O XenMobile Mail Manager agora é um conector do Endpoint Management para Exchange ActiveSync. Para obter mais detalhes sobre o portfólio unificado da Citrix, consulte o guia de produtos da Citrix.

O conector estende os recursos do XenMobile® das seguintes maneiras:

• Controle de Acesso Dinâmico para dispositivos Exchange ActiveSync (EAS). Os dispositivos EAS podem ter o acesso aos serviços do Exchange automaticamente permitido ou bloqueado.
• A capacidade do XenMobile de acessar informações de parceria de dispositivos EAS fornecidas pelo Exchange.
• A capacidade do XenMobile de limpar um dispositivo móvel com base no status do EAS.
• A capacidade do XenMobile de acessar informações sobre dispositivos Blackberry e de realizar operações de controle, como Limpar e Redefinir Senha.

Para limpar um dispositivo com base no status do EAS, configure uma ação automatizada com um gatilho do ActiveSync. Consulte Ações Automatizadas.

Para baixar o conector do Endpoint Management para Exchange ActiveSync:

1. Acesse https://www.citrix.com/downloads.
2. Navegue até Citrix Endpoint Management™ (e Citrix XenMobile Server) > XenMobile Server (local) > Software do Produto > XenMobile Server 10 > Componentes do Servidor.
3. No bloco Citrix Endpoint Management connector for Exchange ActiveSync, clique em Download File.

Importante:

A partir de outubro de 2022, os conectores do Endpoint Management e do Citrix Gateway para Exchange ActiveSync não oferecerão mais suporte ao Exchange Online, dadas as alterações de autenticação anunciadas pela Microsoft aqui. O conector do Endpoint Management para Exchange continua a funcionar com o Microsoft Exchange Server (local).

Novidades

As seções a seguir listam as novidades no conector do Endpoint Management para Exchange ActiveSync, anteriormente XenMobile Mail Manager.

Novidades na versão 10.1.10

Os seguintes problemas são corrigidos na versão 10.1.10:

• Clientes que enfrentam problemas frequentes de rede podem não conseguir concluir um Snapshot dentro das três tentativas fornecidas anteriormente. Com esta versão, um administrador pode configurar o número máximo de tentativas (1-10). Esta correção permite que um snapshot sofra várias interrupções na comunicação sem abandonar completamente o processo de snapshot. [CXM-70837]
• Em versões anteriores, o tipo de Snapshot não aparecia na lista de Configurações do Exchange. Agora, o tipo de snapshot aparece. [CXM-70846]
• A exceção PSRemotingTransport relatada pelo PowerShell indica que a sessão para o Exchange não é mais viável. O status é adicionado à lista de Erros Críticos no arquivo de configuração por padrão. Ao fazer isso, quando a PSRemotingTransportException é detectada, a conexão é marcada como em Erro para descarte posterior. A próxima comunicação usa uma conexão válida ou cria uma conexão. [XMHELP-2184, CXM-70836]
• Quando uma alteração de configuração é salva, é possível que nem todos os componentes internos configurados anteriormente tenham sido descartados corretamente antes de carregar a nova configuração. Esse problema pode levar a um comportamento imprevisível. O comportamento depende da alteração específica e se a alteração entrou em conflito com a configuração anterior. Nesta versão, todos os componentes internos são descartados antes de carregar a nova configuração. [XMHELP-2259, CXM-71388]

Novidades em versões anteriores

A seção a seguir lista os recursos e problemas corrigidos em versões anteriores do conector do Endpoint Management para Exchange ActiveSync.

Novidades na versão 10.1.9

Os seguintes problemas são corrigidos na versão 10.1.9:

• As alterações de configuração agora são tratadas de forma mais consistente. Quando o serviço detecta uma alteração na configuração, cada subsistema interno é interrompido, o que significa que qualquer processamento ativo ou agendado é interrompido. Em seguida, a nova configuração é carregada e os subsistemas são iniciados novamente, o que significa que todos os agendamentos e outras infraestruturas internas são restabelecidos com novas configurações. Este problema corrige um problema conhecido na versão 10.1.8. [CXM-47709, CXM-61330]
• Durante uma atualização, a configuração do banco de dados existente não foi mesclada no novo arquivo de configuração. A configuração do banco de dados agora é mesclada no arquivo de configuração atualizado. [CXM-49326]
• Nos arquivos de diagnóstico relacionados ao snapshot, os cabeçalhos das colunas estavam ausentes. Os cabeçalhos são restaurados. [CXM-62680]
• Ao atualizar de uma versão anterior, a seção de padrões do arquivo de configuração estava sendo sobrescrita pela seção análoga do arquivo de configuração em uso. Esse problema impedia que adições ou melhorias na seção de padrões fossem carregadas pelo serviço após a atualização. A partir desta versão, a seção de padrões sempre reflete a configuração mais recente. [CXM-62681]

• Os administradores não podem mais acessar certas opções pressionando Shift ao executar o aplicativo. Essas opções estavam anteriormente disponíveis com permissão da Citrix. Algumas opções agora estão totalmente disponíveis, como Permitir Redirecionamento, e outras, como Detecção de Travamento e Correção de Contagem, estão obsoletas. [CXM-62767]

  

Novidades na versão 10.1.8

Os seguintes problemas são corrigidos na versão 10.1.8:

• É possível que o Exchange restrinja o conector do Citrix Endpoint Management para o serviço Exchange ActiveSync de emitir comandos com muita frequência. Isso é comum em conexões com o Office 365. O efeito da restrição exige que o serviço pause por um período especificado antes de enviar o próximo comando. O console de Configuração agora mostra a quantidade de tempo restante na pausa. [CXM-48044]
• Quando modificações são feitas nas seções “Watchdog” ou “SpecialistsDefaults” do arquivo de configuração (config.xml), as alterações não são refletidas no arquivo de configuração após uma atualização. Com esta versão, as modificações são mescladas corretamente no novo arquivo de configuração. [CXM-52523]
• Mais detalhes foram adicionados à análise enviada ao Google Analytics, especialmente em relação aos snapshots. [CXM-56691]
• O recurso de teste de conectividade do Exchange tentaria inicializar a conexão apenas uma vez. Como as conexões do Office 365 podem ser restringidas, era possível que um teste de conectividade parecesse falhar quando restringido. O conector do Citrix Endpoint Management para Exchange ActiveSync agora tenta iniciar uma conexão até três vezes. [CXM-58180]
• Para aplicar políticas no Exchange, o conector do Citrix Endpoint Management para Exchange ActiveSync deve compilar um comando Set-CASMailbox que inclui todos os dispositivos pertinentes para cada caixa de correio, em duas listas: permitir e bloquear. Se um dispositivo não for incluído em nenhuma das listas, o Exchange retorna ao seu estado de acesso padrão. Se esse estado de acesso padrão for diferente do estado desejado para um dispositivo, esse dispositivo fica fora de conformidade. Consequentemente, uma pessoa pode perder o acesso ao seu e-mail se o estado de acesso padrão do Exchange for bloqueado e deveria ser permitido. Ou, uma pessoa cujo acesso ao e-mail deveria ser bloqueado pode ter o acesso concedido. O conector do Citrix Endpoint Management para Exchange ActiveSync agora garante que todos os dispositivos com um estado desejado válido sejam incluídos em cada comando Set-CasMailbox. [CXM-61251]

O seguinte problema é conhecido na versão 10.1.8:

Se um administrador fizer uma alteração no aplicativo Configurar que modifique os dados de configuração, enquanto o serviço estiver executando operações de longa duração, como um snapshot ou avaliação de política, o serviço poderá entrar em um estado indeterminado. Um possível sintoma pode ser que as alterações de política não sejam processadas ou que os snapshots não sejam iniciados. Para retornar o serviço a um estado de funcionamento, o serviço deve ser reiniciado. Pode ser necessário usar o gerenciador de Serviços do Windows para encerrar o processo do serviço antes de iniciar o serviço. [CXM-61330]

Novidades na versão 10.1.7

• O XenMobile Mail Manager agora é um conector do Endpoint Management para Exchange ActiveSync.
• Descontinuamos a opção Disable Pipelining na caixa de diálogo de configuração do Exchange. Você pode obter a mesma funcionalidade configurando várias etapas para cada comando no arquivo config.xml. [CXM-54593]

Os seguintes problemas são corrigidos na versão 10.1.7:

• Na janela Histórico de Snapshot, as mensagens de erro podem ser exibidas com pouco contexto. Agora, as mensagens de erro são prefixadas com o contexto de onde ocorreram. [CXM-49157]
• A DLL XmmGoogleAnalytics não tinha a versão de arquivo correspondente para o lançamento. [CXM-52518]
• Para melhorar o diagnóstico, recentemente alteramos o formato da string para uma lista de IDs de dispositivo usadas para definir um estado de caixa de correio Permitido/Bloqueado. Uma especificação de muitos dispositivos, no entanto, excedeu o tamanho máximo da string. Agora, usamos uma estrutura de dados de array interna. Essa estrutura não tem limite de tamanho e também formata os dados de forma apropriada para fins de diagnóstico. [CXM-52610]
• Quando políticas de dispositivo que não estão sincronizadas com o Exchange são detectadas, seus comandos podem incluir dispositivos que não pertencem à caixa de correio relevante. O conector do Endpoint Management para Exchange ActiveSync agora garante que os comandos para o Exchange representem apenas os dispositivos que pertencem às suas respectivas caixas de correio. [CXM-54842]
• Em alguns ambientes, um assembly da Microsoft não está disponível. O assembly necessário agora é explicitamente instalado com o aplicativo. [CXM-55439]
• Se Nomes Distintos para dispositivos ou caixas de correio tiverem espaços entre o nome do atributo e o sinal de igual, e/ou espaços após o sinal de igual e antes do valor, o conector do Endpoint Management para Exchange ActiveSync pode não corresponder corretamente um dispositivo à sua caixa de correio e vice-versa. O resultado pode ser que alguns dispositivos e/ou caixas de correio sejam rejeitados durante a reconciliação do snapshot. [CXM-56088]

Nota:

As seções a seguir referem-se ao conector do Endpoint Management para Exchange ActiveSync pelo seu nome anterior de XenMobile Mail Manager. O nome mudou a partir da versão 10.1.7.

Atualização na versão 10.1.6.20

Uma atualização para 10.1.6 contém a seguinte correção na versão 10.1.6.20:

• Quando políticas de dispositivo que não estão sincronizadas com o Exchange são detectadas, seus comandos podem incluir dispositivos que não pertencem à caixa de correio relevante. O XenMobile Mail Manager agora garante que os comandos para o Exchange representem apenas os dispositivos que pertencem às suas respectivas caixas de correio. [CXM-54842]

Novidades na versão 10.1.6

O XenMobile Mail Manager versão 10.1.6 contém os seguintes problemas corrigidos e aprimoramentos:

• A janela de histórico de snapshot, às vezes, entra em um estado em que a janela não está mais sendo atualizada. O mecanismo de atualização das janelas é aprimorado para atualizar de forma mais confiável. [CXM-47983]
• Dois modos e caminhos de código separados foram usados para snapshots particionados e não particionados. Como os snapshots não particionados são equivalentes a snapshots particionados com uma configuração usando uma única partição “*”, o modo de snapshot não particionado é eliminado. O modo de snapshot padrão agora é snapshots particionados com 36 partições (0–9, A–Z). [CXM-49093]
• Na janela Histórico de Snapshot, as mensagens de erro são sobrescritas por mensagens de status. Agora, o XenMobile Mail Manager fornece dois campos separados para que as pessoas possam visualizar o status e os erros simultaneamente. [CXM-51942]
• Ao se conectar ao Exchange Online (Office 365), as consultas relacionadas ao snapshot podem resultar em um conjunto de dados truncado. Esse problema pode ocorrer quando o XenMobile Mail Manager executa um script pipeline de vários comandos. O comando upstream não consegue passar os dados rapidamente o suficiente para o comando downstream, que então conclui o trabalho prematuramente. Dados incompletos ocorrem como resultado. O XenMobile Mail Manager agora pode imitar o próprio pipeline e esperar até que o comando upstream seja concluído antes de invocar o comando downstream. Essa alteração deve resultar no processamento e captura de todos os dados. [CXM-52280]
• Se ocorrer um erro não resolúvel em um comando de atualização de política para o Exchange, o mesmo comando é retornado à fila de trabalho repetidamente por um longo período. Essa situação resultou no envio do comando ao Exchange muitas vezes. Nesta versão do XenMobile Mail Manager, um comando que resulta em erro é retornado à fila de trabalho apenas um número discreto de vezes. [CXM-52633]
• Se uma atualização de política para uma caixa de correio específica envolvesse a permissão ou o bloqueio de todos os dispositivos: O comando Set-CASMailbox emitido falharia porque a lista vazia seria convertida em uma string vazia em vez de um NULL. Os dados corretos agora são enviados. [CXM-53759]
• Ao processar um novo dispositivo, o Exchange pode retornar o estado como “DeviceDiscovery” por um tempo (geralmente 15 minutos). O XenMobile Mail Manager não estava lidando especificamente com esse estado. O XenMobile Mail Manager agora lida com o estado. Na guia Monitor da interface do usuário, as pessoas podem filtrar por dispositivos nesse estado. [CXM-53840]
• O XenMobile Mail Manager não verificava a capacidade de gravar no banco de dados do XenMobile Mail Manager. Consequentemente, se as permissões fossem restritas, o comportamento não poderia ser previsto. O XenMobile Mail Manager agora captura e valida as permissões necessárias do banco de dados. O XenMobile Mail Manager indica permissões reduzidas ao testar a conexão (mensagem exibida) ou no indicador do Banco de Dados (passe o mouse para ver a mensagem) na parte inferior da janela principal de Configuração. [CXM-54219]
• Dependendo da carga de trabalho atual, quando instruído, o serviço XenMobile Mail Manager pode não parar prontamente. Portanto, o serviço parece estar em um estado sem resposta. As melhorias permitem que as tarefas em andamento sejam interrompidas, resultando em um desligamento mais elegante. [CXM-54282]

Novidades na versão 10.1.5

O XenMobile Mail Manager versão 10.1.5 contém os seguintes problemas corrigidos:

• Quando o Exchange está aplicando restrição à atividade do XenMobile Mail Manager, não há indicação (fora dos logs) de que a restrição está ocorrendo. Com esta versão, uma pessoa pode passar o mouse sobre o snapshot ativo e um estado de “restrição” aparece. Além disso, enquanto o XenMobile Mail Manager está sendo restringido, o início de um snapshot principal é proibido até que o Exchange suspenda o embargo de restrição. [CXM-49617]
• Se o XenMobile Mail Manager estiver sendo restringido pelo Exchange durante um snapshot principal: É possível que um tempo insuficiente seja permitido para decorrer antes de executar a próxima tentativa de um snapshot. Esse problema resulta em mais restrições e um snapshot com falha. O XenMobile Mail Manager agora aguarda um mínimo do tempo que o Exchange especifica para aguardar entre as tentativas de snapshot. [CXM-49618]
• Quando o diagnóstico está ativado, o arquivo de comandos mostra comandos Set-CasMailbox que têm hífens ausentes antes de cada nome de propriedade. Esse problema ocorre apenas na formatação do arquivo de diagnóstico e não no comando real para o Exchange. O hífen ausente impede que uma pessoa recorte o comando e o cole diretamente em um prompt do PowerShell para teste ou validação. Os hífens foram adicionados. [CXM-52520]
• Se uma identidade de caixa de correio for do formulário “sobrenome, nome”, o Exchange adiciona uma barra invertida antes da vírgula ao retornar dados de uma consulta. Essa barra invertida deve ser removida quando o XenMobile Mail Manager usa a identidade para consultar mais dados. [CXM-52635]

Limitações conhecidas

Observação:

A limitação a seguir foi resolvida na versão 10.1.6.

O XenMobile Mail Manager possui uma limitação conhecida que pode fazer com que os comandos para o Exchange falhem. Para aplicar alterações de política ao Exchange, o XenMobile Mail Manager emite um comando Set_CASMailbox. Este comando pode receber duas listas de dispositivos: uma para Permitir (Allow) e outra para Bloquear (Block). O comando é aplicado aos dispositivos associados a uma caixa de correio.

Essas listas são limitadas a 256 caracteres cada pela API da Microsoft. Se uma dessas listas exceder a limitação, o comando falha completamente, impedindo que todas as políticas para os dispositivos da caixa de correio sejam definidas. O erro relatado, que aparecerá nos logs do XenMobile Mail Manager, será semelhante ao seguinte. O exemplo é para a lista de bloqueados.

“Message:’Cannot bind parameter ‘ActiveSyncBlockedDeviceIDs’ to the target. Exception setting “ActiveSyncBlockedDeviceIDs”: “The length of the property is too long. The maximum length is 256 and the length of the value provided is …”

Os comprimentos dos IDs de dispositivo podem variar, mas uma boa diretriz é que cerca de 10 ou mais dispositivos Permitidos ou Bloqueados simultaneamente podem exceder o limite. Embora ter tantos dispositivos associados a uma caixa de correio específica seja raro, é uma possibilidade. Até que o XenMobile Mail Manager seja aprimorado para lidar com tal cenário, recomendamos que você limite o número de dispositivos associados a uma pessoa e caixa de correio a 10 ou menos. [CXM-52633]

Novidades na versão 10.1.4

O XenMobile Mail Manager versão 10.1.4 contém os seguintes problemas corrigidos:

• Devido ao enfraquecimento de sua segurança, o TLS 1.0 está sendo descontinuado pelo PCI Council. O suporte para TLS 1.1 e 1.2 foi adicionado ao XenMobile Mail Manager. [CXM-38573, CXM-32560]
• O XenMobile Mail Manager inclui um novo arquivo de diagnóstico. Quando “Habilitar Diagnósticos” é selecionado na especificação do Exchange, um novo arquivo de Histórico de Instantâneos é gerado. A cada tentativa de instantâneo, uma linha é adicionada ao arquivo com os resultados do instantâneo. [CXM-49631]
• No arquivo de diagnóstico de Comandos, a lista de dispositivos permitidos ou bloqueados não aparecia para o comando Set-CASMailbox. Em vez disso, o nome da classe interna era exibido no arquivo para os argumentos relacionados. O XenMobile Mail Manager agora mostra a lista de IDs de dispositivo como uma lista delimitada por vírgulas. [CXM-50693]
• Quando uma tentativa de adquirir uma conexão com o Exchange falha devido a uma especificação incorreta: A mensagem de erro é substituída por uma mensagem incorreta: “Todas as conexões em uso”. Mensagens mais descritivas agora aparecem, como “Todas as conexões estão inoperáveis”, “O pool de conexões está vazio”, “Todas as conexões estão limitadas” e “Nenhuma conexão disponível”. [CXM-50783]
• Às vezes, os comandos Permitir/Bloquear/Limpar (Allow/Block/Wipe) são enfileirados no cache interno do XenMobile Mail Manager várias vezes. Esse problema causa um atraso no envio do comando para o Exchange. O XenMobile Mail Manager agora enfileira apenas uma instância de cada comando. [CXM-51524]

Novidades na versão 10.1.3

• Suporte ao Google Analytics: Queremos saber como você usa o XenMobile Mail Manager para que possamos focar em como podemos melhorar o produto.
• Configuração para habilitar diagnósticos: Uma caixa de seleção “Habilitar Diagnóstico” aparece no console de Configuração na caixa de diálogo “Configuração”.

Problemas corrigidos na versão 10.1.3

• Na janela “Histórico de Instantâneos”, as dicas de ferramentas que mostram o estado atual do instantâneo não refletem o estado real. [CXM-5570] Ocasionalmente, o XenMobile Mail Manager não consegue gravar no arquivo de diagnóstico de Comandos. Quando isso ocorre, o histórico de comandos não é registrado em sua totalidade. [CXM-49217]
• Quando ocorre um erro com uma conexão, a conexão pode não ser marcada como “com erro”. Como resultado, um comando subsequente pode tentar usar a conexão e causar outro erro. [CXM-49495]
• Quando ocorre limitação (throttling) do Exchange Server, uma exceção pode ser lançada na rotina de Verificação de Integridade (Check Health). Como resultado, as conexões que experimentaram um erro ou expiraram podem não ser eliminadas. Além disso, o XenMobile Mail Manager pode não criar conexões até que o tempo de limitação expire. [CXM-49794]
• Quando a contagem máxima de sessões para o Exchange é excedida, o XenMobile Mail Manager relata o erro “Falha na Captura do Dispositivo” (Device Capture Failed), que não é uma mensagem precisa. Em vez disso, a mensagem deve indicar que as duas sessões que o XenMobile Mail Manager normalmente usa para comunicação com o Exchange estão em uso. [CXM-49994]

Novidades na versão 10.1.2

• Conexão aprimorada com o Exchange: O XenMobile Mail Manager usa sessões do PowerShell para se comunicar com o Exchange. Uma sessão do PowerShell, especialmente ao lidar com o Office 365, pode se tornar instável após um tempo, impedindo que comandos subsequentes sejam bem-sucedidos. O XenMobile Mail Manager agora pode definir um período de expiração para as conexões. Quando a conexão atinge seu tempo de expiração, o XenMobile Mail Manager encerra a sessão do PowerShell de forma elegante e cria uma nova sessão. Ao fazer isso, a sessão do PowerShell tem menos probabilidade de se tornar instável, reduzindo significativamente a chance de uma falha de instantâneo.
• Fluxo de trabalho de instantâneo aprimorado: Instantâneos importantes são uma operação demorada e que exige muitos recursos. Se ocorrer um erro durante um instantâneo, o XenMobile Mail Manager agora tenta várias vezes (até três) concluir um instantâneo. As tentativas subsequentes não começam do início. O XenMobile Mail Manager continua de onde parou. Esse aprimoramento melhora a taxa de sucesso dos instantâneos em geral, permitindo que erros transitórios passem enquanto um instantâneo ainda está em andamento.
• Diagnósticos aprimorados: A solução de problemas de operações de instantâneo agora é mais fácil com três novos arquivos de diagnóstico gerados opcionalmente durante um instantâneo. Esses arquivos ajudam a identificar problemas de comando do PowerShell, caixas de correio com informações ausentes e dispositivos que não podem ser relacionados a uma caixa de correio. Um administrador pode usar esses arquivos para identificar dados que podem não estar corretos no Exchange.
• Uso de memória aprimorado: O XenMobile Mail Manager agora é mais eficiente no uso de sua memória. Os administradores podem agendar o XenMobile Mail Manager para reiniciar automaticamente, proporcionando um novo começo para o sistema.
• Pré-requisito do Microsoft .NET Framework 4.6: O pré-requisito para o Microsoft .NET Framework agora é a versão 4.6.

Problemas corrigidos

• Erro de solicitação de credenciais: A instabilidade da sessão do Office 365 frequentemente causava esse erro. O aprimoramento da Conexão Aprimorada com o Exchange resolve o problema. (XMHELP-293, XMHELP-311, XMHELP-801)
• Imprecisões na contagem de caixas de correio e dispositivos: O XenMobile Mail Manager possui um algoritmo aprimorado de associação de Caixa de Correio a Dispositivo. O recurso de Diagnósticos Aprimorados ajuda na identificação de caixas de correio e dispositivos que o XenMobile Mail Manager considera não estarem sob sua responsabilidade. (XMHELP-623)
• Comandos Permitir/Bloquear/Limpar (Allow/Block/Wipe) não sendo reconhecidos: Um bug foi corrigido onde, às vezes, os comandos de permitir/bloquear/limpar do XenMobile Mail Manager não eram reconhecidos. (XMHELP-489)
• Gerenciamento de memória: Melhor gerenciamento e mitigação de memória. (XMHELP-419)

Arquitetura

A figura a seguir mostra os principais componentes do conector do Endpoint Management para Exchange ActiveSync. Para um diagrama de arquitetura de referência detalhado, consulte Arquitetura.

Os três componentes principais são:

• Gerenciamento de Controle de Acesso do Exchange ActiveSync: Comunica-se com o XenMobile para recuperar uma política do Exchange ActiveSync do XenMobile e mescla essa política com qualquer política definida localmente para determinar os dispositivos do Exchange ActiveSync que devem ter acesso permitido ou negado ao Exchange. A política local permite estender as regras de política para permitir o controle de acesso por Grupo do Active Directory, Pessoa, Tipo de Dispositivo ou Agente de Usuário do Dispositivo (geralmente a versão da plataforma móvel).
• Gerenciamento Remoto do PowerShell: Responsável por agendar e invocar comandos remotos do PowerShell para aplicar a política compilada pelo Gerenciamento de Controle de Acesso do Exchange ActiveSync. Periodicamente, tira um instantâneo do banco de dados do Exchange ActiveSync para detectar dispositivos do Exchange ActiveSync novos ou alterados.
• Provedor de Serviços Móveis: Fornece uma interface de serviço web para que o XenMobile possa consultar o Exchange ActiveSync, consultar dispositivos Blackberry e emitir operações de controle, como Limpar (Wipe), contra dispositivos ActiveSync e Blackberry.

Requisitos do sistema e pré-requisitos

Os seguintes requisitos mínimos de sistema são necessários para usar o conector do Endpoint Management para Exchange ActiveSync:

• Windows Server 2016, Windows Server 2012 R2 ou Windows Server 2008 R2 Service Pack 1. Deve ser um servidor baseado em inglês. O suporte para Windows Server 2008 R2 Service Pack 1 termina em 14 de janeiro de 2020 e o suporte para Windows Server 2012 R2 termina em 10 de outubro de 2023.
• Microsoft SQL Server 2016 Service Pack 2 ou SQL Server 2014 Service Pack 3.
• Microsoft .NET Framework 4.6.
• Blackberry Enterprise Service, versão 5 (opcional).

Versões mínimas suportadas do Microsoft Exchange Server:

• Microsoft Office 365
• Exchange Server 2016
• Exchange Server 2013 (o suporte termina em 11 de abril de 2023)
• Exchange Server 2010 Service Pack 3 (o suporte termina em 14 de janeiro de 2020)

Pré-requisitos

• O Windows Management Framework deve estar instalado.
  • PowerShell V5, V4 e V3
• A política de execução do PowerShell deve ser definida como RemoteSigned via Set-ExecutionPolicy RemoteSigned.

• A porta TCP 80 deve estar aberta entre o computador que executa o conector do Endpoint Management para Exchange ActiveSync e o Exchange Server remoto.

• Clientes de e-mail de dispositivo: Nem todos os clientes de e-mail retornam consistentemente o mesmo ID do ActiveSync para um dispositivo. Como o conector do Endpoint Management para Exchange ActiveSync espera um ID do ActiveSync exclusivo para cada dispositivo, apenas os clientes de e-mail que geram consistentemente os mesmos IDs do ActiveSync exclusivos para cada dispositivo são suportados. Esses clientes de e-mail foram testados pela Citrix e funcionaram sem erros:

  • Cliente de e-mail nativo Samsung
  • Cliente de e-mail nativo iOS

• Exchange: Os requisitos para o computador local que executa o Exchange são os seguintes:

  As credenciais especificadas na interface do usuário de Configuração do Exchange devem ser capazes de se conectar ao Exchange Server e ter acesso total para executar os seguintes cmdlets do PowerShell específicos do Exchange.

  • Para Exchange Server 2010 SP2:
    • Get-CASMailbox
    • Set-CASMailbox
    • Get-Mailbox
    • Get-ActiveSyncDevice
    • Get-ActiveSyncDeviceStatistics
    • Clear-ActiveSyncDevice
    • Get-ExchangeServer
    • Get-ManagementRole
    • Get-ManagementRoleAssignment
  • Para Exchange Server 2013 e Exchange Server 2016:
    • Get-CASMailbox
    • Set-CASMailbox
    • Get-Mailbox
    • Get-MobileDevice
    • Get-MobileDeviceStatistics
    • Clear-MobileDevice
    • Get-ExchangeServer
    • Get-ManagementRole
    • Get-ManagementRoleAssignment
  • Se o conector do Endpoint Management para Exchange ActiveSync estiver configurado para visualizar toda a floresta, a permissão deve ter sido concedida para executar: Set-AdServerSettings -ViewEntireForest $true
  • As credenciais fornecidas devem ter recebido o direito de se conectar ao Exchange Server via Shell remoto. Por padrão, a pessoa que instalou o Exchange tem esse direito.
  • Para estabelecer uma conexão remota e executar comandos remotos, as credenciais devem corresponder a uma pessoa que seja administradora na máquina remota. Você pode usar Set-PSSessionConfiguration para eliminar o requisito administrativo, mas a discussão desse comando está além do escopo deste documento. Para obter mais informações, consulte o artigo da Microsoft About Session Configurations.
  • O Exchange Server deve ser configurado para suportar solicitações remotas do PowerShell via HTTP. Normalmente, um administrador executando o seguinte comando do PowerShell no Exchange Server é tudo o que é necessário: WinRM QuickConfig.
  • O Exchange possui muitas políticas de limitação (throttling). Uma das políticas controla quantas conexões simultâneas do PowerShell são permitidas por pessoa. O número padrão de conexões simultâneas permitidas para uma pessoa é 18 no Exchange 2010. Quando o limite de conexão é atingido, o conector do Endpoint Management para Exchange ActiveSync não consegue se conectar ao Exchange Server. Existem maneiras de alterar o número máximo de conexões simultâneas permitidas via PowerShell que estão além do escopo desta documentação. Se tiver interesse, investigue as políticas de limitação do Exchange relacionadas ao gerenciamento remoto com o PowerShell.

Requisitos para o Office 365 Exchange

• Permissões: As credenciais especificadas na interface do usuário de Configuração do Exchange devem ser capazes de se conectar ao Office 365 e ter acesso total para executar os seguintes cmdlets do PowerShell específicos do Exchange:
  • Get-CASMailbox
  • Set-CASMailbox
  • Get-Mailbox
  • Get-MobileDevice
  • Get-MobileDeviceStatistics
  • Clear-MobileDevice
  • Get-ExchangeServer
  • Get-ManagementRole
  • Get-ManagementRoleAssignment
• Privilégios: As credenciais fornecidas devem ter recebido o direito de se conectar ao servidor do Office 365 via Shell remoto. Por padrão, o administrador online do Office 365 possui os privilégios necessários.
• Políticas de limitação (Throttling): O Exchange possui muitas políticas de limitação. Uma das políticas controla quantas conexões simultâneas do PowerShell são permitidas por pessoa. O número padrão de conexões simultâneas permitidas para uma pessoa é três no Office 365. Quando o limite de conexão é atingido, o conector do Endpoint Management para Exchange ActiveSync não consegue se conectar ao Exchange Server. Existem maneiras de alterar o número máximo de conexões simultâneas permitidas via PowerShell que estão além do escopo desta documentação. Se tiver interesse, investigue as políticas de limitação do Exchange relacionadas ao gerenciamento remoto com o PowerShell.

Instalar e configurar

1. Clique no arquivo XmmSetup.msi e siga as instruções do instalador para instalar o conector do Endpoint Management para Exchange ActiveSync.

2. Deixe “Iniciar o utilitário de configuração” selecionado na última tela do assistente de instalação. Ou, no menu “Iniciar”, abra o Endpoint Management connector for Exchange ActiveSync.

3. Configure as seguintes propriedades do banco de dados:

   • Selecione a guia “Configurar > Banco de Dados”.
   • Insira o nome do SQL Server (o padrão é localhost).
   • Mantenha o banco de dados como o padrão CitrixXmm.

4. Selecione um dos seguintes modos de autenticação usados para SQL:

   • SQL: Insira o nome de usuário e a senha de um usuário SQL válido.
   • Windows Integrated: Se você selecionar esta opção, as credenciais de logon do serviço Endpoint Management connector for Exchange ActiveSync devem ser alteradas para uma conta do Windows que tenha permissões para acessar o SQL Server. Para fazer isso, abra “Painel de Controle > Ferramentas Administrativas > Serviços”, clique com o botão direito do mouse na entrada do serviço Endpoint Management connector for Exchange ActiveSync e clique na guia “Fazer Logon”.

   Se a opção Windows Integrated também for escolhida para a conexão do banco de dados do BlackBerry, a conta do Windows especificada aqui também deve ter acesso ao banco de dados do BlackBerry.

5. Clique em “Testar Conectividade” para verificar se uma conexão pode ser feita com o SQL Server e, em seguida, clique em “Salvar”.

6. Uma mensagem solicita que você reinicie o serviço. Clique em “Sim”.

   

7. Configure um ou mais Exchange Servers:

   • Se estiver gerenciando um único ambiente Exchange, especifique apenas um servidor. Se estiver gerenciando vários ambientes Exchange, especifique um único Exchange Server para cada ambiente Exchange.
   • Clique na guia “Configurar > Exchange” e, em seguida, clique em “Adicionar”.

   

8. Selecione o tipo de ambiente do Exchange Server: “Local” ou “Office 365”.

   • Se você selecionar “Local”, insira o nome do Exchange Server a ser usado para comandos Remote PowerShell.
   • Insira o nome de usuário de uma identidade do Windows que tenha os direitos apropriados no Exchange Server, conforme especificado na seção Requisitos, e, em seguida, insira a Senha do usuário.
   • Selecione o agendamento para executar snapshots principais. Um snapshot principal detecta cada parceria do Exchange ActiveSync.
   • Selecione o agendamento para executar snapshots secundários. Um snapshot secundário detecta parcerias do Exchange ActiveSync recém-criadas.
   • Selecione o Tipo de Snapshot: “Profundo” ou “Superficial”. Snapshots superficiais são geralmente muito mais rápidos e suficientes para executar todas as funções de Controle de Acesso do Exchange ActiveSync do Endpoint Management connector for Exchange ActiveSync. Snapshots profundos podem demorar mais e são necessários apenas se o Provedor de Serviços Móveis estiver habilitado para ActiveSync. Esta opção permite que o XenMobile consulte dispositivos não gerenciados.
   • Selecione o Acesso Padrão: “Permitir”, “Bloquear” ou “Inalterado”. Esta configuração controla como todos os dispositivos, exceto aqueles identificados por regras explícitas do XenMobile ou Locais, são tratados. Se você selecionar “Permitir”, o acesso ActiveSync a todos esses dispositivos é permitido. Se você selecionar “Bloquear”, o acesso é negado. Se você selecionar “Inalterado”, nenhuma alteração é feita.
   • Selecione o Modo de Comando ActiveSync: “PowerShell” ou “Simulação”.
   • No modo PowerShell, o Endpoint Management connector for Exchange ActiveSync emite comandos PowerShell para efetivar o controle de acesso desejado. No modo Simulação, o Endpoint Management connector for Exchange ActiveSync não emite comandos PowerShell, mas registra o comando pretendido e os resultados pretendidos no banco de dados. No modo Simulação, o usuário pode então usar a guia “Monitorar” para ver o que teria acontecido se o modo PowerShell estivesse habilitado.
   • Em “Expiração da Conexão”, defina as horas e minutos para a vida útil de uma conexão. Quando uma conexão atinge a idade especificada, ela é marcada como expirada, para que nunca mais seja usada. Quando a conexão expirada não é mais usada, o Endpoint Management connector for Exchange ActiveSync encerra a conexão de forma elegante. Quando uma conexão é necessária novamente, uma nova conexão é inicializada se nenhuma estiver disponível. Se nada for especificado, o padrão de 30 minutos é usado.
   • Selecione “Visualizar Floresta Inteira” para configurar o Endpoint Management connector for Exchange ActiveSync para visualizar toda a floresta do Active Directory no ambiente Exchange.
   • Selecione o protocolo de autenticação: “Kerberos” ou “Básico”. O Endpoint Management connector for Exchange ActiveSync oferece suporte à autenticação Básica para implantações locais. Isso permite que o Endpoint Management connector for Exchange ActiveSync seja usado quando o servidor do Endpoint Management connector for Exchange ActiveSync não é membro do domínio em que o servidor Exchange reside.
   • Clique em “Testar Conectividade” para verificar se uma conexão pode ser feita com o Exchange Server e, em seguida, clique em “Salvar”.
   • Uma mensagem solicita que você reinicie o serviço. Clique em “Sim”.

9. Configure as regras de acesso: Selecione a guia “Configurar > Regras de Acesso”, clique na guia “Regras XMS” e, em seguida, clique em “Adicionar”.

   

10. Na página “Propriedades do Serviço do Servidor XenMobile”, modifique a string da URL para apontar para o XenMobile Server. Por exemplo, se o nome da instância for zdm, insira https://<XdmHostName>/zdm/services/MagConfigService. No exemplo, substitua XdmHostName pelo endereço IP ou DNS do XenMobile Server.

    

    • Insira um usuário autorizado do servidor.
    • Insira a senha do usuário.
    • Mantenha os valores padrão para “Intervalo de Linha de Base”, “Intervalo Delta” e “Tempo Limite”.
    • Clique em “Testar Conectividade” para verificar a conexão com o servidor e, em seguida, clique em “OK”.

    Se a caixa de seleção “Desabilitado” estiver marcada, o XenMobile Mail Service não coleta políticas do XenMobile.

11. Clique na guia “Regras Locais”.

    

    • Você pode adicionar regras locais com base no ActiveSync Device ID, Tipo de Dispositivo, Grupo AD, Usuário ou UserAgent do dispositivo. Na lista, selecione o tipo apropriado.
    • Insira texto ou fragmentos de texto na caixa de texto. Opcionalmente, clique no botão de consulta para visualizar as entidades que correspondem ao fragmento.

    Para todos os tipos, exceto Grupo, o sistema depende dos dispositivos encontrados em um snapshot. Portanto, se você está apenas começando e ainda não concluiu um snapshot, nenhuma entidade estará disponível.

    • Selecione um valor de texto e, em seguida, clique em “Permitir” ou “Negar” para adicioná-lo ao painel “Lista de Regras” no lado direito. Você pode alterar a ordem das regras ou removê-las usando os botões à direita do painel “Lista de Regras”. A ordem é importante porque, para um determinado usuário e dispositivo, as regras são avaliadas na ordem mostrada e uma correspondência em uma regra superior (mais próxima do topo) faz com que as regras subsequentes não tenham efeito. Por exemplo, se você tiver uma regra permitindo todos os dispositivos iPad e uma regra subsequente bloqueando o usuário Matt, o iPad de Matt ainda será permitido porque a regra do iPad tem uma prioridade efetiva maior do que a regra de Matt.
    • Para realizar uma análise das regras dentro da lista de regras para encontrar quaisquer substituições, conflitos ou construções suplementares potenciais, clique em “Analisar” e, em seguida, clique em “Salvar”.

12. Se você quiser construir regras locais que operam em Grupos do Active Directory, clique em “Configurar LDAP” e, em seguida, configure as propriedades de conexão LDAP.

    

13. Configure o Provedor de Serviços Móveis.

    O Provedor de Serviços Móveis é opcional. Essa configuração é necessária apenas se o XenMobile também estiver configurado para usar a interface do Provedor de Serviços Móveis para consultar dispositivos não gerenciados.

    • Clique na guia “Configurar > MSP”.

    

    • Defina o tipo de Transporte de Serviço como HTTP ou HTTPS para o serviço Provedor de Serviços Móveis.
    • Defina a porta de serviço (geralmente 80 ou 443) para o serviço Provedor de Serviços Móveis. Se você usar a porta 443, a porta exigirá um certificado SSL vinculado a ela no IIS.
    • Defina o Grupo de Autorização ou Usuário. Isso define o usuário ou conjunto de usuários que poderão se conectar ao serviço Provedor de Serviços Móveis a partir do XenMobile.
    • Defina se as consultas ActiveSync estão habilitadas ou não. Se as consultas ActiveSync estiverem habilitadas para o XenMobile Server, o tipo de Snapshot para um ou mais Exchange Servers deve ser definido como “Profundo”. Essa configuração pode ter custos de desempenho significativos para a realização de snapshots.
    • Por padrão, os dispositivos ActiveSync que correspondem à expressão regular WorxMail.* não serão enviados para o XenMobile. Para alterar esse comportamento, modifique o campo “Filtrar ActiveSync” conforme necessário. Em branco significa que todos os dispositivos são encaminhados para o XenMobile.
    • Clique em “Salvar”.

14. Opcionalmente, configure uma ou mais instâncias do BlackBerry Enterprise Server (BES): Clique em “Adicionar” e, em seguida, insira o nome do servidor do BES SQL Server.

    

    • Insira o nome do banco de dados de gerenciamento do BES.
    • Selecione o modo de “Autenticação”. Se você selecionar a autenticação Windows Integrated, a conta de usuário do serviço Endpoint Management connector for Exchange ActiveSync é a conta usada para se conectar ao BES SQL Server. Se você também escolher Windows Integrated para a conexão do banco de dados do Endpoint Management connector for Exchange ActiveSync, a conta do Windows especificada aqui também deve ter acesso ao banco de dados do Endpoint Management connector for Exchange ActiveSync.
    • Se você selecionar a autenticação SQL, insira o nome de usuário e a senha.
    • Defina o “Agendamento de Sincronização”. Este é o agendamento usado para se conectar ao BES SQL Server e verificar se há atualizações de dispositivo.
    • Clique em “Testar Conectividade” para verificar a conectividade com o SQL Server. Se você selecionar Windows Integrated, este teste usa o usuário atualmente logado e não o usuário do serviço Endpoint Management connector for Exchange ActiveSync e, portanto, não testa com precisão a autenticação SQL.
    • Para oferecer suporte à Limpeza remota e Redefinição de Senha de dispositivos BlackBerry a partir do XenMobile, marque a caixa de seleção “Habilitado”.
    • Insira o nome de domínio totalmente qualificado (FQDN) do BES.
    • Insira a porta BES usada para o serviço web de administração.
    • Insira o usuário totalmente qualificado e a senha exigidos pelo serviço BES.
    • Clique em “Testar Conectividade” para testar a conexão com o BES.
    • Clique em “Salvar”.

Impor políticas de e-mail com IDs ActiveSync

A política de e-mail da sua empresa pode ditar que certos dispositivos não são aprovados para uso de e-mail corporativo. Para seguir esta política, você deseja garantir que os funcionários não possam acessar o e-mail corporativo a partir desses dispositivos. O Endpoint Management connector for Exchange ActiveSync e o XenMobile trabalham juntos para impor tal política de e-mail.

O XenMobile define a política para acesso ao e-mail corporativo e, quando um dispositivo não aprovado se registra no XenMobile, o Endpoint Management connector for Exchange ActiveSync impõe a política.

O cliente de e-mail em um dispositivo se anuncia ao Exchange Server (ou Office 365) usando o ID do dispositivo, também conhecido como ActiveSync ID, que é usado para identificar o dispositivo. O Secure Hub obtém um identificador semelhante e o envia ao XenMobile quando o dispositivo é registrado. Ao comparar os dois IDs de dispositivo, o Endpoint Management connector for Exchange ActiveSync pode determinar se um dispositivo específico deve ter acesso ao e-mail corporativo. A figura a seguir ilustra este conceito:

Se o XenMobile enviar ao conector do Endpoint Management para Exchange ActiveSync um ID do ActiveSync diferente do ID que o dispositivo publica para o Exchange, o conector do Endpoint Management para Exchange ActiveSync não poderá indicar ao Exchange o que fazer com o dispositivo.

A correspondência de IDs do ActiveSync funciona de forma confiável na maioria das plataformas. No entanto, a Citrix descobriu que em algumas implementações Android, o ID do ActiveSync do dispositivo é diferente do ID que o cliente de e-mail anuncia para o Exchange. Para mitigar esse problema, você pode fazer o seguinte:

• Na plataforma Samsung SAFE, envie a configuração do ActiveSync do dispositivo a partir do XenMobile.

Para garantir que sua política de acesso ao e-mail corporativo seja aplicada corretamente, você pode adotar uma postura de segurança defensiva e configurar o conector do Endpoint Management para Exchange ActiveSync para bloquear e-mails, definindo a política estática como Negar por padrão. Isso significa que se um funcionário configurar um cliente de e-mail em um dispositivo Android e se a detecção do ID do ActiveSync não funcionar corretamente, o acesso ao e-mail corporativo será negado ao funcionário.

Regras de controle de acesso

O conector do Endpoint Management para Exchange ActiveSync fornece uma abordagem baseada em regras para configurar dinamicamente o controle de acesso para dispositivos Exchange ActiveSync. Uma regra de controle de acesso do conector do Endpoint Management para Exchange ActiveSync consiste em duas partes: uma expressão de correspondência e um estado de acesso desejado (Permitir ou Bloquear). Uma regra pode ser avaliada em relação a um determinado dispositivo Exchange ActiveSync para determinar se a regra se aplica ou corresponde ao dispositivo. Existem vários tipos de expressões de correspondência; por exemplo, uma regra pode corresponder a todos os dispositivos de um determinado Tipo de Dispositivo, ou a um ID de dispositivo Exchange ActiveSync específico, ou a todos os dispositivos de um usuário específico, e assim por diante.

A qualquer momento durante a adição, remoção e reorganização das regras na lista de regras, clicar no botão “Cancelar” reverte a lista de regras para o estado em que estava quando foi aberta pela primeira vez. A menos que você clique em “Salvar”, quaisquer alterações feitas nesta janela serão perdidas se você fechar a ferramenta de Configuração.

O conector do Endpoint Management para Exchange ActiveSync possui três tipos de regras: regras locais, regras do XenMobile Server (também conhecidas como regras XDM) e a regra de acesso padrão.

Regras locais: As regras locais têm a prioridade mais alta: Se um dispositivo for correspondido por uma regra local, a avaliação da regra será interrompida. Nem as regras do XenMobile Server nem as regras de acesso padrão serão consultadas. As regras locais são configuradas localmente para o conector do Endpoint Management para Exchange ActiveSync por meio da guia “Configurar > Regras de Acesso > Regras Locais”. A correspondência de suporte é baseada na associação de um usuário a um determinado grupo do Active Directory. A correspondência de suporte é baseada em expressões regulares para os seguintes campos:

• ID do Dispositivo ActiveSync
• Tipo de Dispositivo ActiveSync
• Nome Principal do Usuário (UPN)
• Agente de Usuário ActiveSync (geralmente a plataforma do dispositivo ou cliente de e-mail)

Desde que um snapshot principal tenha sido concluído e encontrado dispositivos, você deve ser capaz de adicionar uma regra normal ou de expressão regular. Se um snapshot principal não tiver sido concluído, você só poderá adicionar regras de expressão regular.

Regras do servidor XenMobile: As regras do XenMobile Server são referências a um XenMobile Server externo que fornece regras sobre dispositivos gerenciados. O XenMobile Server pode ser configurado com suas próprias regras de alto nível que identificam os dispositivos a serem permitidos ou bloqueados com base em propriedades conhecidas do XenMobile, como se o dispositivo está com jailbreak ou se contém aplicativos proibidos. O XenMobile avalia as regras de alto nível e produz um conjunto de IDs de Dispositivo ActiveSync permitidos ou bloqueados, que são então entregues ao conector do Endpoint Management para Exchange ActiveSync.

Regra de acesso padrão: A regra de acesso padrão é única, pois pode potencialmente corresponder a todos os dispositivos e é sempre avaliada por último. Esta regra é a regra “catch-all” (abrangente), o que significa que se um determinado dispositivo não corresponder a uma regra local ou do XenMobile Server, o estado de acesso desejado do dispositivo é determinado pelo estado de acesso desejado da regra de acesso padrão.

• Acesso Padrão – Permitir: Qualquer dispositivo que não seja correspondido por uma regra local ou do XenMobile Server será permitido.
• Acesso Padrão – Bloquear: Qualquer dispositivo que não seja correspondido por uma regra local ou do XenMobile Server será bloqueado.
• Acesso Padrão – Inalterado: Qualquer dispositivo que não seja correspondido por uma regra local ou do XenMobile Server não terá seu estado de acesso modificado de forma alguma pelo conector do Endpoint Management para Exchange ActiveSync. Se um dispositivo tiver sido colocado no modo de Quarentena pelo Exchange, nenhuma ação será tomada. Por exemplo, a única maneira de remover um dispositivo do modo de Quarentena é ter uma regra Local ou XDM explícita que substitua a quarentena.

Sobre as avaliações de regras

Para cada dispositivo que o Exchange relata ao conector do Endpoint Management para Exchange ActiveSync, as regras são avaliadas em sequência, da prioridade mais alta para a mais baixa, da seguinte forma:

• Regras locais
• Regras do XenMobile Server
• Regra de acesso padrão

Quando uma correspondência é encontrada, a avaliação é interrompida. Por exemplo, se uma regra local corresponder a um determinado dispositivo, o dispositivo não será avaliado em relação a nenhuma das regras do XenMobile Server ou à regra de acesso padrão. Isso também é válido dentro de um determinado tipo de regra. Por exemplo, se houver mais de uma correspondência para um determinado dispositivo na lista de regras locais, quando a primeira correspondência é encontrada, a avaliação é interrompida.

O conector do Endpoint Management para Exchange ActiveSync reavalia o conjunto de regras atualmente definido quando as propriedades do dispositivo mudam, ou quando dispositivos são adicionados ou removidos, ou quando as próprias regras mudam. Snapshots principais detectam alterações e remoções de propriedades de dispositivos em intervalos configuráveis. Snapshots secundários detectam novos dispositivos em intervalos configuráveis.

O Exchange ActiveSync também possui regras que governam o acesso. É importante entender como essas regras funcionam no contexto do conector do Endpoint Management para Exchange ActiveSync. O Exchange pode ser configurado com três níveis de regras: isenções pessoais, regras de dispositivo e configurações da organização. O conector do Endpoint Management para Exchange ActiveSync automatiza o controle de acesso emitindo programaticamente solicitações do Remote PowerShell para afetar as listas de isenções pessoais. Estas são listas de IDs de dispositivo Exchange ActiveSync permitidos ou bloqueados associados a uma determinada caixa de correio. Quando implantado, o conector do Endpoint Management para Exchange ActiveSync assume efetivamente o gerenciamento da capacidade de listas de isenção dentro do Exchange. Para obter detalhes, consulte o artigo da Microsoft, Controlling Device Access.

A análise é útil em situações em que várias regras para o mesmo campo foram definidas. Você pode solucionar problemas das relações entre as regras. Você realiza a análise da perspectiva dos campos da regra. Por exemplo, as regras são analisadas em grupos com base no campo que está sendo correspondido, como ID do dispositivo ActiveSync, tipo de dispositivo ActiveSync, Usuário, Agente de Usuário.

Terminologia de regras

• Regra de substituição: Uma substituição ocorre quando mais de uma única regra pode ser aplicada ao mesmo dispositivo. Como as regras são avaliadas por prioridade na lista, as instâncias de regra posteriores que poderiam ser aplicadas podem nunca ser avaliadas.
• Regra conflitante: Um conflito ocorre quando mais de uma única regra pode ser aplicada ao mesmo dispositivo, mas o acesso (Permitir/Bloquear) não corresponde. Se as regras conflitantes não forem regras de expressão regular, um conflito sempre conota implicitamente uma substituição.
• Regra suplementar: Um suplemento ocorre quando mais de uma regra é uma regra de expressão regular e, portanto, pode haver a necessidade de garantir que as duas (ou mais) expressões regulares possam ser combinadas em uma única regra de expressão regular, ou não estejam duplicando a funcionalidade. Uma regra suplementar também pode entrar em conflito em seu acesso (Permitir/Bloquear).
• Regra primária: A regra primária é a regra que foi clicada dentro da caixa de diálogo. A regra é indicada visualmente por uma linha de borda sólida que a envolve. A regra também terá uma ou duas setas verdes apontando para cima ou para baixo. Se uma seta apontar para cima, a seta indica que existem regras auxiliares que precedem a regra primária. Se uma seta apontar para baixo, isso indica que existem regras auxiliares que vêm depois da regra primária. Apenas uma única regra primária pode estar ativa a qualquer momento.
• Regra auxiliar: Uma regra auxiliar está relacionada de alguma forma à regra primária, seja por meio de substituição, conflito ou uma relação suplementar. As regras são indicadas visualmente por uma borda tracejada que as envolve. Para cada regra primária, pode haver de uma a muitas regras auxiliares. Ao clicar em qualquer entrada sublinhada, a regra ou regras auxiliares que são destacadas são sempre da perspectiva da regra primária. Por exemplo, a regra auxiliar é substituída pela regra primária, e/ou a regra auxiliar entrará em conflito em seu acesso com a regra primária, e/ou a regra auxiliar suplementará a regra primária.

Como os tipos de regras aparecem na caixa de diálogo Análise de Regras

Quando não há conflitos, substituições ou suplementos, a caixa de diálogo Análise de Regras não possui entradas sublinhadas. Clicar em qualquer um dos itens não tem impacto; por exemplo, visuais normais de item selecionado ocorrem.

A janela Análise de Regras possui uma caixa de seleção que, quando selecionada, exibe apenas as regras que são conflitos, substituições, redundâncias ou suplementos.

Quando ocorre uma substituição, pelo menos duas regras serão sublinhadas: a regra primária e a regra ou regras auxiliares. Pelo menos uma regra auxiliar aparece em uma fonte mais clara para indicar que a regra foi substituída por uma regra de prioridade mais alta. Você pode clicar na regra substituída para descobrir qual regra ou regras a substituíram. Sempre que uma regra substituída for destacada, seja porque a regra é primária ou auxiliar, um círculo preto aparece ao lado dela como uma indicação visual adicional de que a regra está inativa. Por exemplo, antes de clicar na regra, a caixa de diálogo aparece da seguinte forma:

Ao clicar na regra de prioridade mais alta, a caixa de diálogo aparece da seguinte forma:

Neste exemplo, a regra de expressão regular WorkMail.* é a regra primária (indicada pela borda sólida) e a regra normal workmailc633313818 é uma regra auxiliar (indicada pela borda tracejada). O ponto preto ao lado da regra auxiliar é uma pista visual que indica ainda mais que a regra está inativa (nunca será avaliada) devido à regra de expressão regular de prioridade mais alta que a precede. Após clicar na regra substituída, a caixa de diálogo aparece da seguinte forma:

No exemplo anterior, a regra de expressão regular WorkMail.* é a regra auxiliar (indicada pela borda tracejada) e a regra normal workmailc633313818 é uma regra primária (indicada pela borda sólida). Para este exemplo simples, não há muita diferença. Para um exemplo mais complicado, consulte o exemplo de expressão complexa mais adiante neste tópico. Em um cenário com muitas regras definidas, clicar na regra substituída identificaria rapidamente qual regra ou regras a substituíram.

Quando ocorre um conflito, pelo menos duas regras serão sublinhadas: a regra primária e a regra ou regras auxiliares. As regras em conflito são indicadas por um ponto vermelho. Regras que apenas conflitam entre si só são possíveis com duas ou mais regras de expressão regular definidas. Em todos os outros cenários de conflito, haverá não apenas um conflito, mas também uma substituição em jogo. Antes de clicar em qualquer uma das regras em um exemplo simples, a caixa de diálogo aparece da seguinte forma:

Ao inspecionar as duas regras de expressão regular, é evidente que a primeira regra permite todos os dispositivos com um ID de dispositivo que contém “App” e que a segunda regra nega todos os dispositivos com um ID de dispositivo que contém “Appl”. Além disso, embora a segunda regra negue todos os dispositivos com um ID de dispositivo que contém “Appl”, nenhum dispositivo que corresponda aos critérios será negado devido à precedência mais alta da regra de permissão. Após clicar na primeira regra, a caixa de diálogo aparece da seguinte forma:

No cenário anterior, tanto a regra primária (regra de expressão regular App.*) quanto a regra auxiliar (regra de expressão regular Appl.*) são destacadas em amarelo. Este é simplesmente um aviso visual para alertá-lo para o fato de que você aplicou mais de uma única regra de expressão regular a um único campo correspondente, o que pode significar um problema de redundância ou algo mais sério.

Em um cenário com conflito e substituição, tanto a regra primária (regra de expressão regular App.*) quanto a regra auxiliar (regra de expressão regular Appl.*) são destacadas em amarelo. Isso é simplesmente um aviso visual para alertar que você aplicou mais de uma regra de expressão regular a um único campo correspondente, o que pode significar um problema de redundância ou algo mais sério.

É fácil ver no exemplo anterior que a primeira regra (regra de expressão regular SAMSUNG.*) não apenas substitui a próxima regra (regra normal SAMSUNG-SM-G900A/101.40402), mas que as duas regras diferem em seu acesso (a primária especifica Permitir, a auxiliar especifica Bloquear). A segunda regra (regra normal SAMSUNG-SM-G900A/101.40402) é exibida em texto mais claro para indicar que foi substituída e, portanto, está inativa.

Depois de clicar na regra de expressão regular, a caixa de diálogo aparece da seguinte forma:

A regra primária (regra de expressão regular SAMSUNG.*) é seguida por um ponto vermelho para indicar que seu estado de acesso conflita com uma ou mais regras auxiliares. A regra auxiliar (regra normal SAMSUNG-SM-G900A/101.40402) é seguida por um ponto vermelho para indicar que seu estado de acesso conflita com a regra primária. Essa regra também é seguida por um ponto preto para indicar que foi substituída e, portanto, está inativa.

Pelo menos duas regras serão sublinhadas, a regra primária e a regra ou regras auxiliares. As regras que apenas se complementam envolverão apenas regras de expressão regular. Quando as regras se complementam, elas são indicadas com uma sobreposição amarela. Antes de clicar em qualquer uma das regras, em um exemplo simples, a caixa de diálogo aparece da seguinte forma:

A inspeção visual revela facilmente que ambas as regras são regras de expressão regular que foram aplicadas ao campo de ID do dispositivo ActiveSync no conector do Endpoint Management para Exchange ActiveSync. Depois de clicar na primeira regra, a caixa de diálogo aparece da seguinte forma:

A regra primária (regra de expressão regular WorkMail.*) é destacada com uma sobreposição amarela para indicar que existe pelo menos mais uma regra auxiliar que é uma expressão regular. A regra auxiliar (regra de expressão regular SAMSUNG.*) é destacada com uma sobreposição amarela para indicar que tanto ela quanto a regra primária são regras de expressão regular aplicadas ao mesmo campo dentro do conector do Endpoint Management para Exchange ActiveSync. Neste caso, esse campo é o ID do dispositivo ActiveSync. As expressões regulares podem ou não se sobrepor. Cabe a você decidir se suas expressões regulares estão bem elaboradas.

Exemplo de uma expressão complexa

Muitos potenciais substituições, conflitos ou complementos podem ocorrer, tornando impossível dar um exemplo de todos os cenários possíveis. O exemplo a seguir discute o que não fazer, ao mesmo tempo em que serve para ilustrar todo o poder da construção visual de análise de regras. A maioria dos itens está sublinhada na figura a seguir. Muitos dos itens aparecem em uma fonte mais clara, o que indica que a regra em questão foi substituída por uma regra de prioridade superior de alguma forma. Várias regras de expressão regular também estão incluídas na lista, conforme indicado pelo ícone .

Como analisar uma substituição

Para ver qual regra ou regras substituíram uma regra específica, clique na regra.

Exemplo 1: Este exemplo examina por que zentrain01@zenprise.com foi substituído.

A regra primária (regra de Grupo do AD zenprise/TRAINING/ZenTraining B, da qual zentrain01@zenprise.com é membro) tem as seguintes características:

• É destacada em azul e tem uma borda sólida.
• Tem uma seta verde apontando para cima (para indicar que a regra ou regras auxiliares devem ser encontradas acima dela).
• É seguida por um círculo vermelho e um círculo preto para indicar, respectivamente, que uma ou mais regras auxiliares conflitam com seu acesso e que a regra primária foi substituída e, portanto, está inativa.

Ao rolar para cima, você vê o seguinte:

Neste caso, existem duas regras auxiliares que substituem a regra primária: a regra de expressão regular zen.* e a regra normal zentrain01@zenprise.com (de zenprise/TRAINING/ZenTraining A). No caso da última regra auxiliar, o que ocorreu é que a regra de Grupo do Active Directory ZenTraining A contém o usuário zentrain01@zenprise.com, e a regra de Grupo do Active Directory ZenTraining B também contém o usuário zentrain01@zenprise.com. No entanto, como a regra auxiliar tem uma precedência superior à regra primária, a regra primária foi substituída. O acesso da regra primária é Permitir, e como o acesso de ambas as regras auxiliares é Bloquear, todas são seguidas por um círculo vermelho para indicar ainda mais um conflito de acesso.

Exemplo 2: Este exemplo mostra por que o dispositivo com um ID de dispositivo ActiveSync de 069026593E0C4AEAB8DE7DD589ACED33 foi substituído:

A regra primária (regra de ID de dispositivo normal 069026593E0C4AEAB8DE7DD589ACED33) tem as seguintes características:

• É destacada em azul e tem uma borda sólida.
• Tem uma seta verde apontando para cima (para indicar que a regra auxiliar deve ser encontrada acima dela).
• É seguida por um círculo preto para indicar que uma regra auxiliar substituiu a regra primária e, portanto, está inativa.

Neste caso, uma única regra auxiliar substitui a regra primária: A regra de ID de dispositivo ActiveSync de expressão regular é 3E.* Como a expressão regular 3E.* corresponderia a 069026593E0C4AEAB8DE7DD589ACED33, a regra primária nunca será avaliada.

Como analisar um complemento e um conflito

Neste caso, a regra primária é a regra de tipo de dispositivo ActiveSync de expressão regular touch.* As características são as seguintes:

• É indicada por uma borda sólida com uma sobreposição amarela como um aviso de que há mais de uma regra de expressão regular operando contra um campo de regra específico, neste caso, o tipo de dispositivo ActiveSync.
• Duas setas apontam para cima e para baixo, respectivamente, indicando que há pelo menos uma regra auxiliar com prioridade superior e pelo menos uma regra auxiliar com prioridade inferior.
• O círculo vermelho ao lado indica que pelo menos uma regra auxiliar tem seu acesso definido como Permitir, o que conflita com o acesso da regra primária de Bloquear.
• Existem duas regras auxiliares: a regra de tipo de dispositivo ActiveSync de expressão regular SAM.* e a regra de tipo de dispositivo ActiveSync de expressão regular Andro.*.
• Ambas as regras auxiliares são com bordas tracejadas para indicar que são auxiliares.
• Ambas as regras auxiliares são sobrepostas em amarelo para indicar que também são aplicadas ao campo de regra do tipo de dispositivo ActiveSync.
• Você deve garantir, em tais cenários, que suas regras de expressão regular não são redundantes.

Como analisar as regras mais a fundo

Este exemplo explora como os relacionamentos entre regras são sempre da perspectiva da regra primária. O exemplo anterior mostrou como um clique na regra de expressão regular aplicada ao campo de regra do tipo de dispositivo com um valor de touch.*. Clicar na regra auxiliar Andro.* mostra um conjunto diferente de regras auxiliares destacadas.

O exemplo mostra uma regra substituída que está incluída no relacionamento da regra. Esta regra é a regra de tipo de dispositivo ActiveSync normal Android, que é substituída (indicada pela fonte mais clara e pelo círculo preto ao lado dela) e também conflita em seu acesso com a regra primária de tipo de dispositivo ActiveSync de expressão regular Andro.*. Essa regra era anteriormente uma regra auxiliar antes de ser clicada. No exemplo anterior, a regra de tipo de dispositivo ActiveSync normal Android não foi exibida como uma regra auxiliar porque, da perspectiva da então regra primária (a regra de tipo de dispositivo ActiveSync de expressão regular touch.*), ela não estava relacionada a ela.

Para configurar uma regra local de expressão normal

1. Clique na guia “Regras de Acesso”.

1. Na lista “ID do Dispositivo”, selecione o campo para o qual você deseja criar uma Regra Local.

2. Clique no ícone de lupa para exibir todas as correspondências exclusivas para o campo escolhido. Neste exemplo, o campo “Tipo de Dispositivo” foi escolhido e as opções são mostradas abaixo na caixa de listagem.

   

3. Clique em um dos itens na caixa de listagem de resultados e, em seguida, clique em uma das seguintes opções:

   • “Permitir” significa que o Exchange será configurado para permitir o tráfego do ActiveSync para todos os dispositivos correspondentes.
   • “Negar” significa que o Exchange será configurado para negar o tráfego do ActiveSync para todos os dispositivos correspondentes.

   Neste exemplo, todos os dispositivos que têm um tipo de dispositivo SamsungSPhl720 têm o acesso negado.

   

Para adicionar uma expressão regular

As regras locais de expressão regular podem ser distinguidas pelo ícone que aparece ao lado delas - .

Para adicionar uma regra de expressão regular, você pode criar uma regra de expressão regular a partir de um valor existente na lista de resultados para um determinado campo (desde que um instantâneo principal tenha sido concluído), ou você pode simplesmente digitar a expressão regular que deseja.

Para criar uma expressão regular a partir de um valor de campo existente

1. Clique na guia “Regras de Acesso”.

   

2. Na lista “ID do Dispositivo”, selecione o campo para o qual você deseja criar uma Regra Local de expressão regular.

3. Clique no ícone de lupa para exibir todas as correspondências exclusivas para o campo escolhido. Neste exemplo, o campo “Tipo de Dispositivo” foi escolhido e as opções são mostradas abaixo na caixa de listagem.

   

4. Clique em um dos itens na lista de resultados. Neste exemplo, SAMSUNGSPHL720 foi selecionado e aparece na caixa de texto ao lado de “Tipo de Dispositivo”.

   

5. Para permitir todos os tipos de dispositivo que contêm “Samsung” em seu valor de tipo de dispositivo, adicione uma regra de expressão regular seguindo estas etapas:

   1. Clique dentro da caixa de texto do item selecionado.

   2. Altere o texto de SAMSUNGSPHL720 para SAMSUNG.*.

   3. Certifique-se de que a caixa de seleção de expressão regular esteja marcada.

   4. Clique em “Permitir”.

   

Para criar uma regra de acesso

1. Clique na guia “Regras Locais”.

2. Para inserir a expressão regular, você deve usar a lista “ID do Dispositivo” e a caixa de texto do item selecionado.

   

3. Selecione o campo com o qual você deseja fazer a correspondência. Este exemplo usa “Tipo de Dispositivo”.
4. Digite a expressão regular. Este exemplo usa samsung.*

5. Certifique-se de que a caixa de seleção de expressão regular esteja marcada e, em seguida, clique em “Permitir” ou “Negar”. Neste exemplo, a escolha é “Permitir”. O resultado final é o seguinte:

   

Para encontrar dispositivos

Ao marcar a caixa de seleção de expressão regular, você pode executar pesquisas por dispositivos específicos que correspondam à expressão fornecida. Este recurso está disponível apenas se um instantâneo principal tiver sido concluído com êxito. Você pode usar este recurso mesmo que não haja planos de usar regras de expressão regular. Por exemplo, suponha que você queira encontrar todos os dispositivos que contêm o texto “workmail” em seu ID de dispositivo ActiveSync. Para fazer isso, siga este procedimento.

1. Clique na guia “Regras de Acesso”.

2. Certifique-se de que o seletor de campo de correspondência de dispositivo esteja definido como “ID do Dispositivo” (o padrão).

   

3. Clique dentro da caixa de texto do item selecionado (conforme mostrado em azul na figura anterior) e, em seguida, digite workmail.*.

4. Certifique-se de que a caixa de seleção de expressão regular esteja marcada e, em seguida, clique no ícone de lupa para exibir as correspondências, conforme mostrado na figura a seguir.

   

Para adicionar um usuário, dispositivo ou tipo de dispositivo individual a uma regra estática

Você pode adicionar regras estáticas com base no usuário, ID do dispositivo ou tipo de dispositivo na guia “Dispositivos ActiveSync”.

1. Clique na guia “Dispositivos ActiveSync”.

2. Na lista, clique com o botão direito em um usuário, dispositivo ou tipo de dispositivo e selecione se deseja permitir ou negar sua seleção.

   A imagem a seguir mostra a opção Permitir/Negar quando user1 é selecionado.

   

Monitoramento de dispositivos

A guia Monitor no conector do Endpoint Management para Exchange ActiveSync permite navegar pelos dispositivos Exchange ActiveSync e BlackBerry que foram detectados e pelo histórico de comandos PowerShell automatizados que foram emitidos. A guia Monitor contém as três guias a seguir:

• Dispositivos ActiveSync:
  • Você pode exportar as parcerias de dispositivos ActiveSync exibidas clicando no botão “Exportar”.
  • Você pode adicionar regras Locais (estáticas) clicando com o botão direito nas colunas “Usuário”, “ID do Dispositivo” ou “Tipo” e selecionando o tipo de regra de permissão ou bloqueio apropriado.
  • Para recolher uma linha expandida, clique com Ctrl na linha expandida.
• Dispositivos BlackBerry
• Histórico de Automação

A guia Configurar mostra o histórico de todos os instantâneos. O histórico de instantâneos mostra quando o instantâneo foi tirado, quanto tempo levou, quantos dispositivos foram detectados e quaisquer erros que ocorreram:

• Na guia “Exchange”, clique no ícone de informações para o Exchange Server desejado.
• Na guia “MSP”, clique no ícone de informações para o BlackBerry Server desejado.

Solução de problemas e diagnóstico

O conector do Endpoint Management para Exchange ActiveSync registra erros e outras informações operacionais em seu arquivo de log: Install Folder\log\XmmWindowsService.log. O conector do Endpoint Management para Exchange ActiveSync também registra eventos significativos no Log de Eventos do Windows.

Para alterar o nível de log

O conector do Endpoint Management para Exchange ActiveSync inclui os seguintes níveis de log: Erro, Info, Aviso, Depuração e Rastreamento.

Observação:

Cada nível sucessivo gera mais detalhes (mais dados). Por exemplo, o nível Erro fornece o mínimo de detalhes, enquanto o nível Rastreamento fornece o máximo de detalhes.

Para alterar o nível de log, faça o seguinte:

1. Em C:\Program Files\Citrix\Citrix Endpoint Management connector, abra o arquivo nlog.config.

2. Na seção <rules>, altere o parâmetro minilevel para o nível de log de sua preferência. Por exemplo:

       <rules>
   
       <logger name="*" writeTo="file" minlevel="Debug" />
   
       </rules>
   <!--NeedCopy-->
   

3. Salve o arquivo.

   As alterações entram em vigor imediatamente. Não é necessário reiniciar o conector do Endpoint Management para Exchange ActiveSync.

Erros comuns

A lista a seguir inclui erros comuns:

• O serviço do conector do Endpoint Management para Exchange ActiveSync não inicia

  Verifique o arquivo de log e o Log de Eventos do Windows em busca de erros. As causas típicas são as seguintes:

  • O serviço do conector do Endpoint Management para Exchange ActiveSync não consegue acessar o SQL Server. Isso pode ser causado pelos seguintes problemas:

    • O serviço do SQL Server não está em execução.
    • Falha na autenticação.

    Se a autenticação Integrada do Windows estiver configurada, a conta de usuário do serviço do conector do Endpoint Management para Exchange ActiveSync deve ser um logon SQL permitido. A conta do serviço do conector do Endpoint Management para Exchange ActiveSync usa o padrão Sistema Local, mas pode ser alterada para qualquer conta que tenha privilégios de administrador local. Se a autenticação SQL estiver configurada, o logon SQL deve ser configurado corretamente no SQL.

  • A porta configurada para o Provedor de Serviços Móveis (MSP) não está disponível. Uma porta de escuta deve ser selecionada que não esteja sendo usada por outro processo no sistema.

• O XenMobile não consegue se conectar ao MSP

  Verifique se a porta de serviço e o transporte do MSP estão configurados corretamente na guia “Configurar > MSP” do console do conector do Endpoint Management para Exchange ActiveSync. Verifique se o “Grupo de Autorização” ou “Usuário” está definido corretamente.

  Se o HTTPS estiver configurado, um certificado de servidor SSL válido deve ser instalado. Se o IIS estiver instalado, o Gerenciador do IIS pode ser usado para instalar o certificado. Se o IIS não estiver instalado, consulte Como configurar uma porta com um certificado SSL para obter detalhes sobre a instalação de certificados.

  O conector do Endpoint Management para Exchange ActiveSync contém um programa utilitário para testar a conectividade com o serviço MSP. Execute o programa InstallFolder\MspTestServiceClient.exe e defina a URL e as credenciais para uma URL e credenciais que estão configuradas no XenMobile e então clique no botão “Testar Conectividade”. Isso simula as solicitações de serviço web que o XenMobile Server emite. Se o HTTPS estiver configurado, você deve especificar o nome do host real do servidor (o nome especificado no certificado SSL).

  Ao usar “Testar Conectividade”, certifique-se de ter pelo menos um registro ActiveSyncDevice ou o teste pode falhar.

  

Ferramentas de solução de problemas

Um conjunto de utilitários PowerShell para solução de problemas está disponível na pasta Support\PowerShell.

Uma ferramenta de solução de problemas realiza uma análise aprofundada de caixas de correio e dispositivos de usuários, detectando condições de erro e possíveis áreas de falha, e uma análise aprofundada de RBAC de usuários. Ela pode salvar a saída bruta de todos os cmdlets em um arquivo de texto.