Citrix Endpoint Management 与 Microsoft Endpoint Manager 的集成
Citrix Endpoint Management 与 Microsoft Endpoint Manager (MEM) 的集成为 Microsoft Intune 感知应用程序（例如 Microsoft Edge 浏览器）增加了 Citrix Endpoint Management Micro VPN 的价值。
要激活集成，请联系 Citrix Cloud Operations 团队。
此版本支持以下用例：
-
带有 Citrix Endpoint Management 的 Intune MAM MDM+MAM。
本文重点介绍 Intune MAM + Citrix Endpoint Management Madement MDM+MAM 用例。将 Citrix 添加为 MDM 提供程序后，请配置 Intune 托管应用程序以传送到设备。
重要提示：
在这个用例中，Citrix Secure Mail 不支持与 Intune 集成。Citrix Secure Mail 仅适用于在 MDX 模式下注册的设备。
- Intune MAM 和 Citrix Endpoint Management Madement MDM。
- Intune MAM。
- Intune MAM 和 Intune MDM。适用于 iOS 的 Citrix Secure Mail 在此用例中支持单点登录。
有关设置 Citrix Endpoint Management 与 MEM 集成的易于理解的图形指南，请参阅入门指南。
有关与 Azure AD 条件访问的集成有关的信息，请参阅与 Azure AD 条件访问集成。
下图概述 Citrix Endpoint Management 与 Microsoft Endpoint Manager 的集成的概述。
系统要求
启用 MDX
Microsoft
- Azure Active Directory (AD) 访问权限（具有租户管理员权限）
- 启用了 Intune 的租户
防火墙规则
- 启用防火墙规则以允许从 NetScaler Gateway 子网 IP 到
*.manage.microsoft.com、https://login.microsoftonline.com和https://graph.windows.net（端口 53 和 443）的 DNS 和 SSL 流量
必备条件
- Microsoft Edge 浏览器： 移动应用程序 SDK 集成在适用于 iOS 和 Android 的 Microsoft Edge 浏览器应用程序中。有关 Microsoft Edge 的详细信息，请参阅 Microsoft Edge 文档。
-
Citrix Cloud 帐户： 要注册 Citrix 帐户并申请 Citrix Endpoint Management 试用，请联系您的 Citrix 销售代表。准备好继续操作时，请转至 https://onboarding.cloud.com。有关申请 Citrix Cloud 帐户的更多信息，请参阅注册 Citrix Cloud。
注意：
您提供的电子邮件必须是与 Azure AD 无关联的地址。可以使用任何免费的电子邮件服务。
- 适用于 iOS 的 APNs 证书： 确保为 iOS 配置 APNs 证书。要了解有关设置这些证书的详细信息，请参阅此 Citrix 博客文章：创建和导入 APNs 证书。
- Azure AD 同步： 在 Azure AD 和本地 Active Directory 之间设置同步。请勿在域控制器计算机上安装 AD 同步工具。有关设置此同步的详细信息，请参阅 Azure Active Directory 上的 Microsoft 文档。
配置 NetScaler Gateway
如果您要设置新的 Citrix Endpoint Management 部署，请安装以下 NetScaler Gateway 设备之一：
- NetScaler Gateway VPX 3000 系列或更高版本
- NetScaler Gateway MPX 或专用 SDX 实例
要将 NetScaler Gateway 与 Citrix Endpoint Management 与 MEM 集成，请执行以下操作：
- 使用管理接口和子网 IP 配置 NetScaler Gateway。
- 对所有客户端到服务器的通信使用 TLS 1.2。有关为 NetScaler Gateway 配置 TLS 1.2 的信息，请参阅 CTX247095。
如果您使用 Citrix Endpoint Management 与 MEM 的集成以及 Citrix Endpoint Management MDM+MAM 部署，请配置两个 Citrix Gateway。MDX 应用程序流量通过一个 NetScaler Gateway 路由。Intune 应用程序流量通过其他 NetScaler Gateway 路由。配置：
- 两个公用 IP。
- 或者，一个网络地址转换的 IP。
- 两个 DNS 名称。示例：
https://mam.company.com。 - 两个公用 SSL 证书。配置与保留的公用 DNS 名称匹配的证书或使用通配符证书。
- 具有内部不可路由 RFC 1918 IP 地址的 MAM 负载平衡器。
- LDAP Active Directory 服务帐户。
同意委派权限提示
对于需要用户进行身份验证的托管应用程序，这些应用程序请求 Microsoft Graph 公开的应用程序权限。通过同意这些权限提示，应用程序可以访问所需的资源和 API。某些应用程序需要获得全球管理员的同意才能获得 Microsoft Azure AD。对于这些委派权限，全局管理员必须向 Citrix Cloud 授予请求令牌的权限。然后，令牌将启用以下权限。有关详细信息，请参阅 Microsoft Graph 权限参考。
- 登录和读取用户配置文件： 此权限允许用户登录并连接到 Azure AD。Citrix 无法查看用户凭据。
- 读取所有用户的基本配置文件： 该应用程序读取组织中用户的配置文件属性。属性包括组织中用户的显示名称、名字和姓氏以及电子邮件地址和照片。
- 读取所有组： 此权限允许为应用程序和策略分配指定 Azure AD 组。
- 以已登录用户身份访问目录： 此权限验证 Intune 订阅并启用 NetScaler Gateway 和 VPN 配置。
-
读写 Microsoft Intune 应用程序： 该应用程序可以读取和写入以下内容：
- Microsoft 托管的属性
- 组分配和应用程序的状态
- 应用程序配置
- App Protection 策略
此外，在 NetScaler Gateway 配置期间，Azure AD 全局管理员必须：
-
批准为 Micro VPN 选择的 Active Directory。全局管理员还必须生成 NetScaler Gateway 用于与 Azure AD 和 Intune 通信的客户端密钥。
-
没有 Citrix 管理员的角色。相反，Citrix 管理员将 Azure AD 帐户分配给具有适当 Intune 应用程序管理员权限的用户。然后，Intune 管理员担任 Citrix Cloud 管理员的角色，以从 Citrix Cloud 内部管理 Intune。
注意：
Citrix 仅在安装过程中使用 Intune 全局管理员密码，并将身份验证重定向到 Microsoft。Citrix 无法访问密码。
配置 Citrix Endpoint Management 与 MEM 的集成
-
登录 Citrix Cloud 网站并申请试用 Citrix Endpoint Management。
-
销售工程师安排与您的入门会议。让他们知道您想让 Citrix Endpoint Management 与 MEM 集成。批准您的请求后，单击管理。
-
在该站点，您可以单击站点右上角的齿轮，也可以单击配置站点。
-
按照第一步中的链接进入身份识别和访问管理页面。
-
单击连接以连接您的 Azure AD 安装。
-
输入 Azure AD 管理员用于登录的唯一登录 URL，然后单击确认。
-
添加 Azure AD 全局管理员帐户，然后接受权限请求。
-
确认 Azure AD 实例已成功连接。要指示连接成功，未连接文本将更改为已启用。
-
单击管理员选项卡，然后将您的 Azure AD Intune 管理员添加为 Citrix Cloud 管理员。从下拉菜单中选择“Azure AD”或“Citrix 身份”，然后搜索要添加的用户名。单击邀请，然后在单击发送邀请之前授予用户完全访问权限或自定义访问权限。
注意：
Citrix Endpoint Management 需要以下规则才能进行自定义访问：库和 Citrix Endpoint Management。
因此，Azure AD Intune 管理员会收到一封电子邮件邀请，以创建密码并登录到 Citrix Cloud。在管理员登录之前，请确保您注销了所有其他帐户。
Azure AD Intune 管理员必须遵循此过程中的其余步骤。
-
使用新帐户登录后，在Citrix Endpoint Management 下，单击“管理”。如果正确配置所有内容，则该页面会显示 Azure AD 管理员已登录并且您的 Intune 订阅有效。
为微型 VPN 配置 NetScaler Gateway
要将 Micro VPN 与 Intune 结合使用，必须将 NetScaler Gateway 配置为对 Azure AD 进行身份验证。现有的 NetScaler Gateway 虚拟服务器不适用于此用例。
首先，将 Azure AD 配置为与本地 Active Directory 同步。此步骤是确保 Intune 和 NetScaler Gateway 之间正确进行身份验证所必需的。
-
在 Citrix Cloud 控制台中，在 Citrix Endpoint Management 下单击“管理”。
-
在 Micro VPN 旁边，单击配置 Micro VPN。
-
输入微型 VPN 服务的名称和 NetScaler Gateway 的外部 URL，然后单击“下一步”。
此脚本将 NetScaler Gateway 配置为支持 Azure AD 和 Intune 应用程序。
-
点击下载脚本。.zip 文件包括一个自述文件，其中包含实施脚本的说明。尽管您可以从此处保存并退出，但只有在 NetScaler Gateway 安装中运行脚本后，Micro VPN 才会设置。
注意：
完成 NetScaler Gateway 配置过程后，如果您看到的 OAuth 状态不是“完成”，请参阅“故障排除”部分。
配置设备管理
如果要管理除应用程序以外的设备，请选择一种设备管理方法。您可以使用 Citrix Endpoint Management Madement MDM+MAM 或 Intune MDM。
注意：
控制台默认为 Intune MDM。要使用 Intune 作为 MDM 提供程序，请参阅 Microsoft Intune 文档。
-
在 Citrix Cloud 控制台中，在 Citrix Endpoint Management 与 MEM 的集成下，单击“管理”。在设备管理 - 可选旁边，单击配置 MDM。
-
输入唯一的站点名称，选择离您最近的云区域，然后单击“请求站点”。当您的网站准备就绪时，您会收到一封电子邮件。
-
单击确定关闭提示。选择要与您的站点关联的 Active Directory 位置或创建一个资源位置，然后单击下一步。
-
单击下载 Cloud Connector，然后按照屏幕上的说明安装 Cloud Connector。安装后，单击测试连接以验证 Citrix Cloud 与 Cloud Connector 之间的连接。
-
单击保存并退出以完成。此时将显示您的资源位置。单击完成将返回到设置屏幕。
-
现在，您可以从站点磁贴访问 Citrix Endpoint Management 控制台。在这里，您可以执行 MDM 管理任务和分配设备策略。有关设备策略的详细信息，请参阅设备策略。
配置 Intune 托管应用程序以交付到设备
要配置 Intune 托管应用程序进行交付，请执行以下操作：
- 将应用程序添加到 Citrix Cloud 库
- 创建 Citrix Endpoint Management 设备策略以控制数据流
- 为应用程序和策略创建交付组
将 Microsoft Intune 应用程序添加到 Citrix Cloud 库
对于要添加的每个应用程序：
-
在 Citrix Cloud 控制台中，单击菜单图标，然后单击 Library（库）。
-
单击右上角的加号图标，然后单击 Add a Mobile app（添加移动应用程序）。
-
如果您在 Citrix Endpoint Management 控制台中配置了 Android Enterprise，请在“选择应用程序”下选择 Microsoft Intune 应用程序。选择要自定义的应用程序模板，或者单击 Upload my own App（上载我自己的应用程序）。
Citrix 提供现有应用程序模板，每个模板都附带一组预配置的默认策略。对于客户上载的应用程序，以下策略适用：
-
MDX 文件： 包括启用了 MAM SDK 的应用程序或 MDX 封装的应用程序，例如：
- Intune App Protection 策略和软件包中的默认 MDX 策略
- 公共应用商店应用程序，例如 Intune App Protection 策略和与捆绑包 ID 匹配的默认 MDX 策略
- IPA 文件： Intune App Protection 策略。
- APK 文件： Intune App Protection 策略。
注意：
如果应用程序未使用 Intune 打包，则 Intune App Protection 策略不适用。
-
MDX 文件： 包括启用了 MAM SDK 的应用程序或 MDX 封装的应用程序，例如：
-
单击 Upload my own App（上载我自己的应用程序）后，上载您的 .mdx 或 Intune 封装的文件。
-
输入应用程序的名称和说明，选择应用程序是可选应用程序还是必需应用程序，然后单击 Next（下一步）。
-
配置应用程序设置。以下配置允许 Citrix Endpoint Management 和 Intune 容器相互传输数据。
- Allow apps to receive data from other apps（允许应用程序接收来自其他应用程序的数据）：选择 Policy managed apps（策略托管的应用程序）。
- Allow app to transfer data to other apps（允许应用程序将数据传输到其他应用程序）：选择 All apps（所有应用程序）。
- Restrict cut, copy, paste with other apps（限制与其他应用程序的剪切、复制、粘贴操作）：选择 Policy managed apps（策略托管的应用程序）。
-
为保存的数据配置存储库。在 Select which storage services corporate data can be saved to（选择可以将哪些存储服务企业数据保存到）中，选择 LocalStorage（本地存储）。
-
可选：为应用程序设置数据重定位、访问权限和 PIN 策略。单击下一步。
-
查看应用程序的摘要，然后单击“完成”。
应用程序配置过程可能需要几分钟时间。过程完成后，将显示一条消息，指示应用程序已发布到库。
-
要将用户组分配给应用程序，请单击分配用户。
-
在搜索框中，搜索用户组，然后单击以进行添加。无法添加单个用户。
-
添加所需的所有组后，请通过单击 X 来关闭窗口。
添加用户组时可能会看到一条错误。当用户组尚未同步到本地 Active Directory 时会出现此错误。
将 Android Enterprise 应用程序添加到 Citrix Cloud 库
要将 Android Enterprise 应用程序添加到 Citrix Cloud Library 并设置 Intune App Protection 策略，请使用以下内容配置您的云环境：
- 将 Citrix Cloud 与 Azure Active Directory (AAD) 帐户联合。请参阅将 Azure Active Directory 连接到 Citrix Cloud。
- 在 Citrix Endpoint Management 中配置 LDAP 和 Cloud Connector。
- 在 Citrix Endpoint Management 中设置 Android Enterprise。确保Android Enterprise 设备在 MDM+MAM 中注册。要设置 Android Enterprise，请参阅 Android Enterprise。
按照此步骤将 Android Enterprise 应用程序同时添加到 Citrix Endpoint Management 控制台和 Intune 控制台。对于要添加的每个 Android Enterprise 应用程序：
-
在 Citrix Cloud 控制台中，单击菜单图标，然后单击 Library（库）。
-
单击右上角的加号图标，然后单击 Add a Mobile app（添加移动应用程序）。
-
在 选择应用程序下，选择 Android Enterprise 应用程序。
-
搜索应用并在托管 Google Play 商店窗口中批准它。Google 窗口关闭后，单击 下一步。
-
添加应用程序详细信息，然后单击 Next。
-
如果搜索并选择了 Citrix 移动生产力应用程序，则可以配置 Micro VPN 策略。配置这些策略后，单击 下一步。
-
配置 Intune App Protection 策略。单击下一步。
-
配置应用程序设置。以下配置允许 Citrix Endpoint Management 和 Intune 容器相互传输数据。
- Allow apps to receive data from other apps（允许应用程序接收来自其他应用程序的数据）：选择 Policy managed apps（策略托管的应用程序）。
- Allow app to transfer data to other apps（允许应用程序将数据传输到其他应用程序）：选择 All apps（所有应用程序）。
- Restrict cut, copy, paste with other apps（限制与其他应用程序的剪切、复制、粘贴操作）：选择 Policy managed apps（策略托管的应用程序）。
-
为保存的数据配置存储库。在 Select which storage services corporate data can be saved to（选择可以将哪些存储服务企业数据保存到）中，选择 LocalStorage（本地存储）。
-
可选：为应用程序设置数据重定位、访问权限和 PIN 策略。单击下一步。
-
查看应用程序的摘要，然后单击“完成”。
应用程序配置过程可能需要几分钟时间。过程完成后，将显示一条消息，指示应用程序已发布到库。该应用程序在 Citrix Endpoint Management 和 Intune 控制台中可用。在 Citrix Endpoint Management 控制台中，该应用程序属于新交付组，被标识为公共应用商店应用程序。
-
要将用户组分配给应用程序，请单击分配用户。
-
在搜索框中，搜索用户组，然后单击以进行添加。无法添加单个用户。
-
添加所需的所有组后，请通过单击 X 来关闭窗口。
添加用户组时可能会看到一条错误。当用户组尚未同步到本地 Active Directory 时会出现此错误。
控制在托管应用程序之间传输的数据类型
使用 Citrix Endpoint Management 设备策略控制在 Citrix Endpoint Management 或 Intune 容器内的托管应用程序之间可以传输的数据类型。可以将“限制”策略配置为仅允许标记为“企业”的数据。配置“应用程序配置”策略以标记数据。
要配置“限制”设备策略，请执行以下操作：
-
在 Citrix Endpoint Management 控制台中， 单击“配置”>“设备策略”。
-
在设备策略页面上，单击添加。将显示添加新策略页面。
-
单击策略列表中的限制。
-
在策略信息页面上，键入策略的名称和说明（可选）。单击下一步。
-
要为 iOS 应用程序创建设备策略，请在平台窗格中选择 iOS。
-
在安全性 - 允许下，将在非托管应用程序中使用托管应用程序中的文档设置为关。关闭 此设置还会将 非托管应用程序读取托管联系人 和托 管应用程序将非托管联系人写入 设置为 关闭。单击下一步。
-
单击下一步，直到出现保存按钮。单击保存。
为每个应用程序配置“应用程序配置”设备策略：
-
在 Citrix Endpoint Management 控制台中， 单击“配置”>“设备策略”。
-
单击添加。将显示添加新策略页面。
-
在策略列表中单击应用程序配置。
-
在策略信息页面上，键入策略的名称和说明（可选）。单击下一步。
-
要为 iOS 应用程序创建设备策略，请在平台窗格中选择 iOS。
-
选择要配置的应用程序的标识符。
-
对于 iOS 应用程序，请将以下文本添加到字典内容中：
<dict> <key>IntuneMAMUPN</key> <string>${user.userprincipalname}</string> </dict> <!--NeedCopy--> -
单击检查字典。
-
单击下一步。
-
单击保存。
为应用程序和设备策略配置交付组
-
在 Citrix Endpoint Management 控制台中， 单击配置 > 交付组。
-
在交付组页面上，单击添加。此时将显示交付组信息页面。
-
在交付组信息页面中，键入交付组的名称和说明（可选）。单击下一步。
-
在任务页面上，指定要如何部署交付组：选择在 Citrix Endpoint Management 中或在 Citrix Cloud 中。
-
如果您选择了在 Citrix Endpoint Management 中：
- 选择域： 在列表中，选择要从中选择用户的域。
-
包括用户组： 执行以下操作之一：
- 在用户组列表中，单击要添加的组。选定的组将显示在选定用户组列表中。
- 单击搜索以查看选定域中所有用户组的列表。
- 在搜索框中键入完整或部分组名称，然后单击搜索以限制用户组列表。
要从选定用户组列表中删除某个用户组，请执行以下操作之一：
- 在选定用户组列表中，单击要删除的每个组旁边的 X。
- 单击搜索以查看选定域中所有用户组的列表。滚动浏览列表并清除要移除的每个组的复选框。
- 在搜索框中键入完整或部分组名称，然后单击搜索以限制用户组列表。滚动浏览列表并清除要移除的每个组的复选框。
-
单击下一步。
-
在策略页面中，从左到右拖动您创建的“限制”策略和“应用程序配置”策略。单击下一步。
-
在应用程序页面中，将要提供的应用程序从页面左侧拖动到必需应用程序或可选应用程序。单击下一步。
-
（可选）配置媒体页面、操作页面和注册页面上的设置。或者接受每个页面上的默认值，然后单击下一步。
-
在摘要页面上，查看交付组设置，然后单击保存以创建交付组。
在 Intune 控制台中发布应用程序时，选择强制管理应用程序。系统会提示使用未受监督的设备的用户允许管理此应用程序。如果用户接受该提示，应用程序将在设备上进行托管。如果用户拒绝提示，则该应用程序在设备上不可用。
配置 Citrix Secure Mail
Citrix Secure Mail 现在支持各种配置。您可以将 Citrix Secure Mail 打包到连接到本地 Exchange Server 的 Intune MAM 容器中。您可以将 Citrix Secure Mail 连接到托管的 Exchange 或 Office 365 帐户。但是，此版本不支持基于证书的身份验证，因此改为使用 LDAP。
重要提示：
要在 MDX 模式下使用 Citrix Secure Mail，必须使用 Citrix Endpoint Management MDM+MAM。
Citrix Secure Mail 还会自动填充用户名。要启用此功能，必须先配置以下自定义策略：
-
在 Citrix Endpoint Management 控制台中，前往“设置”>“服务器属性”，然后单击“添加”。
-
在列表中，单击自定义键，然后在密钥字段中，键入
xms.store.idpuser_attrs。 -
将该值设置为 true，然后在显示名称中键入
xms.store.idpuser_attrs。单击保存。 -
单击客户端属性，然后单击添加。
-
选择自定义密钥，然后在密钥字段中键入 SEND_LDAP_ATTRIBUTES 。
-
userPrincipalName=${user.userprincipalname},email=${user.mail},displayname=${user.displayname},sAMAccountName=${user.samaccountname},aadupn=${user.id_token.upn},aadtid=${user.id_token.tid}在“值”字段中键入。输入描述，然后单击“保存”。以下步骤仅适用于 iOS 设备。
-
转至配置 > 设备策略，单击“添加”，然后选择应用程序配置策略。
-
输入策略名称，然后单击下一步。
在“标识符”列表中，单击新增。在出现的文本框中，输入您的 Citrix Secure Mail 应用程序的捆绑包 ID。
-
在字典内容框中，键入以下文本。
<dict> <key>XenMobileUserAttributes</key> <dict> <key>userPrincipalName</key> <string>${user.userprincipalname}</string> <key>email</key> <string>${user.mail}</string> <key>displayname</key> <string>${user.displayname}</string> <key>sAMAccountName</key> <string>${user.samaccountname}</string> <key>aadupn</key> <string>${user.id_token.upn}</string> <key>aadtid</key> <string>${user.id_token.tid}</string> </dict> <key>IntuneMAMUPN</key> <string>${user.id_token.upn}</string> </dict> -
清除 Windows Desktop/Tablet 复选框，然后单击“下一步”。
-
选择要将此策略部署到的用户组，然后单击保存。
故障排除
常规问题
问题： 打开应用程序时，将显示以下错误消息：需要应用程序策略。
解决方案： 在 Microsoft Graph API 中添加策略。
问题： 您有策略冲突。
解决方案： 仅允许为每个应用程序配置一个策略。
问题： 您的应用程序无法连接到内部资源。
解决方法： 确保打开了正确的防火墙端口，使用正确的租户 ID 等。
NetScaler Gateway 问题
下表列出了 NetScaler Gateway 配置的常见问题及其解决方案。要进行故障排除，请启用更多日志并通过执行以下操作进行检查：
- 在命令行界面中，运行以下命令：
set audit syslogParams -logLevel ALL - 使用
tail -f /var/log/ns.log从 shell 检查日志
| 问题 | 解决方案 |
|---|---|
| 为 Azure 上的网关应用程序配置所需的权限不可用。 | 检查是否有适当的 Intune 许可证可用。尝试使用 manage.windowsazure.com 门户来查看是否可以添加权限。如果问题仍然存在，请与 Microsoft 支持部门联系。 |
NetScaler Gateway 无法访问 login.microsoftonline.com 和 graph.windows.net。 |
在 NS Shell 中，检查您是否可以访问以下 Microsoft Web 站点：curl -v -k https://login.microsoftonline.com。然后，检查 NetScaler Gateway 上是否配置了 DNS，以及防火墙设置是否正确（如果 DNS 请求有防火墙）。 |
| 配置 OAuthAction 后，ns.log 中会出现错误。 | 检查 Intune 许可是否已启用，以及 Azure 网关应用程序是否设置了适当的权限。 |
| Sh OAuthAction 命令不会显示 OAuth 状态为完成。 | 检查 Azure Gateway 应用程序的 DNS 设置和配置权限。 |
| Android 或 iOS 设备不显示双重身份验证提示。 | 检查双重设备 ID 登录架构是否绑定到身份验证虚拟服务器。 |
OAuth 错误情况和状态
| 状态 | 错误状况 |
|---|---|
| COMPLETE | 成功 |
| AADFORGRAPH | 密钥无效、URL 未解析、连接超时 |
| MDMINFO | *manage.microsoft.com 已关闭或无法访问 |
| GRAPH | 图形端点已关闭，无法访问 |
| CERTFETCH | 由于 DNS 错误，无法与“令牌端点：https://login.microsoftonline.com”对话。要验证此配置，请转到 shell 并键入 curl https://login.microsoftonline.com。此命令必须验证。 |
限制
以下各项描述了将 MEM 与 Citrix Endpoint Management 结合使用的一些限制。
- 使用 Citrix 和 Intune 部署应用程序以支持 Micro VPN 时：当用户提供其用户名和密码以访问摘要站点时，即使其凭据有效，也会出现错误。[CXM-25227]
- 将拆分通道从开更改为关，并等待当前网关会话过期后：用户在完整 VPN 模式下启动内部站点之前，外部流量无需通过 NetScaler Gateway 即可直接通过。[CXM-34922]
- 将开放政策从“仅限 托管应用程序”更改为“所有应用程序**”后，用户在关闭并重新启动 Citrix Secure Mail 之前无法在非托管应用程序中打开文档。[CXM-34990]
- 在完整 VPN 模式下拆分通道设置为开，并且拆分 DNS 从本地更改为远程时，内部站点无法加载。[CXM-35168]
已知问题
禁用 mVPN 策略“启用 http/https 重定向（使用 SSO）”时，Citrix Secure Mail 将无法运行。[CXM-58886]
第三方已知问题
在 Citrix Secure Mail for Android 上，当用户点击“创建新事件”时，不会显示新的活动创建页面。[CXM-23917]
当您使用 Citrix 和 Intune 部署 iOS 版 Citrix Secure Mail 以支持微型 VPN 时：当用户将应用移至后台时，遮住 Citrix Secure Mail 屏幕的应用政策并未强制执行。[CXM-25032]