限制设备策略

注意：

如果升级包含新的“限制”设备策略设置，则必须编辑并保存策略。在您保存升级后的限制设备策略之前，Citrix Endpoint Management 不会部署升级后的限制设备策略。

限制设备策略允许或限制用户设备上的某些特性或功能，例如相机。可以设置安全限制和媒体内容的限制。您还可以对用户可以安装和不能安装的应用程序类型设置限制。大多数限制设置默认为开或允许。主要的例外情况是 iOS 安全 - 强制功能和所有 Windows Tablet 功能，其默认值为关或限制。

选择开的任何选项都表示用户可以执行操作或使用该功能。例如：

• 相机： 如果设置为开，用户将可以使用其设备上的相机。如果设置为关，则用户无法在其设备上使用摄像头。
• 屏幕截图： 如果设置为开，用户可以在其设备上拍摄屏幕截图。如果设置为关，则用户无法在其设备上截取屏幕截图。

如果您同时配置了限制设备策略和展台设备策略，则限制设备策略优先。

要添加或配置此策略，请转至配置 > 设备策略。有关详细信息，请参阅设备策略。

iOS 设置

某些 iOS 限制策略设置仅适用于 iOS 的特定版本，如此处和 Citrix Endpoint Management 控制台限制策略页面中所述。

当设备在用户注册模式、无监督（完全 MDM）模式或受监督模式下注册时，这些设置将适用。下表显示了适用于 iOS 13 及更高版本的每个设置的注册模式。

• 自动设备注册： 受监督的设备。这些设备是通过批量注册注册的。
• 设备注册： 未受监督的设备。这些设备单独注册，整个设备完全进行 MDM。
• 用户注册： 仅托管特定用户的设备。有关用户注册的详细信息，请参阅 Apple 文档。

当设备以用户注册模式、无监督（完全 MDM）模式或监督模式注册时，iOS 限制策略设置可能会适用。下表显示了适用于 iOS 13 及更高版本的每个“限制”策略设置的注册模式。

如表中所示，自 iOS 13 起，以前在未受监督和监督模式下可用的某些设置仅在监督模式下可用。以下规则适用：

• 如果受监管的 iOS 13+ 设备注册了 Citrix Endpoint Management，则设置将应用于该设备。
• 如果不受监督的 iOS 13+ 设备注册了 Citrix Endpoint Management，则这些设置不适用于该设备。
• 如果 iOS 12（或更低版本）设备已经注册了 Citrix Endpoint Management，然后升级到 iOS 13，则没有任何变化。这些设置与升级之前一样应用到设备。

有关将 iOS 设备设置为受监督模式的信息，请参阅使用 Apple Configurator 2 部署设备。

• 允许硬件控制
  • 相机： 允许用户在其设备上使用相机。
    • FaceTime： 允许用户在其设备上使用 FaceTime。适用于受监督的 iOS 设备。
  • 屏幕截图： 允许用户在其设备上截取屏幕截图。
    • 允许“课堂”应用程序远程观察学生的屏幕： 如果未选中此限制，教师将无法使用“课堂”应用程序远程观察学生的屏幕。默认设置为选中，教师可以使用“课堂”应用程序观察学生的屏幕。允许“课堂”应用程序运行 AirPlay 和查看屏幕而不提示的设置确定学生是否接收向教师授予权限的提示。适用于受监督的 iOS 设备。
    • 允许课堂应用程序在不提示的情况下执行 AirPlay 和 View Screen： 如果选择此限制，教师可以在学生设备上进行 AirPlay 和 View Screen，而无需提示授权。默认设置为未选中。适用于受监督的 iOS 设备。
  • 照片流： 允许用户使用 MyPhotoStream 通过 iCloud 与其所有 iOS 设备共享照片。
  • 共享照片流： 允许用户使用 iCloud Photo Sharing 与同事、朋友和家人共享照片。
  • 允许共用的 iPad 临时会话： 阻止访问共用的 iPad 上的临时会话。
  • 语音拨号： 在用户设备上启用拨号。
  • Siri： 允许用户使用 Siri。
    • 设备锁定时允许： 允许用户在其设备锁定时使用 Siri。

    • Siri 猥亵语言过滤： 启用 Siri 猥亵语言过滤。默认为限制此功能，也就是说不会进行猥亵语言过滤。

      有关 Siri 和安全性的详细信息，请参阅 Siri 和听写策略。

  • 安装应用程序： 允许用户安装应用程序。适用于受监督的 iOS 设备。
  • 替代应用程序市场： 防止从 Web 安装替代市场应用程序，并防止任何已安装的替代市场应用程序安装应用程序。此功能在 iOS 17.4 及更高版本中提供。默认值为开。适用于受监督的 iOS 设备。
  • 允许在漫游时执行全局后台获取： 允许设备在漫游时自动向 iCloud 同步邮件帐户。设置为关时，在 iOS 手机漫游时将禁用全局后台获取活动。默认设置为开。
• 允许使用应用程序
  • iTunes Store： 允许用户访问 iTunes Store。适用于受监督的 iOS 设备。
  • 应用程序内购买： 允许用户进行应用程序内购买。
    • 购买时需要 iTunes Store 密码： 应用内购买需要密码。默认为限制此功能，也就是说进行应用程序内购买无需密码。
  • Safari： 允许用户访问 Safari。适用于受监督的 iOS 设备。
    • 自动填充： 允许用户在 Safari 上设置用户名和密码自动填充功能。
    • 强制显示欺诈警告： 如果启用此设置，则当用户访问可疑网络钓鱼 Web 站点时，Safari 会向用户发出警报。默认为限制此功能，也就是说不会发出警报。
    • 启用 JavaScript： 允许在 Safari 上运行 JavaScript。
    • 阻止弹出窗口： 查看 Web 站点时阻止弹出窗口。默认为限制此功能，也就是说不阻止弹出窗口。
  • 接受 Cookie： 设置为接受 Cookie 的程度。在列表中，选择某个选项以允许或限制 Cookie。默认选项为总是，即允许所有 Web 站点在 Safari 中保存 Cookie。其他选项为仅限当前 Web 站点、从不和仅来自访问的 Web 站点。

• 网络 - 允许执行 iCloud 操作

  • iCloud 文档和数据： 允许用户将文档和数据同步到 iCloud。适用于受监督的 iOS 设备。
  • iCloud 备份： 允许用户向 iCloud 备份其设备。
  • iCloud 钥匙串： 允许用户在 iCloud 钥匙串中存储密码、Wi-Fi 网络信息、信用卡信息以及其他信息。
  • 云照片库： 允许用户访问其 iCloud 照片库。

• 安全 - 强制

  默认为限制以下功能，即不启用任何安全功能。

  • 加密备份： 强制加密到 iCloud 的备份。
  • 有限广告跟踪： 阻止有针对性的广告跟踪。
  • 首次 AirPlay 配对时输入通行码： 需要使用屏幕上显示的一次性代码验证已启用 AirPlay 的设备才可以使用 AirPlay。
  • 需要配对的 Apple Watch 才能使用腕部监测： 需要配对的 Apple Watch 才能使用腕部监测。
  • 使用 AirDrop 共享托管文档： 将此选项设置为开会使 AirDrop 显示为非托管放置目标。

• 安全 - 允许

  • 接受不可信 SSL 证书： 允许用户接受 Web 站点的不可信 SSL 证书。
  • 自动更新证书信任设置： 允许自动更新可信证书。
  • 需要托管粘贴板： 允许复制和粘贴功能遵循应用到在非托管应用程序中使用托管应用程序中的文档和在托管应用程序中使用非托管应用程序中的文档的相同限制。 例如，配置以下各项：
    • Require managed pasteboard（需要托管粘贴板）：开
    • 在非托管应用程序中使用托管应用程序中的文档： 关
    • 在托管应用程序中使用非托管应用程序中的文档： 开 将策略部署到 iOS 设备后，用户无法将数据从托管应用程序复制并粘贴到非托管应用程序，但可以将数据从非托管应用程序复制并粘贴到托管应用程序。
  • 在非托管应用程序中使用托管应用程序中的文档： 允许用户将托管（企业）应用程序中的数据移动到非托管（私人）应用程序。
  • 在托管应用程序中使用非托管应用程序中的文档： 允许用户将非托管（私人）应用程序中的数据移动到托管（企业）应用程序。
  • 将诊断结果提交给 Apple： 允许将有关用户设备的匿名诊断数据发送给 Apple。
  • 通过 Touch ID 或面容 ID 解锁设备： 允许用户使用 Touch ID 或面容 ID 解锁其设备。
  • 自动解锁： 如果设置为关，则用户无法使用 Apple Watch 解锁配对的 iPhone。默认值为开。适用于 iOS 14.5 或更高版本。
  • 锁定时接收 Wallet 通知： 允许 Wallet 通知显示在锁屏界面上。
  • 转移： 允许用户从一台 iOS 设备向附近的另一台 iOS 设备转移活动。
  • 托管应用程序的 iCloud 同步： 允许用户向 iCloud 同步托管应用程序。
  • 企业通讯簿备份： 允许将企业通讯簿备份到 iCloud。
  • 企业书籍的笔记和重点同步： 允许用户添加到企业书籍的笔记和重点同步到 iCloud。
  • 企业应用程序信任： 允许信任企业应用程序。企业应用程序是为您的组织定制的任何应用程序。这些应用程序可以在内部制作，也可以从外部供应商处开发和购买。有关其他信息，请参阅 Install custom enterprise apps on iOS（在 iOS 上安装自定企业级应用）。
  • Spotlight 中的 Internet 结果： 允许 Spotlight 显示来自 Internet 以及设备的搜索结果。
  • 非托管应用程序读取托管联系人： 可选。仅当非托管应用程序中来自托管应用程序的文档处于禁用状态时才可用。如果启用，则非托管应用程序可以读取托管帐户的联系人数据。默认设置为关。从 iOS 12 开始可用。
  • 托管应用程序写入非托管联系人： 可选。如果启用，则允许托管应用程序将联系人写入非托管帐户的联系人。如果非托管应用程序中来自托管应用程序的文档处于启用状态，则此限制无效。默认设置为关。从 iOS 12 开始可用。
  • 允许 Apple 个性化广告： 如果设置为关，Apple 广告平台将无法使用用户的数据来投放个性化广告。默认值为开。适用于 iOS 14.0 或更高版本。

• 仅监管设置 - 允许

  这些设置仅适用于受监管设备。有关将 iOS 设备设置为受监督模式的步骤，请参阅使用 Apple Configurator 2 部署设备。

  • 允许修改 eSIM： 允许用户更改其设备上的 eSIM 设置。
  • 擦除所有内容和设置： 允许用户擦除其设备中的所有内容和设置。
  • 屏幕时间： 允许用户启用“屏幕时间”。
  • 播客： 允许用户下载和同步播客。
  • 安装配置文件： 允许用户安装并非由您部署的配置文件。
  • Touch ID 和面容 ID 修改： 允许用户更改或删除其 Touch ID 或面容 ID。
  • 从设备安装应用程序： 允许用户安装应用程序。禁用此设置将阻止最终用户安装新应用程序。App Store 处于禁用状态，其图标将从主屏幕中删除。
  • 键盘快捷方式： 允许用户为其常用的字词或短语创建自定义键盘快捷方式。
  • 配对的 Apple Watch： 允许用户将 Apple Watch 与受监督的设备配对。
  • 修改通行码： 允许用户在受监督的设备上更改通行码。
  • 修改设备名称： 允许用户更改其设备的名称。
  • 修改壁纸： 允许用户在更改其设备上的壁纸。
  • 自动下载应用程序： 允许下载应用程序。
  • AirDrop： 允许用户与附近的 iOS 设备共享照片、视频、Web 站点、位置及其他信息。
  • iMessage： 允许用户使用 iMessage 通过 Wi-Fi 传递文本消息。
  • Siri 用户生成的内容： 允许 Siri 从 Web 查询用户生成的内容。用户，而非传统新闻记者；生成用户生成的内容。例如，在 Twitter 或 Facebook 上找到的内容是用户生成的。
  • iBook： 允许用户使用 iBook 应用程序。
  • 删除应用程序： 允许用户从其设备中删除应用程序。
  • 游戏中心： 允许用户在其设备上通过游戏中心在线玩游戏。
    • 添加好友： 允许用户向好友发送玩游戏通知。
    • 多人游戏： 允许用户在其设备上启动多人游戏。
  • 修改帐户设置： 允许用户修改其设备帐户设置。
  • 修改应用程序手机网络数据设置： 允许用户修改使用手机网络数据的方式。
  • 允许建立网络驱动器连接： 阻止连接到“文件”应用程序中的网络驱动器。
  • 允许建立 USB 设备连接： 阻止连接到“文件”应用程序中的任何已连接的 USB 设备。
  • 允许查找我的设备： 禁用“Find My app”（查找我的应用程序）中的 Find My Device（查找我的设备）选项。
  • 允许“查找我的好友”设置： 禁用“查找我的好友”应用程序中的查找我的好友选项。
  • 修改“查找我的好友”设置： 允许用户更改其“查找我的好友”设置。
  • 与非配置器主机配对： 允许管理员控制用户设备可以与哪些设备配对。禁用此设置将阻止配对，与运行 Apple Configurator 的监督主机配对除外。如果未配置任何监督主机证书，将禁用所有配对。
  • 预测键盘： 允许用户设备使用预测键盘，在用户键入时提供建议单词。如果要管理标准化测试，不允许用户访问建议的单词，在此类情况下可以禁用此选项。
  • 键盘自动更正： 允许用户设备使用键盘自动更正。如果要管理标准化测试，不允许用户访问自动更正，在此类情况下可以禁用此选项。
  • 键盘拼写检查： 在键入时允许用户设备使用拼写检查。如果要管理标准化测试，不允许用户访问拼写检查，在此类情况下可以禁用此选项。
  • 定义查找： 在键入时允许用户设备使用定义查找。在管理标准化测试等不希望用户在键入时查找定义的情况下，禁用此选项。
  • 单一应用程序包 ID： 创建允许控制设备并防止与其他应用程序或功能交互的应用程序列表。 要添加应用程序，请单击添加，键入应用程序名称，然后单击保存。对要添加的每个应用程序重复该过程。
  • 新闻： 允许用户使用新闻应用程序。
  • Apple 音乐服务： 允许用户使用 Apple 音乐服务。如果您不允许使用 Apple 音乐服务，则音乐应用程序以经典模式运行。
  • Apple 音乐： 允许用户使用 Apple 音乐。
  • 修改通知： 允许用户修改通知设置。

  • 受限应用程序使用： 允许用户使用所有应用程序或者使用或不使用某些应用程序，具体取决于您提供的捆绑包 ID。仅适用于受监督的设备。如果选择仅允许某些应用程序，请添加捆绑包 ID 为 com.apple.webapp 的应用程序以允许 Web 剪辑。

    注意：

    自 iOS 11 起，Apple 引入了对适用于应用程序限制的策略所做的更改。Apple 不再允许您通过限制适当的 iOS 应用程序包来删除对“设置”应用程序和“电话”应用程序的访问权限。

    配置限制设备策略以阻止某些应用程序，然后部署了该策略之后：如果以后要允许这些应用程序中的一些或全部，更改并部署限制设备策略不会更改显示。在这种情况下，iOS 不会将更改应用于 iOS 配置文件。要继续操作，请使用配置文件删除策略删除 iOS 配置文件，然后部署更新的限制设备策略。

    如果将此设置更改为仅允许某些应用程序： 部署此策略之前，建议使用 Apple 部署计划注册的设备的用户从设置助理登录其 Apple 帐户。否则，用户可能必须在其设备上禁用双重身份验证，才能登录其 Apple 帐户并访问允许的应用程序。

  • 修改诊断提交： 允许用户在设置 > Diagnostics & Usage（诊断和使用）窗格中修改诊断提交和应用程序分析设置。
  • 修改蓝牙： 允许用户修改蓝牙设置。
  • 允许听写： 仅在监督下使用。如果此限制设置为关，则不允许听写输入，包括语音转换为文本。默认设置为开。
  • 修改 Wi-Fi 是打开还是关闭： 阻止在“设置”或“控制中心”中打开或关闭 Wi-Fi。进入飞行模式也没有任何影响。此限制并不妨碍选择要使用的 Wi-Fi 网络。
  • 仅加入由网络策略安装的 Wi-Fi 网络： 可选。仅在监督下使用。如果此限制设置为开，则仅在 Wi-Fi 网络是通过配置文件设置的情况下设备才能加入这些网络。默认设置为关。
  • 允许“课堂”应用程序运行 AirPlay 和查看屏幕而不提示： 如果选中此限制，教师可以在学生的设备上执行 AirPlay 和查看屏幕操作，而不提示授予权限。默认设置为未选中。适用于受监督的 iOS 设备。
  • 允许“课堂”应用程序锁定到应用程序以及锁定设备而不提示： 如果此限制设置为开，“课堂”应用程序会自动将用户设备锁定到某个应用程序并锁定设备，而不提示用户。默认设置为关。适用于运行 iOS 11（最低版本）的受监督设备。
  • 自动加入“课堂”应用程序课程而不提示： 如果此限制设置为开，“课堂”应用程序会自动将用户加入到课程中，而不提示用户。默认设置为关。适用于运行 iOS 11（最低版本）的受监督设备。
  • 允许 AirPrint： 如果此限制设置为关，用户将无法通过 AirPrint 打印。默认设置为开。此限制设置为开时，将显示这些额外的限制。适用于运行 iOS 11（最低版本）的受监督设备。
    • 允许在钥匙串中存储 AirPrint 凭据： 如果未选中此限制，AirPrint 用户名和密码将不存储在钥匙串中。默认设置为选中。适用于运行 iOS 11（最低版本）的受监督设备。
    • 允许使用 iBeacon 发现 AirPrint 打印机： 如果未选中此限制，则禁止 iBeacon 发现 AirPrint 打印机。此设置将阻止虚假 AirPrint 蓝牙信标对网络流量进行网络钓鱼。默认设置为选中。适用于运行 iOS 11（最低版本）的受监督设备。
    • 仅允许通过 AirPrint 打印到证书受信任的目标打印机： 如果选中此限制，用户可以使用 AirPrint 仅打印到证书受信任的目标打印机。默认设置为未选中。适用于运行 iOS 11（最低版本）的受监督设备。
  • 添加 VPN 配置： 如果此限制设置为关，用户将无法创建 VPN 配置。默认设置为开。适用于运行 iOS 11（最低版本）的受监督设备。
  • 修改手机网络套餐设置： 如果此限制设置为关，用户将无法修改手机网络套餐设置。默认设置为开。适用于运行 iOS 11（最低版本）的受监督设备。
  • 删除系统应用程序： 如果此限制设置为关，用户将无法从其设备中删除系统应用程序。默认设置为开。适用于运行 iOS 11（最低版本）的受监督设备。
  • 设置新的附近的设备： 如果此限制设置为“关”，用户将无法设置新的附近的设备。默认设置为“开”。适用于运行 iOS 11（最低版本）的受监督设备。
  • 允许 USB 受限模式： 如果设置为关，设备在锁定状态下可以始终连接到 USB 附属设施。默认值为开。仅适用于 iOS 11.3 及更高版本的受监督设备。
  • 强制延迟软件更新： 如果 开启，则延迟用户对软件更新的可见性。设置此限制后，用户在软件更新发布日期后的指定天数之后才能看到软件更新。默认设置为关。仅适用于 iOS 11.3 及更高版本的受监督设备。操作系统更新策略有更多设置来控制设备接收更新的频率。请参阅“操作系统更新”设备策略。
  • 强制软件更新延迟（天数）： 允许您指定设备上软件更新的延迟天数。最长延迟时间为 90 天。默认值为 30 天。仅适用于 iOS 11.3 及更高版本的受监督设备。
  • 强制课堂申请离开课程的权限： 如果设置为开，通过“课堂”应用程序在非托管课程中注册的学生在尝试离开课程时将向教师申请权限。默认设置为关。仅适用于 iOS 11.3 及更高版本的受监督设备。
  • 在自动填充之前强制执行身份验证： 强制用户在使用自动填充功能之前进行身份验证。
  • 强制自动填写日期和时间： 允许您在受监督设备上自动设置日期和时间。如果 开启，设备用户将无法清除 常规 > 日期和时间 下的 自动设置。仅当设备可以确定其位置时，设备上的时区才会更新。也就是说，当设备启用了手机网络连接或启用了带定位服务的 Wi-Fi 连接时。默认设置为关。仅适用于 iOS 12 及更高版本的受监督设备。
  • 密码自动填充： 可选。如果禁用，用户将无法使用“自动填充密码”或“自动使用强密码”功能。默认值为开。从 iOS 12 开始可用。
  • 密码邻近请求： 可选。如果禁用，用户的设备将不从附近的设备请求密码。默认值为开。从 iOS 12 开始可用。
  • 密码共享： 可选。如果禁用，用户将无法使用“AirDrop 密码”功能共享其密码。默认值为开。从 iOS 12 开始可用。
  • 允许修改个人热点： 阻止用户更改个人热点设置。
  • 允许未配对的设备启动恢复： 如果设置为开，则允许未配对的设备启动设备进行恢复。默认值为关。适用于 iOS 14.5 或更高版本。
  • 安装快速安全响应： 如果设置为关，则禁止安装快速安全响应。默认值为开。
  • 删除快速安全响应： 如果设置为关，则禁止删除快速安全响应。默认值为开。
  • 允许邮件隐私保护： 如果设置为关，则禁用设备上的“Mail Privacy Protection”（邮件隐私保护）。默认值为开。适用于 iOS 15.2 或更高版本。
  • NFC： 如果设置为关，则禁用 NFC。默认值为开。适用于 iOS 14.2 或更高版本。
  • 允许应用程序剪辑：如果设置为关，则禁止用户添加任何应用程序剪辑并删除设备上的任何现有应用程序剪辑。默认值为开。适用于 iOS 14.0 或更高版本。
• 安全 - 在锁屏界面中显示
  • 控制中心： 允许访问锁屏界面上的控制中心。控制中心允许用户轻松修改飞行模式、Wi-Fi、蓝牙、请勿打扰模式和锁定旋转设置。
  • 通知： 允许在锁屏界面上显示通知。
  • “今天”视图： 允许在锁屏界面上显示“今天”视图，此视图汇总了天气及当天的日历项目等信息。
• 媒体内容 - 允许
  • 成人音乐、博客及 iTunes U 资料： 允许用户设备上出现成人资料。
  • iBooks 中暴露的性内容： 允许从 iBooks 下载成人资料。
  • 评分地区： 设置从其获得家长控制评分的地区。在列表中，单击某个国家/地区以设置评分地区。默认值为美国。
  • 电影： 设置是否允许在用户设备上播放电影。如果允许播放电影，可以选择为电影设置评分级别。在列表中，单击某个选项以允许或限制在设备上播放电影。默认值为“允许所有电影”。
  • 电视节目： 设置是否允许在用户设备上播放电视节目。如果允许播放电视节目，可以选择为电视节目设置评分级别。在列表中，单击某个选项以允许或限制在设备上播放电视节目。默认值为“允许所有电视节目”。
  • 应用程序： 设置是否允许在用户设备上使用应用程序。如果允许使用应用程序，可以选择为应用程序设置评分级别。在列表中，单击某个选项以允许或限制在设备上使用应用程序。默认值为“允许所有应用程序”。
• 策略设置
  • 删除策略： 选择计划删除策略的方法。可用选项包括选择日期和删除前的持续时间(小时)
    • 选择日期： 单击日历可选择具体删除日期。
    • 删除前的持续时间(小时)： 键入发生策略删除操作之前的小时数。仅适用于 iOS 6.0 及更高版本。
  • 配置文件作用域： 选择此策略是应用于用户还是整个系统。默认值为用户。此选项仅适用于 iOS 9.3 及更高版本。

macOS 设置

• 首选项
  • 限制系统首选项中的项目： 允许或限制用户访问系统首选项。默认值为关，表示完全允许用户访问系统首选项。如果启用，可以配置以下设置。
    • 系统首选项窗格： 选择是启用还是禁用选择的设置。默认为启用所有设置，即默认情况下为开。
      • 用户和组
      • 常规
      • 辅助工具
      • App Store
      • 软件更新
      • 蓝牙
      • CD 和 DVD
      • 日期和时间
      • 桌面和屏幕保护程序
      • 显示
      • 基站
      • 节能程序
      • 扩展
      • 光纤通道
      • iCloud
      • Ink
      • Internet 帐户
      • 键盘
      • 语言和文字
      • Mission Control
      • 鼠标
      • 网络
      • 通知
      • 家长控制
      • 打印机和扫描仪
      • 配置文件
      • 安全和隐私
      • 共享
      • 声音
      • 听写和语音
      • Spotlight
      • 启动磁盘
      • Time Machine
      • 触控板
      • Xsan
• 应用程序
  • 允许使用游戏中心： 允许用户通过游戏中心在线玩游戏。默认值为开。
  • 允许添加游戏中心好友： 允许用户向好友发送玩游戏通知。默认值为开。
  • 允许多人游戏： 允许用户发起多人游戏。默认值为开。
  • 允许修改游戏中心帐户： 允许用户修改其游戏中心帐户设置。默认值为开。
  • 允许应用商店采用： 允许或限制应用商店采用 OS X 中预先存在的应用程序。默认设置为开。
  • 允许 Safari 自动填充： 允许 Safari 自动使用其存储的密码、地址和其他基本信息填充 Web 站点上的字段。默认值为开。
  • 需要提供管理员密码才能安装或更新应用程序： 需要提供管理员密码才能安装或更新应用程序。默认值为关，表示无需提供管理员密码。
  • 将应用商店限制为仅提供软件更新： 将应用商店限制为仅提供更新，这样会在应用商店中禁用除“更新”之外的所有选项卡。默认值为关，即允许完整的应用商店访问。
  • 限制允许打开的应用程序： 限制或允许用户可以使用的应用程序。默认值为“关”，表示所有应用程序均可以使用。如果启用，请配置以下设置：
    • 允许运行的应用程序： 单击添加，输入允许启动的应用程序的名称和捆绑包 ID，然后单击保存。对于 Citrix 移动生产力应用程序，请在添加应用程序时使用软件包 ID 字段中的 ID。请对允许启动的每个应用程序重复此步骤。
    • 不允许使用的文件夹： 单击添加，键入要限制用户访问的文件夹的文件路径（例如，/Applications/Utilities），然后单击保存。对不希望用户访问的所有文件夹重复此步骤。
    • 允许使用的文件夹： 单击添加，键入要允许用户访问的文件夹的文件路径，然后单击保存。对您希望用户能够访问的所有文件夹重复此步骤。
• 组件
  • 只允许运行以下控制板组件： 如果设置为开，则用户只能运行在此设置中配置的控制板组件。默认值为关，表示允许用户运行所有组件。如果启用，可以配置以下设置：
    • 允许运行的组件： 单击添加，键入允许运行的组件的名称和 ID，然后单击保存。为希望在控制板上运行的每个组件重复执行此步骤。
• 媒体
  • 允许 AirDrop： 允许用户与附近的 iOS 设备共享照片、视频、Web 站点、位置及其他信息。
• 共享
  • 自动启用新共享服务： 选择是否自动启用共享服务。
  • 邮件： 选择是否允许使用共享的邮箱。
  • Facebook： 选择是否允许使用共享的 Facebook 帐户。
  • 视频服务 - Flickr、Vimeo、Tudou 和 Youku： 选择是否允许使用共享的视频服务。
  • 添加到 Aperture： 选择是否允许将共享功能添加到 Aperture。
  • 新浪微博： 选择是否允许共享的新浪微博帐户。
  • Twitter： 选择是否允许使用共享的 Twitter 帐户。
  • 消息： 选择是否允许对消息进行共享访问。
  • 添加到 iPhoto： 选择是否允许将共享功能添加到 iPhoto。
  • 添加到阅读列表： 选择是否允许将共享功能添加到阅读列表。
  • AirDrop： 选择是否允许使用共享的 AirDrop 帐户。
• 功能
  • 锁定桌面图片： 选择用户是否可以更改桌面图片。默认值为关，表示用户可以更改桌面图片。
  • 允许使用相机： 选择用户是否可以在其 Mac 上使用相机。默认值为关，表示用户无法使用相机。
  • 允许 Apple 音乐： 允许用户使用 Apple 音乐服务（macOS 10.12 及更高版本）。如果您不允许使用 Apple 音乐服务，则音乐应用程序以经典模式运行。仅适用于受监督的设备。默认设置为开。
  • 允许 Spotlight 推荐： 选择用户是否可以使用 Spotlight 推荐搜索其 Mac 并提供来自 Internet 和 App Store 的 Spotlight 推荐。默认值为关，表示阻止用户使用 Spotlight 推荐。
  • 允许查找： 选择用户是否可以使用上下文菜单或 Spotlight 搜索菜单查找字词的定义。默认值为“关”，表示阻止用户在其 Mac 上使用查找。
  • 允许使用本地帐户的 iCloud 密码： 选择用户是否可以使用其 Apple ID 和 iCloud 密码登录其 Mac。启用此策略意味着用户对其 Mac 上的所有登录屏幕仅使用一个 ID 和密码。默认值为开，表示允许用户使用其 Apple ID 和 iCloud 密码访问其 Mac。
  • 允许使用 iCloud 文档和数据： 选择是否允许用户在其 Mac 上访问存储在 iCloud 上的文档和数据。默认值为开，表示阻止用户在其 Mac 上使用 iCloud 文档和数据。
    • 允许 iCloud 桌面和文档： （macOS 10.12.4 及更高版本）默认选中。
  • 允许 iCloud 钥匙串同步： 允许 iCloud 钥匙串同步（macOS 10.12 及更高版本）。默认值为开。
  • 允许 iCloud 邮件： 允许用户使用 iCloud 邮件（macOS 10.12 及更高版本）。默认值为开。
  • 允许 iCloud 通讯录： 允许用户使用 iCloud 通讯录（macOS 10.12 及更高版本）。默认值为开。
  • 允许 iCloud 日历： 允许用户使用 iCloud 日历（macOS 10.12 及更高版本）。默认值为开。
  • 允许 iCloud 提醒事项： 允许用户使用 iCloud 提醒事项（macOS 10.12 及更高版本）。默认值为开。
  • 允许 iCloud 书签： 允许用户与 iCloud 书签同步（macOS 10.12 及更高版本）。默认值为开。
  • 允许 iCloud 备忘录： 允许用户使用 iCloud 备忘录（macOS 10.12 及更高版本）。默认值为开。
  • 允许 iCloud 照片： 如果将此设置更改为关，未完全从 iCloud 照片库中下载的所有照片都将从本地设备存储中删除（macOS 10.12 及更高版本）。默认值为开。
  • 允许自动解锁：有关此选项及 Apple Watch 的信息，请参阅 https://www.imore.com/auto-unlock（macOS 10.12 及更高版本）。默认值为开。
  • 允许 Touch ID 解锁 Mac： （macOS 10.12.4 及更高版本）。默认值为开。
  • 强制延迟软件更新： 如果启用，则此设置 会延迟用户对软件更新的可见性。用户在软件更新发布日期后的指定天数之后才能看到软件更新。默认设置为关。仅适用于运行 macOS 10.13.4 及更高版本的受监督设备。操作系统更新策略有更多设置来控制设备接收更新的频率。请参阅“操作系统更新”设备策略。
  • 强制执行的软件更新延迟(天)： 指定在设备上延迟软件更新的天数。最大值为 90 天。默认值为 30。仅适用于运行 macOS 10.13.4 及更高版本的受监督设备。
  • 密码自动填充： 可选。如果禁用，用户将无法使用“自动填充密码”或“自动使用强密码”功能。默认值为开。（macOS 10.14 及更高版本）
  • 密码邻近请求： 可选。如果禁用，用户的设备将不从附近的设备请求密码。默认值为开。（macOS 10.14 及更高版本）
  • 密码共享： 可选。如果禁用，用户将无法使用“AirDrop 密码”功能共享其密码。默认值为开。（macOS 10.14 及更高版本）

Android 设置

• 相机： 允许用户在其设备上使用相机。如果设置为关，则将禁用相机。默认设置为开。

Android Enterprise 设置

当新的或已恢复出厂设置的 Android 设备在工作配置文件模式下注册时，运行 Android 9.0-10.x 的设备会注册为具有工作配置文件的完全托管设备。运行 Android 11+ 的设备将注册为企业拥有的设备上的工作配置文件。限制策略可以应用到设备上的工作配置文件，也可以应用到托管设备。

在企业拥有的设备上的工作配置文件模式下注册的设备上，以下限制不起作用：

• 允许备份服务
• 启用系统应用程序
• 保持键盘锁不锁定设备
• 允许使用状态栏
• 保持设备屏幕处于打开状态
• 允许用户控制应用程序设置
• 允许用户配置用户凭据
• 允许 VPN 配置
• 允许 USB 大容量存储
• 允许恢复出厂设置
• 允许卸载应用程序
• 允许使用非 Google Play 应用程序
• 允许跨配置文件复制和粘贴
• 启用应用程序验证
• 允许帐户管理
• 允许打印
• 允许使用 NFC
• 允许添加用户

默认情况下，如果某个设备是在工作配置文件模式下在 Android Enterprise 中注册的，USB 调试和未知来源设置在该设备上将处于禁用状态。

观看此视频以了解更多：

• 适用于企业自有设备上具有工作配置文件/工作配置文件的完全托管设备： 允许为具有工作配置文件的完全托管设备配置限制策略设置。这些设备也称为 COPE（企业拥有但由个人使用）设备。当此设置设为开时，选择以下设置之一：
  • 工作配置文件： 您配置的限制设置仅适用于设备上的工作配置文件。
  • 托管设备： 您配置的限制设置仅适用于设备。

  当此设置设为关时，您配置的凭据设置将应用到设备，但明确应用于工作配置文件的设置除外。默认设置为关。

当应用到具有工作配置文件/企业拥有的设备上的工作配置文件的完全托管设备处于关闭状态时，请配置以下设置：

• 安全性

  • 允许帐户管理： 允许将帐户添加到工作配置文件和托管设备中。默认设置为关。
  • 允许从工作配置文件复制和粘贴： 如果设置为开，用户可以将工作配置文件中的应用程序中的数据复制并粘贴到配置文件中的应用程序。默认设置为关。
  • 允许共享个人资料中的数据： 如果设置为开，用户可以将配置文件中的应用程序中的文件和数据复制、粘贴和共享到工作配置文件中的应用程序。默认设置为关。
  • 允许屏幕捕获： 允许用户记录或捕获设备屏幕的屏幕拍图。默认设置为关。
  • 允许使用相机： 允许用户使用设备摄像头拍照并制作视频。默认设置为关。
  • 允许 VPN 配置： 允许用户创建 VPN 配置。适用于运行 Android 6 及更高版本的工作配置文件设备以及完全托管设备。默认值为开。
  • 允许备份服务： 允许用户备份其设备上的应用程序和系统数据。默认值为开。
  • 允许使用 NFC： 允许用户使用近场通信 (NFC) 从其设备向其他设备发送 Web 页面、照片、视频或其他内容。适用于 MDM 4.0 及更高版本。默认值为开。
  • 允许配置位置提供程序： 允许用户在其设备上打开 GPS。适用于 Android API 28 及更高版本。默认值为开。

  • 允许位置共享： 对于托管配置文件，设备所有者可以覆盖此设置。默认设置为关。

    提示：

    您可以在 Citrix Endpoint Management 中创建定位设备策略来强制执行地理边界。请参阅位置设备策略。

  • 允许用户配置用户凭据： 指定用户是否可以在托管密钥库中配置凭据。默认值为开。
  • 允许打印： 如果为开，则此设置允许用户打印到任何可通过用户设备访问的打印机。默认值为关。适用于：Android 9 及更高版本。
  • 允许 USB 调试： 默认值为关。

• 应用程序

  • 启用系统应用程序： 允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序，请单击系统应用程序列表表中的添加。
    • 系统应用程序列表： 要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称，可以使用 Android Debug Bridge (adb) 调用 Android 软件包管理器 (pm) 命令。例如，adb shell "pm list packages -f name"，其中“name”为软件包名称的一部分。有关详细信息，请参阅 https://developer.android.com/studio/command-line/adb。对于 Android Enterprise 设备，可以使用 Android Enterprise 应用程序权限策略限制应用程序权限。
  • 禁用应用程序： 阻止列出的指定应用程序在设备上运行。默认设置为关。要禁用已安装的应用程序，请将该设置更改为开，然后单击应用程序列表表中的添加。
    • 应用程序列表： 要阻止的应用程序的列表。请将禁用应用程序设置为开并添加应用程序。请键入应用程序软件包名称。更改和部署某个应用程序列表将覆盖之前的应用程序列表。例如：如果您禁用 com.example1 和 com.example2，然后将列表更改为 com.example1 和 com.example3，则 Citrix Endpoint Management 会启用 com.example.2。
  • 启用应用程序验证： 允许操作系统扫描应用程序以检测恶意行为。默认值为开。
  • 启用 Google 应用程序： 允许用户将 Google Mobile Services 中的应用程序下载到设备中。默认值为开。
  • 允许使用非 Google Play 应用程序： 允许从 Google Play 之外的应用商店安装应用程序。默认设置为关。
  • 允许所有配置文件使用非 Google Play 应用： 如果设置为开，则用户可以在设备上的所有配置文件上安装 Google Play 以外的其他应用商店的应用。默认设置为关。
  • 允许用户控制应用程序设置： 允许用户卸载应用程序、禁用应用程序、清除缓存和数据、强制停止任何应用程序以及清除默认设置。用户将从“设置”应用程序执行这些操作。默认值为关。
  • 允许卸载应用程序： 允许用户从托管的 Google Play Store 中卸载应用程序。默认设置为关。

• BYOD 工作配置文件

  • 启用联网应用程序： 如果启用，用户可以选择能够使用工作和个人数据跨工作和配置文件进行通信的应用程序。启用后，单击“添加”，选择所需的应用程序，然后单击“保存”。启用此功能需要工作配置文件。默认设置为关。
  • 允许在主屏幕上显示工作配置文件应用程序组件： 如果此设置设为开，则用户可以将工作配置文件应用程序组件放置在设备主屏幕上。如果此设置设为关，则用户无法将工作配置文件应用程序组件放置在设备主屏幕上。默认设置为关。
    • 具有允许的组件的应用程序： 要允许显示在主屏幕上的应用程序的列表。将允许在主屏幕上显示工作配置文件应用程序组件设置为开并添加应用程序。单击添加并从列表中选择希望允许在主屏幕上显示其组件的应用程序。单击保存。重复该过程将允许更多应用程序组件。
  • 允许在设备联系人中添加工作配置文件联系人： 在家长配置文件中显示托管 Android Enterprise 配置文件中的联系人，以便接收传入呼叫（Android 7.0 及更高版本）。默认设置为关。

• 仅限完全托管设备

  • 允许添加用户： 允许用户在设备上添加新用户。默认值为开。
  • 允许数据漫游： 允许用户在漫游时使用手机网络数据。默认值为“关”，即在用户设备上禁用漫游。默认设置为关。
  • 允许短信： 允许用户发送和接收短消息。默认设置为关。
  • 允许使用状态栏： 如果为开，此设置将在托管设备和专用设备（又称为 COSU 设备）上启用状态栏。此设置将禁用通知、快速设置以及其他促使退出全屏模式的屏幕叠加。用户可以转到系统设置并查看通知。适用于 Android 6.0 及更高版本。默认设置为关。
  • 允许使用蓝牙： 允许用户使用蓝牙。默认值为开。
    • 允许蓝牙共享： 如果未选择，用户将无法在其设备上建立传出蓝牙共享。默认处于选中状态。
  • 允许配置日期和时间： 允许用户在其设备上更改日期和时间。默认值为开。
  • 允许恢复出厂设置： 允许用户在其设备上恢复出厂设置。默认值为开。
  • 保持设备屏幕处于打开状态： 如果此设置设为开，设备插入时设备屏幕保持打开状态。默认设置为关。
  • 允许 USB 大容量存储： 允许通过 USB 连接在用户的设备与计算机之间传输大型数据文件。默认值为开。
  • 允许使用麦克风： 允许用户在其设备上使用麦克风。默认值为开。
  • 允许网络共享： 允许用户配置便携式热点和网络共享数据。默认设置为关。
  • 保持键盘锁不锁定设备： 如果为开，此设置将在托管设备和专用设备（又称为 COSU 设备）上的锁屏界面上禁用键盘锁。默认设置为关。
  • 允许更改 Wi-Fi： 如果为开，用户可以打开或关闭 Wi-Fi 并连接到 Wi-Fi 网络。默认值为开。
  • 允许文件传输： 允许通过 USB 进行文件传输。默认设置为关。

• Samsung

  • 启用 TIMA 密钥库： TIMA 密钥库为对称密钥提供基于 TrustZone 的安全密钥存储。RSA 密钥对和证书路由到默认密钥库提供商进行存储。默认设置为关。
  • 允许共享列表： 允许用户在“共享方式”列表中的应用程序之间共享内容。默认值为开。
  • 启用审核日志： 启用事件审核日志的创建，以便对设备进行取证分析。默认设置为关。

• Samsung: 仅限完全托管设备

  • 启用 ODE 可信引导验证： 使用 ODE 可信引导验证建立从引导加载程序到系统映像的信任链。默认值为开。
  • 仅允许紧急呼叫： 允许用户在其设备上启用“仅限紧急呼叫”模式。默认设置为关。
  • 允许固件恢复： 允许用户在其设备上恢复固件。默认值为开。
  • 允许快速加密： 允许仅加密已使用的内存空间。此加密与完全磁盘加密（用于加密所有数据）完全不同。该数据包括设置、应用程序数据、已下载的文件和应用程序、媒体及其他文件。默认值为开。
  • 启用通用标准模式： 将设备置于通用标准模式。通用准则配置强制执行严苛的安全流程。默认值为开。
  • 启用重新启动横幅： 当用户的设备重新启动时，显示 DoD 批准的系统使用通知消息或横幅。默认设置为关。
  • 允许更改设置： 允许用户更改其完全托管设备上的设置。默认值为开。
  • 启用后台数据使用： 允许应用程序在后台同步数据，适用于完全托管设备。默认值为开。
  • 允许使用剪贴板： 允许用户在其设备上将数据复制到剪贴板。
    • 允许剪贴板共享： 允许用户在其设备和某个计算机之间共享剪贴板内容（MDM 4.0 及更高版本）。
  • 允许使用 Home 键： 允许用户在其完全托管设备上使用 Home 键。默认值为开。
  • 允许模拟位置： 允许用户伪造其 GPS 位置。适用于完全托管设备。默认设置为关。
  • NFC： 允许用户在其完全托管设备上使用 NFC（MDM 3.0 及更高版本）。默认值为开。
  • 允许关闭电源： 允许用户关闭其完全托管设备（MDM 3.0 及更高版本）的电源。默认值为开。
  • 允许使用 Wi-Fi Direct： 允许用户通过其 Wi-Fi 连接直接连接到其他设备。默认值为开。如果为开，则必须启用允许更改 Wi-Fi 设置。
  • 允许使用 SD 卡： 允许用户在其设备上使用 SD 卡（如果可用）。默认值为开。
  • 允许 USB 主机存储： 当 USB 设备连接到用户的设备时，允许用户的设备充当 USB 主机。然后，用户的设备为 USB 设备提供电源。默认值为开。
  • 允许使用语音拨号器： 允许用户在其设备上使用语音拨号器（MDM 4.0 及更高版本）。默认值为开。
  • 允许 S Beam： 允许用户使用 NFC 和 Wi-Fi Direct 与其他人共享内容（MDM 4.0 及更高版本）。默认值为开。
  • 允许 S Voice： 允许用户在其设备上使用智能个人助手和知识导航器（MDM 4.0 及更高版本）。默认值为开。
  • 允许 USB 网络共享： 允许用户使用其 USB 连接与其他设备共享移动数据连接。默认值为关。如果为开，则允许网络共享设置也必须为开。
  • 允许蓝牙网络共享： 允许用户使用其蓝牙连接与其他设备共享移动数据连接。默认值为关。如果为开，则允许网络共享设置也必须为开。
    • 允许蓝牙共享： 如果未选择，用户将无法在其设备上建立传出蓝牙共享。默认处于选中状态。
  • 允许 Wi-Fi 网络共享： 允许用户使用其 Wi-Fi 连接与其他设备共享移动数据连接。默认值为关。如果为开，则允许网络共享设置也必须为开。
  • 允许传入 MMS： 允许用户接收 MMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 允许传出 MMS： 允许用户发送 MMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 允许传入 SMS： 允许用户接收 SMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 允许传出 SMS： 允许用户发送 SMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 配置移动网络： 允许用户使用其手机网络数据连接。默认设置为关。
  • 按天限制(MB)： 输入移动数据用户每天可以使用的 MB 数。默认值为 0，表示禁用此功能（MDM 4.0 及更高版本）。
  • 按周限制(MB)： 输入移动数据用户每周可以使用的 MB 数。默认值为 0，表示禁用此功能（MDM 4.0 及更高版本）。
  • 按月限制(MB)： 输入移动数据用户每月可以使用的 MB 数。默认值为 0，表示禁用此功能（MDM 4.0 及更高版本）。
  • 仅允许建立安全的 VPN 连接： 允许用户仅使用安全连接（MDM 4.0 及更高版本）。默认值为开。
  • 允许录制音频： 允许用户使用其设备录制音频（MDM 4.0 及更高版本）。默认值为开。如果为开，则必须打开允许使用麦克风设置。
  • 允许录制视频： 允许用户使用其设备录制视频（MDM 4.0 及更高版本）。默认设置为关。如果为开，则必须打开允许使用相机设置。
  • 允许漫游时推送消息： 允许用户使用手机网络数据进行推送。默认设置为关。如果为开，则必须启用允许数据漫游设置。
  • 允许漫游时自动同步： 允许用户使用手机网络数据进行同步。默认设置为关。如果为开，则必须启用允许数据漫游设置。
  • 允许漫游时语音通话： 允许用户使用手机网络数据进行语音通话。默认设置为关。如果为开，则必须启用允许数据漫游设置。

• Samsung: 完全托管设备

  • 启用吊销检查： 启用对已吊销证书的检查。默认设置为关。

当适用于具有工作配置文件/企业拥有的设备上的工作配置文件的完全托管设备设置为“开”且对于具有工作配置文件的完全托管设备，请将策略应用到设置为工作配置文件时，请配置以下设置：

• 安全性

  • 允许帐户管理： 允许将帐户添加到工作资料和托管设备中。默认设置为关。
  • 允许跨配置文件复制粘贴： 如果为开，用户可以在 Android Enterprise 配置文件中的应用程序和个人区域中的应用程序之间执行复制和粘贴操作。默认设置为关。
  • 允许屏幕捕获： 允许用户记录或捕获设备屏幕的屏幕拍图。默认设置为关。
  • 允许使用相机： 允许用户使用设备摄像头拍照并制作视频。默认设置为关。
  • 允许配置位置提供程序： 允许用户在其设备上打开 GPS。适用于 Android API 28 及更高版本。默认值为开。

  • 允许位置共享： 对于托管配置文件，设备所有者可以覆盖此设置。默认设置为关。

    提示：

    您可以在 Citrix Endpoint Management 中创建定位设备策略来强制执行地理边界。请参阅位置设备策略。

  • 允许用户配置用户凭据： 指定用户是否可以在托管密钥库中配置凭据。默认值为开。
  • 允许打印： 如果为开，则此设置允许用户打印到任何可通过用户设备访问的打印机。默认值为关。适用于：Android 9 及更高版本。

• 应用程序

  • 启用系统应用程序： 允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序，请单击系统应用程序列表表中的添加。
    • 系统应用程序列表： 要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称，可以使用 Android Debug Bridge (adb) 调用 Android 软件包管理器 (pm) 命令。例如，adb shell "pm list packages -f name"，其中“name”为软件包名称的一部分。有关详细信息，请参阅 https://developer.android.com/studio/command-line/adb。对于 Android Enterprise 设备，可以使用 Android Enterprise 应用程序权限策略限制应用程序权限。
  • 禁用应用程序： 阻止列出的指定应用程序在设备上运行。默认设置为关。要禁用已安装的应用程序，请将该设置更改为开，然后单击应用程序列表表中的添加。
    • 应用程序列表： 要阻止的应用程序的列表。请将禁用应用程序设置为开并添加应用程序。请键入应用程序软件包名称。更改和部署某个应用程序列表将覆盖之前的应用程序列表。例如：如果您禁用 com.example1 和 com.example2，然后将列表更改为 com.example1 和 com.example3，则 Citrix Endpoint Management 会启用 com.example.2。
  • 启用应用程序验证： 允许操作系统扫描应用程序以检测恶意行为。默认值为开。
  • 启用 Google 应用程序： 允许用户将 Google Mobile Services 中的应用程序下载到设备中。默认值为开。
  • 允许使用非 Google Play 应用程序： 允许从 Google Play 之外的应用商店安装应用程序。默认设置为关。
  • 允许用户控制应用程序设置： 允许用户卸载应用程序、禁用应用程序、清除缓存和数据、强制停止任何应用程序以及清除默认设置。用户将从“设置”应用程序执行这些操作。默认值为关。
  • 允许卸载应用程序： 允许用户从托管的 Google Play Store 中卸载应用程序。默认设置为关。

• BYOD 工作配置文件

  • 允许在主屏幕上显示工作配置文件应用程序组件： 如果此设置设为开，则用户可以将工作配置文件应用程序组件放置在设备主屏幕上。如果此设置设为关，则用户无法将工作配置文件应用程序组件放置在设备主屏幕上。默认设置为关。
    • 具有允许的组件的应用程序： 要允许显示在主屏幕上的应用程序的列表。将允许在主屏幕上显示工作配置文件应用程序组件设置为开并添加应用程序。单击添加并从列表中选择希望允许在主屏幕上显示其组件的应用程序。单击保存。重复该过程将允许更多应用程序组件。
  • 允许在设备联系人中添加工作配置文件联系人： 在家长配置文件中显示托管 Android Enterprise 配置文件中的联系人，以便接收传入呼叫（Android 7.0 及更高版本）。默认设置为关。

• Samsung

  • 启用 TIMA 密钥库： TIMA 密钥库为对称密钥提供基于 TrustZone 的安全密钥存储。RSA 密钥对和证书路由到默认密钥库提供商进行存储。默认设置为关。
  • 允许共享列表： 允许用户在“共享方式”列表中的应用程序之间共享内容。默认值为开。
  • 启用审核日志： 启用事件审核日志的创建，以便对设备进行取证分析。默认设置为关。

• Samsung: 完全托管设备

  • 启用吊销检查： 启用对已吊销证书的检查。默认设置为关。

当适用于具有工作配置文件/企业拥有的设备上的工作配置文件的完全托管设备设置为“开”且对于具有工作配置文件的完全托管设备，请将策略应用到设置为托管设备时，请配置以下设置：

• 安全性

  • 允许帐户管理： 允许将帐户添加到工作资料和托管设备中。默认设置为关。
  • 允许跨配置文件复制粘贴： 如果为开，用户可以在 Android Enterprise 配置文件中的应用程序和个人区域中的应用程序之间执行复制和粘贴操作。默认设置为关。
  • 允许屏幕捕获： 允许用户记录或捕获设备屏幕的屏幕拍图。默认设置为关。
  • 允许使用相机： 允许用户使用设备摄像头拍照并制作视频。默认设置为关。
  • 允许 VPN 配置： 允许用户创建 VPN 配置。适用于运行 Android 6 及更高版本的工作配置文件设备以及完全托管设备。默认值为开。
  • 允许备份服务： 允许用户备份其设备上的应用程序和系统数据。默认值为开。
  • 允许使用 NFC： 允许用户使用近场通信 (NFC) 从其设备向其他设备发送 Web 页面、照片、视频或其他内容。适用于 MDM 4.0 及更高版本。默认值为开。
  • 允许配置位置提供程序： 允许用户在其设备上打开 GPS。适用于 Android API 28 及更高版本。默认值为开。

  • 允许位置共享： 对于托管配置文件，设备所有者可以覆盖此设置。默认设置为关。

    提示：

    您可以在 Citrix Endpoint Management 中创建定位设备策略来强制执行地理边界。请参阅位置设备策略。

  • 允许用户配置用户凭据： 指定用户是否可以在托管密钥库中配置凭据。默认值为开。
  • 允许打印： 如果为开，则此设置允许用户打印到任何可通过用户设备访问的打印机。默认值为关。适用于：Android 9 及更高版本。
  • 允许 USB 调试： 默认值为关。

• 应用程序

  • 启用系统应用程序： 允许用户运行预安装的设备应用程序。默认设置为关。要启用特定应用程序，请单击系统应用程序列表表中的添加。
    • 系统应用程序列表： 要在设备上启用的系统应用程序的列表。将启用系统应用程序设置为开并添加应用程序包名称。要查找系统应用程序的软件包名称，可以使用 Android Debug Bridge (adb) 调用 Android 软件包管理器 (pm) 命令。例如，adb shell "pm list packages -f name"，其中“name”为软件包名称的一部分。有关详细信息，请参阅 https://developer.android.com/studio/command-line/adb。对于 Android Enterprise 设备，可以使用 Android Enterprise 应用程序权限策略限制应用程序权限。
  • 禁用应用程序： 阻止列出的指定应用程序在设备上运行。默认设置为关。要禁用已安装的应用程序，请将该设置更改为开，然后单击应用程序列表表中的添加。
    • 应用程序列表： 要阻止的应用程序的列表。请将禁用应用程序设置为开并添加应用程序。请键入应用程序软件包名称。更改和部署某个应用程序列表将覆盖之前的应用程序列表。例如：如果您禁用 com.example1 和 com.example2，然后将列表更改为 com.example1 和 com.example3，则 Citrix Endpoint Management 会启用 com.example.2。
  • 启用应用程序验证： 允许操作系统扫描应用程序以检测恶意行为。默认值为开。
  • 启用 Google 应用程序： 允许用户将 Google Mobile Services 中的应用程序下载到设备中。默认值为开。
  • 允许使用非 Google Play 应用程序： 允许从 Google Play 之外的应用商店安装应用程序。默认设置为关。
  • 允许用户控制应用程序设置： 允许用户卸载应用程序、禁用应用程序、清除缓存和数据、强制停止任何应用程序以及清除默认设置。用户将从“设置”应用程序执行这些操作。默认值为关。
  • 允许卸载应用程序： 允许用户从托管的 Google Play Store 中卸载应用程序。默认设置为关。

• 仅限完全托管设备

  • 允许添加用户： 允许用户在设备上添加新用户。默认值为开。
  • 允许数据漫游： 允许用户在漫游时使用手机网络数据。默认值为“关”，即在用户设备上禁用漫游。默认设置为关。
  • 允许短信： 允许用户发送和接收短消息。默认设置为关。
  • 允许使用状态栏： 如果为开，此设置将在托管设备和专用设备（又称为 COSU 设备）上启用状态栏。此设置将禁用通知、快速设置以及其他促使退出全屏模式的屏幕叠加。用户可以转到系统设置并查看通知。适用于 Android 6.0 及更高版本。默认设置为关。
  • 允许使用蓝牙： 允许用户使用蓝牙。默认值为开。
    • 允许蓝牙共享： 如果未选择，用户将无法在其设备上建立传出蓝牙共享。默认处于选中状态。
  • 允许配置日期和时间： 允许用户在其设备上更改日期和时间。默认值为开。
  • 允许恢复出厂设置： 允许用户在其设备上恢复出厂设置。默认值为开。
  • 允许恢复出厂设置保护： 如果设置为开，则在使用恢复模式重置设备时，用户必须提供重置前设备上的帐户的凭据。如果在重置之前设置了设备锁定，他们还可以提供设备锁定。如果设置为关，则重置后无需进行身份验证。默认值为开。
  • 保持设备屏幕开启： 如果将此设置设置为开，则设备屏幕将在设备接通时保持开启状态。默认设置为关。
  • 允许 USB 大容量存储： 允许通过 USB 连接在用户的设备与计算机之间传输大型数据文件。默认值为开。
  • 允许使用麦克风： 允许用户在其设备上使用麦克风。默认值为开。
  • 允许网络共享： 允许用户配置便携式热点和网络共享数据。默认设置为关。启用此设置时，这些设置适用于 Samsung 设备：
  • 保持键盘锁不锁定设备： 如果为开，此设置将在托管设备和专用设备（又称为 COSU 设备）上的锁屏界面上禁用键盘锁。默认设置为关。
  • 允许更改 Wi-Fi： 如果为开，用户可以打开或关闭 Wi-Fi 并连接到 Wi-Fi 网络。默认值为开。
  • 允许文件传输： 允许通过 USB 进行文件传输。默认设置为关。

• Samsung

  • 启用 TIMA 密钥库： TIMA 密钥库为对称密钥提供基于 TrustZone 的安全密钥存储。RSA 密钥对和证书路由到默认密钥库提供商进行存储。默认设置为关。
  • 允许共享列表： 允许用户在“共享方式”列表中的应用程序之间共享内容。默认值为开。
  • 启用审核日志： 启用事件审核日志的创建，以便对设备进行取证分析。默认设置为关。

• Samsung: 仅限完全托管设备

  • 启用 ODE 可信引导验证： 使用 ODE 可信引导验证建立从引导加载程序到系统映像的信任链。默认值为开。
  • 仅允许紧急呼叫： 允许用户在其设备上启用“仅限紧急呼叫”模式。默认设置为关。
  • 允许固件恢复： 允许用户在其设备上恢复固件。默认值为开。
  • 允许快速加密： 允许仅加密已使用的内存空间。此加密与完全磁盘加密（用于加密所有数据）完全不同。该数据包括设置、应用程序数据、已下载的文件和应用程序、媒体及其他文件。默认值为开。
  • 启用通用标准模式： 将设备置于通用标准模式。通用准则配置强制执行严苛的安全流程。默认值为开。
  • 启用重新启动横幅： 当用户的设备重新启动时，显示 DoD 批准的系统使用通知消息或横幅。默认设置为关。
  • 允许更改设置： 允许用户更改其完全托管设备上的设置。默认值为开。
  • 启用后台数据使用： 允许应用程序在后台同步数据，适用于完全托管设备。默认值为开。
  • 允许使用剪贴板： 允许用户在其设备上将数据复制到剪贴板。默认值为开。
    • 允许剪贴板共享： 允许用户在其设备和某个计算机之间共享剪贴板内容（MDM 4.0 及更高版本）。
  • 允许使用 Home 键： 允许用户在其完全托管设备上使用 Home 键。默认值为开。
  • 允许模拟位置： 允许用户伪造其 GPS 位置。适用于完全托管设备。默认设置为关。
  • NFC： 允许用户在其完全托管设备上使用 NFC（MDM 3.0 及更高版本）。默认值为开。
  • 允许关闭电源： 允许用户关闭其完全托管设备（MDM 3.0 及更高版本）的电源。默认值为开。
  • 允许使用 Wi-Fi Direct： 允许用户通过其 Wi-Fi 连接直接连接到其他设备。默认值为开。如果为开，则必须启用允许更改 Wi-Fi 设置。
  • 允许使用 SD 卡： 允许用户在其设备上使用 SD 卡（如果可用）。默认值为开。
  • 允许 USB 主机存储： 当 USB 设备连接到用户的设备时，允许用户的设备充当 USB 主机。然后，用户的设备为 USB 设备提供电源。默认值为开。
  • 允许使用语音拨号器： 允许用户在其设备上使用语音拨号器（MDM 4.0 及更高版本）。默认值为开。
  • 允许 S Beam： 允许用户使用 NFC 和 Wi-Fi Direct 与其他人共享内容（MDM 4.0 及更高版本）。默认值为开。
  • 允许 S Voice： 允许用户在其设备上使用智能个人助手和知识导航器（MDM 4.0 及更高版本）。默认值为开。
  • 允许 USB 网络共享： 允许用户使用其 USB 连接与其他设备共享移动数据连接。默认值为关。如果为开，则允许网络共享设置也必须为开。
  • 允许蓝牙网络共享： 允许用户使用其蓝牙连接与其他设备共享移动数据连接。默认值为关。如果为开，则允许网络共享设置也必须为开。
  • 允许 Wi-Fi 网络共享： 允许用户使用其 Wi-Fi 连接与其他设备共享移动数据连接。默认值为关。如果为开，则允许网络共享设置也必须为开。
  • 允许传入 MMS： 允许用户接收 MMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 允许传出 MMS： 允许用户发送 MMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 允许传入 SMS： 允许用户接收 SMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 允许传出 SMS： 允许用户发送 SMS 消息。默认设置为关。如果为开，则必须打开允许 SMS 设置。
  • 配置移动网络： 允许用户使用其手机网络数据连接。默认设置为关。
  • 按天限制(MB)： 输入移动数据用户每天可以使用的 MB 数。默认值为 0，表示禁用此功能（MDM 4.0 及更高版本）。
  • 按周限制(MB)： 输入移动数据用户每周可以使用的 MB 数。默认值为 0，表示禁用此功能（MDM 4.0 及更高版本）。
  • 按月限制(MB)： 输入移动数据用户每月可以使用的 MB 数。默认值为 0，表示禁用此功能（MDM 4.0 及更高版本）。
  • 仅允许建立安全的 VPN 连接： 允许用户仅使用安全连接（MDM 4.0 及更高版本）。默认值为开。
  • 允许录制音频： 允许用户使用其设备录制音频（MDM 4.0 及更高版本）。默认值为开。如果为开，则必须打开允许使用麦克风设置。
  • 允许录制视频： 允许用户使用其设备录制视频（MDM 4.0 及更高版本）。默认设置为关。如果为开，则必须打开允许使用相机设置。
  • 允许漫游时推送消息： 允许用户使用手机网络数据进行推送。默认设置为关。如果为开，则必须启用允许数据漫游设置。
  • 允许漫游时自动同步： 允许用户使用手机网络数据进行同步。默认设置为关。如果为开，则必须启用允许数据漫游设置。
  • 允许漫游时语音通话： 允许用户使用手机网络数据进行语音通话。默认设置为关。如果为开，则必须启用允许数据漫游设置。

• Samsung: 完全托管设备

  • 启用吊销检查： 启用对已吊销证书的检查。默认设置为关。

Windows Desktop/Tablet 设置

• Wi-Fi 设置
  • 允许 Internet 共享： 允许设备通过将其设为 Wi-Fi 热点与其他设备共享其 Internet 连接。
• 连接
  • 允许蓝牙： 允许设备通过蓝牙连接。
  • 允许通过手机网络使用 VPN： 允许设备通过 VPN 连接到手机网络。
  • 允许在漫游时通过手机网络使用 VPN： 允许设备在通过手机网络漫游时使用 VPN。
  • 允许使用手机网络数据漫游： 允许用户在漫游时使用手机网络数据。
• 帐户
  • 允许使用 Microsoft 帐户连接： 允许设备使用 Microsoft 帐户进行与电子邮件无关的连接身份验证和服务。
  • 允许使用非 Microsoft 电子邮件： 允许用户添加非 Microsoft 电子邮件帐户。
• 系统
  • 允许使用存储卡： 允许设备使用存储卡。
  • 遥测： 单击下拉列表中的某个选项以允许或限制设备发送遥测信息。默认值为允许。其他选项为不允许和允许，次要数据请求除外。
  • 允许应用访问位置服务： 允许应用访问定位服务。
  • 允许预览内部版本： 允许用户预览 Microsoft 内部版本。
• 相机： 仅限 Windows Desktop/Tablet
  • 允许使用相机： 允许用户使用其设备相机。
• 蓝牙： 仅限 Windows Desktop/Tablet
  • 允许使用可发现模式： 允许蓝牙设备查找本地设备。
  • 本地设备名称： 本地设备的名称。
• 体验： 仅限 Windows Desktop/Tablet
  • 允许使用 Cortana： 允许用户访问 Cortana（智能个人助手和知识导航器）。
  • 允许发现设备： 允许对设备进行网络发现。
  • 允许手动注销 MDM： 允许用户从 Citrix Endpoint Management MDM 手动取消设备注册。
  • 允许同步设备设置： 允许用户在漫游时在 Windows 10 和 Windows 11 设备之间同步设置。
• 超出锁定范围： 仅限 Windows Desktop/Tablet
  • 在锁定屏幕上允许 Toast 通知： 允许在锁定屏幕上显示 Toast 通知。仅限 Windows Desktop/Tablet
• 应用程序
  • 允许从应用商店自动更新： 允许应用商店中的应用程序自动更新。仅限 Windows Desktop/Tablet。
• 隐私： 仅限 Windows Desktop/Tablet
  • 允许输入个性化： 允许运行输入个性化服务。输入个性化服务根据用户键入的内容改进了预测性输入，例如笔和触摸键盘。
• 设置： 仅限 Windows Desktop/Tablet。
  • 允许自动播放： 允许用户更改自动播放设置。
  • 允许使用流量感知： 允许用户更改流量感知设置。
  • 允许设置日期时间： 允许用户更改日期和时间设置。
  • 允许设置语言： 允许用户更改语言设置。
  • 允许设置电源睡眠： 允许用户更改电源和睡眠设置。
  • 允许设置区域： 允许用户更改区域设置。
  • 允许设置登录选项： 允许用户更改登录设置。
  • 允许设置工作区： 允许用户更改工作区设置。
  • 允许使用您的帐户： 允许用户更改帐户设置。

Amazon 设置

• 允许硬件控制
  • 恢复出厂设置： 允许用户在其设备上恢复出厂设置
  • 配置文件： 允许用户在其设备上更改硬件配置文件。
• 允许使用应用程序
  • 非 Amazon 应用商店应用程序： 允许用户在其设备上安装非 Amazon 应用商店应用程序。
  • 社交网络： 允许用户从其设备访问社交网络。
• 网络
  • 蓝牙： 允许用户使用蓝牙。
  • Wi-Fi 开关： 允许应用程序更改 Wi-Fi 连接状态。
  • Wi-Fi 设置： 允许用户更改 Wi-Fi 设置。
  • 配置移动网络： 允许用户使用其蜂窝数据连接。
  • 漫游数据： 允许用户在漫游时使用手机网络数据。
  • 定位服务： 允许用户使用 GPS。
• USB 操作：
  • 调试： 允许用户设备通过 USB 连接到计算机以进行调试。