分配

Last published : Nov 13, 2026
使用分配使操作可供用户使用。这使您可以替换用户登录脚本的一部分。
Related information
配置集

分配目标

“分配目标”页面允许您添加用户和组（目标），以便您可以向其分配操作和安全规则。选择一个目标以管理其分配。
注意：
将 SID 转换为目标名称可能需要一些时间。如果转换不正确或失败，请通过查看其运行状况验证 Cloud Connector 是否正常工作。如果问题仍然存在，请联系Citrix 技术支持。
有两个内置目标：
  • 所有人。一个内置组，包含所有用户，包括匿名用户和访客。成员资格由操作系统控制。
  • 管理员。一个内置组，包含管理员组的所有成员。操作系统初始安装后，该组的唯一成员是管理员帐户。当计算机加入域时，域管理员组将添加到管理员组。当服务器成为域控制器时，企业管理员组将添加到管理员组。
可用选项包括：
  • 筛选。允许您筛选列表。
  • 添加分配目标。允许您添加目标。
  • 刷新记录。更新选定的记录或记录列表。
  • 重新查询目标名称。更新目标名称。
  • 查看。允许您查看内置目标的详细信息。
  • 管理分配。允许您管理操作和安全规则
  • 编辑。允许您编辑目标。您可以更改其描述、优先级和启用状态。配置优先级时，请考虑以下事项：优先级决定了您分配的操作的处理顺序。值越大，优先级越高。输入一个整数。如果存在冲突，则优先级较高的目标优先。
  • 启用。允许您启用或禁用对象（目标）。
  • 删除。允许您删除目标。注意：内置目标不会被删除。
提示：
您可以通过使用“状态”列中的切换开关来快速启用或禁用目标。

添加分配目标

要添加分配，请执行以下步骤：
  1. 在“分配目标”页面上，单击“添加分配目标”。
  2. 选择身份提供程序。
  3. 选择要添加的目标所在的域。
  4. 选择目标类型。
    注意：
    对于 Active Directory 和 Azure Active Directory，您可以将搜索范围缩小到用户或安全组。对于 Active Directory，您还可以选择组织单位。请记住，只有 组策略设置 可以分配给组织单位。
  5. 在“搜索”框中，输入要添加的目标名称。当您输入名称时，匹配项会显示在菜单中。
    注意：
    搜索仅返回前 50 个结果。如有必要，请优化您的搜索。位置配置选项将 OU 搜索范围限制为特定位置节点，以便快速找到所需的目标 OU。
  6. 单击加号图标以添加目标。（您已添加的目标会显示绿色复选标记图标。）
    提示：
    如果要从其他身份提供程序添加目标，请切换到其他身份类型以继续。
  7. 完成后，单击“添加”以添加目标并退出向导。

管理目标的分配

要管理目标的分配，请执行以下步骤：
  1. 在“分配目标”页面上，选择目标。如果需要，可以使用搜索框快速查找目标。
  2. 在操作栏中，选择“管理分配”。“管理分配”窗口随即出现。
  3. 根据需要管理每个操作或安全规则的分配。您还可以选择“权限提升”规则，以便在“管理安全规则分配”页面下分配目标。
  4. 单击“查看更改”以验证您是否按预期进行了更改。

克隆分配目标

要克隆分配目标，请执行以下步骤：
  1. 在“分配目标”页面上，选择目标。如果需要，可以使用搜索框快速查找目标。
  2. 在操作栏中，选择“克隆”。“克隆分配目标”窗口随即出现。
  3. 选择要将目标克隆到的配置集。
  4. 单击“克隆”。
注意：
  • 您无法克隆内置目标。
  • 您一次最多可以克隆 10 个目标。
  • 如果目标已存在于目标位置，则跳过它。
  • 克隆目标的描述为空。它们的分配未克隆，其优先级设置为默认值 (100)，并且其状态默认为已启用（复选标记图标）。

建模向导

建模向导允许您查看用户的已分配项目、组成员身份和 OU 位置。
要使用建模向导，请执行以下步骤：
  1. 在身份选取器中，搜索并选择一个 AD 或 Azure AD 用户。一次只能选择一个用户。
    选择用户后，用户的显示名称和目录路径（林、域和名称）将显示在摘要卡中。
  2. 选择 下一步 以查看结果。

结果

结果显示在两个选项卡中：

已分配项目

左侧面板列出了所有操作类别。每个类别显示分配给所选用户的项目计数：
部分 类别
操作 GPO、应用程序、打印机、网络驱动器、虚拟驱动器、注册表项、环境变量、外部任务、文件系统操作、文件关联、JSON 文件、INI 文件操作、端口、用户 DSN
安全 应用程序安全、权限提升、进程层次结构控制
选择一个类别会在右侧面板中显示匹配的已分配项目，按字母顺序排序。使用搜索框按名称筛选。
启用显示分配详细信息以展开每个项目并显示详细信息：
  • 筛选器：应用于此分配的筛选条件（如果有）。
  • 优先级：分配优先级。
  • 分配目标：此操作分配到的目标。
  • 分配组：它所属的分配组。
  • （对于打印机）打印机是否设置为默认值。
  • （对于网络或虚拟驱动器）分配的驱动器号、下一个可用或未分配驱动器号。
  • （对于应用程序）快捷方式标志：创建桌面图标、快速启动、添加到“开始”菜单、自动启动、固定到“开始”菜单、固定到任务栏。

组和 OU

第二个选项卡显示在建模期间解析的用户目录上下文：
  • 组成员身份。列出用户所属的所有组，这决定了哪些分配目标适用。
  • OU 放置。仅针对 AD 用户显示。显示用户的最内层 OU 及其完整的专有名称。
注意：
  • 建模在查询时执行。结果反映了 WEM 分配的当前状态以及用户的组成员身份和 OU 放置。
  • 如果无法解析用户或无法检索分配，则会显示错误消息。返回并重新选择用户以重试。

筛选器

注意：
筛选器用于分配和脚本化任务。
“筛选器”页面允许您添加筛选器，以控制何时将操作分配给用户。一个筛选器可以包含多个条件。
有一个内置筛选器：
  • 始终为真。如果选中，相关操作将始终分配给目标用户。您无法编辑或删除此内置筛选器。
可用选项包括：
  • 创建筛选器。允许您创建筛选器，以便在分配操作或配置脚本化任务时使用。
  • 管理条件。允许您添加、删除和编辑条件。
  • 刷新。更新筛选器列表。使用此选项还会刷新“管理条件”中的条件列表。
  • 查看筛选器。允许您查看筛选器。
  • 编辑。允许您编辑筛选器。如果您编辑绑定到分配给用户的操作的筛选器，更改将立即影响这些用户。
  • 删除。允许您删除筛选器。
  • 状态。允许您启用或禁用筛选器。

创建筛选器

您可以使用以下两种方法之一创建筛选器：
  • 手动创建。通过手动配置条件从头开始创建筛选器。
  • 从模板创建。基于预定义模板创建筛选器。此方法通过预填充条件来简化设置。

手动创建筛选器

要从头开始创建筛选器，请按照以下步骤操作：
  1. 在“筛选器”页面上，单击“创建筛选器”，然后选择“手动创建”。
  2. 在“基本信息”中，配置以下内容，然后单击“下一步”。
    • 筛选器名称。输入筛选器的名称。
    • 描述。输入筛选器的描述，以帮助您将其与其他筛选器区分开来。此字段是可选的。
    • 启用此筛选器。选择“是”以启用筛选器，或选择“否”以禁用筛选器。
  3. 在“条件”中，通过添加条件来构建筛选器。单击运算符可在“匹配所有”（AND 运算符）或“匹配任意”（OR 运算符）之间切换。您可以使用这两个运算符将两个或多个条件组合成一个复合条件。
    • 添加条件。从列表中选择条件或创建新条件。
    • 添加条件组。添加一个条件组，以使用相同的逻辑运算符（AND 或 OR）对一系列条件进行分组。您可以在条件组中添加条件组。条件组最多可以嵌套三层。
    注意：
    • 您在此处创建的条件可用于其他筛选器。
    • 使用“摘要”部分可更深入地了解复合条件的条件。
    • 包含 OR 运算符的筛选器仅在版本为 2210.2.0.1 或更高版本的代理上进行评估。
    • 某些类型的条件仅适用于用户设置。如果将其应用于计算机设置（例如，脚本任务和 GPO），代理在评估筛选器时会跳过它们。有关不适用于计算机设置的筛选器条件的完整列表，请参阅不适用于计算机设置的条件。
  4. 完成后，单击完成。

从模板创建筛选器

基于预定义模板创建筛选器可通过预填充条件来简化设置。例如，Citrix Virtual Desktops™ 筛选器模板可帮助您快速创建筛选器，仅当会话在 Citrix Virtual Desktops 环境中运行时才分配操作。
注意：
  • 基于模板的筛选器目前仅在会话级别运行。
  • 目前，有三个模板可帮助您快速创建筛选器，以识别 Citrix Virtual Apps™ 环境、Citrix Virtual Desktops 环境和时间范围。
要从模板创建筛选器，请按照以下步骤操作：
  1. 在筛选器页面上，单击创建筛选器，然后选择从模板创建。此时将显示从模板创建筛选器页面。
  2. 输入筛选器的名称。
  3. （可选）输入描述以帮助识别筛选器。
  4. 为筛选器选择一个模板。有关可用模板，请参阅下表。
    名称 描述 范围
    Citrix Virtual Apps 筛选器 用于创建识别 Citrix Virtual Apps 环境的筛选器的模板。 会话级筛选
    针对 Citrix 虚拟桌面的筛选器 用于创建筛选器以识别 Citrix 虚拟桌面环境的模板。 会话级筛选
    时间范围筛选器 用于创建筛选器以识别特定时间范围的模板。 会话级筛选
    **注意：**时间范围筛选器依赖于自动刷新才能生效，自动刷新默认每 30 分钟发生一次。因此，筛选器可能无法在配置的时间精确应用，并可能延迟到下一次刷新。
  5. 点击 完成。
    注意：
    • 从模板创建的筛选器会自动启用。
    • 创建后，您可以通过编辑这些筛选器来添加更多条件。

创建条件

您可以在添加筛选器或管理条件时创建条件。在出现的“创建条件”向导中，执行以下步骤：
  1. 输入条件名称。
  2. 选择“是”以启用条件，或选择“否”以禁用条件。
  3. 从列表中选择条件类型，然后相应地配置设置。
不同的条件类型可能具有不同的设置。以下条件类型可用：
条件类型 描述
始终为 true 条件始终为 true。
活动目录属性 根据属性名称是否与指定值匹配，为 true 或 false。输入属性值，用分号 (;) 分隔。注意：如果希望条件无论属性值如何都为 true，请输入问号 (?)。
活动目录组 根据组名称是否与指定值匹配，为 true 或 false。输入组名称，用分号 (;) 分隔。
活动目录路径 根据路径是否与指定值匹配，为 true 或 false。输入路径，用分号 (;) 分隔。注意：您可以使用星号 (*) 作为通配符。
活动目录站点 根据站点名称是否与指定值匹配，为 true 或 false。输入站点名称，用分号 (;) 分隔。
Citrix Provisioning™ 映像模式 根据映像模式是共享还是专用，为 true 或 false。
Citrix Virtual Apps 场名称 根据场名称是否与指定值匹配，为 true 或 false。
Citrix 虚拟应用版本 根据版本是否与指定值匹配，返回 True 或 False。
Citrix Virtual Apps 区域名称 根据区域名称是否与指定值匹配，返回 True 或 False。
交付组名称 根据交付组名称是否与指定值匹配，返回 True 或 False。
注意： 您可以通过在名称中指定完整路径，将存储在子文件夹中的交付组用作筛选条件。示例：Subfolder name\Delivery group name
计算机目录名称 根据计算机目录名称是否与指定值匹配，返回 True 或 False。
注意： 您可以通过在名称中指定完整路径，将存储在子文件夹中的计算机目录用作筛选条件。示例：Subfolder name\Machine catalog name
Citrix 虚拟桌面场名称 根据场名称是否与指定值匹配，返回 True 或 False。
客户端 IP 地址 根据 IP 地址是否与指定值匹配，返回 True 或 False。
客户端名称 根据客户端名称是否与指定值匹配，返回 True 或 False。输入客户端名称，用分号 (;) 分隔。您可以使用星号 (*) 作为通配符。您还可以使用动态令牌。
客户端操作系统 根据客户端操作系统是否与指定值匹配，返回 True 或 False。
客户端远程操作系统 根据客户端远程操作系统是否与指定值匹配，返回 True 或 False。
计算机名称 根据计算机名称是否与指定值匹配，返回 True 或 False。输入计算机名称，用分号 (;) 分隔。您可以使用星号 (*) 作为通配符。
连接状态 根据连接状态是 联机 还是 脱机，返回 True 或 False。
日期和时间 根据日期和时间是否与指定值匹配，返回 True 或 False。输入日期或日期范围，用分号 (;) 分隔。按 mm/dd/yyyy 格式输入日期。按 mm/dd/yyyy HH:mm - mm/dd/yyyy HH:mm 格式输入日期范围（时间可选）。
星期几 根据星期几是否与指定值匹配，返回 True 或 False。
动态值 根据动态值是否与指定值匹配，返回 True 或 False。输入动态表达式解析到的值，用分号 (;) 分隔。注意：如果您希望无论动态表达式的值如何，条件都为 True，请输入问号 (?)。
环境变量 根据环境变量是否与指定值匹配，返回 True 或 False。输入环境变量的值，用分号 (;) 分隔。注意：如果您希望无论环境变量的值如何，条件都为 True，请输入问号 (?)。
文件版本 根据文件版本是否与指定值匹配，返回 True 或 False。输入文件版本，用分号 (;) 分隔。
文件/文件夹是否存在 根据路径是否与指定值匹配，返回 True 或 False。输入文件或文件夹的完整路径。路径不得包含任何引号 (")。您可以使用动态令牌。
IP 地址 根据 IP 地址是否与指定值匹配，返回 True 或 False。输入 IP 地址或 IP 地址范围，用分号 (;) 分隔。注意：您可以使用星号 (*) 作为通配符。
名称是否在列表中 根据名称是否在指定列表中，返回 True 或 False。在 名称 字段中，输入要在列表中查找的名称。在 XML 列表的文件路径 字段中，输入 XML 列表的完整文件路径。
名称/值是否在列表中 根据名称或值是否在指定列表中，返回 True 或 False。在 名称 字段中，输入要在列表中查找的名称或值。在 XML 列表的文件路径 字段中，输入 XML 列表的完整文件路径。
网络连接状态 根据网络连接状态是 可用 还是 不可用，返回 True 或 False。
操作系统平台类型 根据操作系统平台类型是 x86 还是 x64，返回 True 或 False。
已发布的资源名称 根据名称是否与指定值匹配，为真或为假。输入已发布的资源名称，用分号 (;) 分隔。
注册表值 根据注册表值是否与指定值匹配，为真或为假。在“注册表路径和名称”字段中，输入包含注册表值名称的完整路径。在“注册表值”字段中，输入注册表值，用分号 (;) 分隔。注意：如果希望条件在不考虑注册表项值的情况下为真，请输入问号 (?)。
转换器模式状态 根据状态是“禁用”还是“启用”，为真或为假。
区域格式 根据格式是否与指定值匹配，为真或为假。如有必要，使用“添加不在列表中的值”选项输入 ISO 语言代码，用分号 (;) 分隔。
用户 SBC 资源类型 根据类型是“桌面”还是“已发布的应用程序”，为真或为假。
用户 UI 语言 根据语言是否与指定值匹配，为真或为假。
WMI 查询 根据指定查询是否有结果，为真或为假。Windows Management Instrumentation (WMI) 查询操作可以在代理计算机上运行查询。您可以根据查询返回的结果定义此条件。有关详细信息，请参阅 Microsoft 文档：<https://docs.microsoft.com/zh-cn/windows/win32/wmisdk/querying-with-wql>。
使用“客户端”和“计算机”相关条件时，请注意以下两种情况：
  • 如果代理安装在单会话或多会话操作系统上：
    • “客户端”指连接到代理主机的客户端设备。
    • “计算机”和“客户端远程”指代理主机。
  • 如果代理安装在物理端点上，则条件名称中包含“客户端”的条件不适用。

更多信息

不适用于计算机设置的条件

设置分为两种类型：
  • 计算机设置。这些设置仅适用于计算机，无论谁登录到这些计算机。示例：组策略设置和脚本任务。
  • 用户设置。这些设置仅适用于用户，无论他们登录到哪台计算机。示例：用户的语言设置。
以下条件不适用于计算机设置。如果筛选器包含其中任何一个，代理在评估筛选器时会跳过它们。
筛选器名称 适用于计算机设置
客户端名称匹配 否
客户端 IP 地址匹配 否
注册表值匹配 如果您配置的注册表值以 HKCU 开头，则 注册表值匹配 筛选器在应用于计算机设置时不起作用。
用户国家/地区匹配 否
用户 UI 语言匹配 否
用户 SBC 资源类型 否
Active Directory 路径匹配 否
Active Directory 属性匹配 否
无客户端名称匹配 否
无客户端 IP 地址匹配 否
无注册表值匹配 否
无用户国家/地区匹配 否
无用户 UI 语言匹配 否
无 Active Directory 路径匹配 否
无 Active Directory 属性匹配 否
客户端远程操作系统匹配 否
无客户端远程操作系统匹配 否
Active Directory 组匹配 否
无 Active Directory 组匹配 否
已发布的资源名称 否

分配组

此功能允许您将操作和应用程序安全性（包括 GPO 和 JSON 文件）添加到组中，并选择分配目标进行部署。筛选器和选项等分配详细信息在单个项目级别进行管理。您现在可以为与特定目标关联的所有分配设置单个筛选器。当您向组中添加新项目时，这些项目的分配会自动生成，让您可以查看分配详细信息并进行任何必要的调整。

创建分配组

要创建分配组，请完成以下步骤。
  1. 输入分配组的名称和描述。
  2. 单击“添加”，然后在“配置组内容”页面上选择需要包含在组中的所需操作。
  3. 从下拉列表中选择分配目标。
  4. 您可以复制、粘贴并将所需配置应用于选项卡上的所有分配。
注意：
  • 如果组中的某个项目已从下拉列表中分配给指定目标，则所选目标会更新该分配。您可以在“分配详细信息”页面中进一步配置每个分配目标的分配详细信息。
  • 如果组已分配给组织单位，则它不能包含除组策略设置之外的项目。
  • 要添加虚拟驱动器，必须手动选择驱动器号。

使用安全规则创建分配组

您现在可以使用安全规则创建分配组。此功能请遵循与“创建分配组”相同的步骤。您还可以在“配置组内容”页面下配置“特权提升”规则。
注意：
默认规则不能包含在分配组中，也不会显示在“配置组内容”页面中。

使用导出的设置创建分配组

要使用导出的设置创建分配组，请将导出的设置导入到 WEM 操作中，然后完成以下步骤：
  1. 首先，上传包含已转换设置的 ZIP 文件。
  2. 单击“导入”以将选定的设置/项目保存到当前配置集中，并使用它们创建分配组。
  3. 将当前分配组分配给选定的分配目标。
  4. 刷新代理主机设置以立即应用更改。

查看分配组

  • 要查看分配组，请选择它，然后单击操作栏中的“查看”。
  • 您可以在“内容”选项卡上查看项目类别以及表中选定类别中列出的项目。
  • 在“分配”选项卡上，您可以列出该组已分配到的分配目标。

编辑分配组

  • 要编辑分配组，请选择它，然后单击操作栏中的“编辑”。
  • 在“内容”选项卡中，编辑分配组的名称、描述和内容。
  • 在“分配”选项卡中，您可以添加或删除分配目标。您还可以编辑每个目标的分配详细信息。

删除分配组

要删除分配组，请选择分配，然后单击操作栏中的“删除”。

将旧版操作组迁移到分配组

注意：
此任务仅适用于将本地 WEM 部署迁移到 WEM 服务的情况。要执行此任务，您必须拥有完整的 WEM 管理员 角色。
迁移后，旧版控制台中的现有 操作组 在 Web 控制台的 分配组 中显示为 旧版 项目。在 Web 控制台中，分配组 等同于旧版操作组。要在 Web 控制台中管理这些旧版操作组，您必须将其迁移到分配组。之后，您可以直接在 Web 控制台中编辑和管理已迁移的分配组。
要迁移旧版操作组，请按照以下步骤操作：
  1. 在您的配置集中，转到 分配 > 分配组。
  2. 如果存在旧版操作组，页面标题下方会显示一个信息横幅。
  3. 单击横幅中的 迁移旧版分配。将显示 迁移旧版分配 页面。
  4. 查看旧版操作组及其分配，然后单击 开始迁移。
  5. 等待迁移完成。
迁移完成后：
  • 旧版操作组已迁移到分配组。
  • 分配状态 从 旧版 更改为 已分配。
  • 您可以在 Web 控制台中编辑已迁移的分配组。
  • 某些旧版操作组的分配可能包含没有驱动器号的虚拟驱动器。迁移后，编辑受影响的分配，为每个虚拟驱动器分配一个驱动器号。