco AnyConnect、Juniper 和 Citrix VPN。如果您的 VPN 网关支持此选项，您可以将此策略链接到 CA 并启用按需 VPN。
壁纸 添加 .png 或 .jpg 文件以在 iOS 设备的锁定屏幕、主屏幕或两者上设置壁纸。要在 iPad 和 iPhone 上使用不同的壁纸，请创建不同的壁纸策略并将其部署给相应的用户。
Web 内容筛选器 筛选 iOS 设备上的 Web 内容。XenMobile 使用 Apple 自动筛选功能以及您添加到允许列表和阻止列表的站点。仅适用于 iOS 监管设备。
网页快捷方式 将网站快捷方式或 Web 剪辑放置在用户设备上，使其与应用程序一起显示。您可以为 iOS、macOS 和 Android 设备指定自己的图标来表示 Web 剪辑。Windows 平板电脑仅需要标签和 URL。
无线局域网 允许管理员将 Wi-Fi 路由器详细信息部署到受管设备。路由器详细信息包括 SSID、身份验证数据和配置数据。
Windows 信息保护 指定需要 Windows 信息保护的应用程序，达到您为策略设置的强制级别。该策略适用于 Windows 10 和 Windows 11 受监管设备。
XenMobile 商店 指定 XenMobile Store Web 剪辑是否显示在用户设备的主屏幕上。
XenMobile 选项 配置从 Android 设备连接到 XenMobile 时的 Secure Hub 行为。
XenMobile 卸载 从 Android 和 Window Mobile/CE 设备卸载 XenMobile。部署后，此策略会从部署组中的所有设备中删除 XenMobile。