XenMobile® Server

HDX™ 应用的 SmartAccess

April 16, 2026

投稿者:

此功能允许您根据设备属性、设备的用户属性或设备上安装的应用程序来控制对 HDX 应用的访问。您可以通过设置自动化操作来使用此功能，将设备标记为不合规以拒绝该设备访问。与此功能一起使用的 HDX 应用在 Virtual Apps and Desktops 中配置，方法是使用 SmartAccess 策略拒绝不合规设备的访问。XenMobile 使用签名加密标签将设备状态传达给 StoreFront™。然后，StoreFront 根据应用的访问控制策略允许或拒绝访问。

要使用此功能，您的部署需要：

Virtual Apps and Desktops 7.6
StoreFront 3.7 或 3.8
配置为从 StoreFront 服务器聚合 HDX 应用的 XenMobile® Server
配置了 SAML 证书以用于签名和加密标签的 XenMobile Server。不含私钥的相同证书将上传到 StoreFront 服务器。

要开始使用此功能：

将 XenMobile Server 证书配置到 StoreFront 应用商店
使用所需的 SmartAccess 策略配置至少一个 Virtual Apps and Desktops 交付组
在 XenMobile 中设置自动化操作

导出和配置 XenMobile Server 证书并将其上传到 StoreFront 应用商店

SmartAccess 使用签名加密标签在 XenMobile 和 StoreFront 服务器之间进行通信。要启用该通信，您需要将 XenMobile Server 证书添加到 StoreFront 应用商店。

有关在 XenMobile 启用域和基于证书的身份验证时集成 StoreFront 和 XenMobile 的详细信息，请参阅支持知识中心。

从 XenMobile Server 导出 SAML 证书

在 XenMobile 控制台中，单击右上角的齿轮图标。此时将显示设置页面。单击证书。
找到 XenMobile Server 的 SAML 证书。
确保导出私钥设置为关。单击导出将证书导出到您的下载目录。
在您的下载目录中找到该证书。该证书采用 PEM 格式。

将证书从 PEM 转换为 CER

打开 Microsoft 管理控制台 (MMC)，然后右键单击证书 > 所有任务 > 导入。
当证书导入向导出现时，单击下一步。
浏览到下载目录中的证书。
选择将所有证书放入以下存储，然后选择个人作为证书存储。单击下一步。
查看您的选择，然后单击完成。单击确定关闭确认窗口。
在 MMC 中，右键单击该证书，然后选择所有任务 > 导出。
当证书导出向导出现时，单击下一步。
选择格式DER 编码的二进制 X.509 (.CER)。单击下一步。
浏览到该证书。键入证书名称，然后单击下一步。
保存证书。
浏览到该证书，然后单击下一步。
查看您的选择，然后单击完成。单击确定关闭确认窗口。
在您的下载目录中找到该证书。该证书采用 CER 格式。

将证书复制到 StoreFront 服务器

在 StoreFront 服务器上，创建一个名为 SmartCert 的文件夹。
将证书复制到 SmartCert 文件夹。

在 StoreFront 应用商店上配置证书

在 StoreFront 服务器上，运行此 PowerShell 命令以在应用商店上配置转换后的 XenMobile Server 证书：

    Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath  “C:\xms\xms.cer” –ServerName “XMS server”
<!--NeedCopy-->

SmartAccess 配置

如果 StoreFront 应用商店上存在任何现有证书，请运行此 PowerShell 命令以吊销它们：

    Revoke-STFStorePnaSmartAccess –StoreService $store –All
<!--NeedCopy-->

SmartAccess 配置

或者，您可以在 StoreFront 服务器上运行以下任一 PowerShell 命令以吊销 StoreFront 应用商店上的现有证书：

按名称吊销：

    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
<!--NeedCopy-->

按指纹吊销：

    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint “ReplaceWithThumbprint”
<!--NeedCopy-->

按服务器对象吊销：

    $store = Get-STFStoreService –VirtualPath /Citrix/Store

    $access = Get-STFStorePnaSmartAccess –StoreService $store

    Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]
<!--NeedCopy-->

配置 Virtual Apps and Desktops 的 SmartAccess 策略

要将所需的 SmartAccess 策略添加到交付 HDX 应用的交付组：

在 Virtual Apps and Desktops 服务器上，打开 Citrix Studio。
在 Studio 导航窗格中选择交付组。
选择一个交付您要控制访问的应用的组。然后在操作窗格中选择编辑交付组。
在访问策略页面上，选择通过 NetScaler® Gateway 的连接和满足以下任一条件的连接。
单击添加。
添加一个访问策略，其中场为 XM，筛选器为 XMCompliantDevice。
单击应用以应用您所做的任何更改并保持窗口打开，或者单击确定以应用更改并关闭窗口。

在 XenMobile 中设置自动化操作

您在交付组中为 HDX 应用设置的 SmartAccess 策略会在设备不合规时拒绝设备访问。使用自动化操作将设备标记为不合规。

SmartAccess 配置

在 XenMobile 控制台中，单击配置 > 操作。此时将显示操作页面。
单击添加以添加操作。此时将显示操作信息页面。
在操作信息页面上，键入操作的名称和描述。
单击下一步。此时将显示操作详细信息页面。在以下示例中，如果设备具有用户属性名称 eng5 或 eng6，则会立即创建触发器以将设备标记为不合规。
在触发器列表中，选择设备属性、用户属性或已安装应用程序名称。SmartAccess 不支持事件触发器。
在操作列表中：
- 选择将设备标记为不合规。
- 选择是。
- 选择真。
- 要将操作设置为在满足触发条件时立即将设备标记为不合规，请将时间范围设置为 0。
选择要应用此操作的 XenMobile 交付组。
查看操作摘要。
单击下一步，然后单击保存。

当设备被标记为不合规时，HDX 应用将不再显示在 Secure Hub 应用商店中。用户将不再订阅该应用。不会向设备发送通知，Secure Hub 应用商店中也没有任何内容指示 HDX 应用以前可用。

如果您希望在设备被标记为不合规时通知用户，请创建通知，然后创建自动化操作以发送该通知。

此示例在设备被标记为不合规时创建并发送此通知：“设备序列号或电话号码不再符合设备策略，HDX 应用程序已被阻止。”

SmartAccess 配置

创建设备被标记为不合规时用户看到的通知

在 XenMobile 控制台中，单击控制台右上角的齿轮图标。此时将显示设置页面。
单击通知模板。此时将显示通知模板页面。
在通知模板页面上单击添加。
当系统提示您首先设置 SMS 服务器时，单击否，稍后设置。
配置以下设置：
- 名称： HDX 应用程序阻止
- 描述： 设备不合规时的代理通知
- 类型： 即席通知
- Secure Hub： 已激活
- 消息： 设备 ${firstnotnull(device.TEL_NUMBER,device.serialNumber)} 不再符合设备策略，HDX 应用程序已被阻止。
单击保存。

创建在设备被标记为不合规时发送通知的操作

在 XenMobile 控制台中，单击配置 > 操作。此时将显示操作页面。
单击添加以添加操作。此时将显示操作信息页面。
在操作信息页面上，输入操作的名称和描述：
- 名称： HDX 阻止通知
- 描述： 设备不合规导致 HDX 阻止通知
单击下一步。此时将显示操作详细信息页面。
在触发器列表中：
- 选择设备属性。
- 选择不合规。
- 选择是。
- 选择真。
在操作列表中，指定满足触发器时发生的操作：
- 选择发送通知
- 选择HDX 应用程序阻止（您创建的通知）。
- 选择0。将此值设置为 0 会在满足触发条件时发送通知。
选择要应用此操作的 XenMobile 交付组。在此示例中，选择所有用户。
查看操作摘要。
单击下一步，然后单击保存。

有关设置自动化操作的详细信息，请参阅自动化操作。

用户如何重新获得对 HDX 应用的访问权限

设备恢复合规后，用户可以再次访问 HDX 应用：

在设备上，转到 Secure Hub 应用商店以刷新应用。
转到应用并点击添加到应用。

添加应用后，它会显示在“我的应用”中，旁边有一个蓝点，因为它是一个新安装的应用。

SmartAccess 配置

本内容的正式版本为英文版。部分 Cloud Software Group 文档内容采用了机器翻译，仅供您参考。Cloud Software Group 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Cloud Software Group 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Cloud Software Group 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Cloud Software Group 不承担任何责任。

这是否有帮助？

HDX™ 应用的 SmartAccess

April 16, 2026

投稿者:

April 16, 2026

投稿者:

在本文中

导出和配置 XenMobile Server 证书并将其上传到 StoreFront 应用商店
配置 Virtual Apps and Desktops 的 SmartAccess 策略
在 XenMobile 中设置自动化操作
创建在设备被标记为不合规时发送通知的操作

这是否有帮助？