如果设置为 On （启用），启用程序在处于不活动状态一段时间后启动或恢复时需要输入 PIN 或通行码才能解锁。默认值为 开 。

要配置所有应用程序的不活动计时器，请在 设置 选项卡上的 客户端属性 中设置 INACTIVITY_TIMER 值（以分钟为单位）。默认不活动计时器值为 60 分钟。要禁用不活动计时器以便 PIN 或通行码提示仅在应用程序启动时出现，请将值设置为 0。

如果为“加密密钥”策略选择“安全脱机”，则将自动启用此策略。

定义应用程序在不执行网络登录的情况下重新确认授权和刷新策略时可以脱机运行的最长期限。默认值为 168 小时 （7 天）。最短期限为 1 小时。

将在期限过期前 30 分钟、15 分钟和 5 分钟提醒用户登录。过期后，应用程序将保持锁定，直到用户完成一次成功的网络登录。

此策略在 Endpoint Management 控制台中的名称为 备用 NetScaler Gateway 。

对此应用程序的身份验证和 Micro VPN 会话使用的特定备用 Citrix Gateway（以前称为 NetScaler Gateway）的地址。 备用 NetScaler Gateway 是一项可选策略，当与“要求联机会话”策略结合使用时，将强制应用程序对特定网关重新进行身份验证。此类网关通常具有不同的（具有更高保障）身份验证要求和流量管理策略。如果保留为空，则将始终使用服务器的默认设置。默认值为空。

如果设置为 On （启用），则将在设备已越狱或已获得 root 权限后锁定应用程序。如果设置为 Off （禁用），则即使设备已越狱或已获得 root 权限，应用程序仍可运行。默认值为 开 。

如果设置为 On （启用），则在设备未配置加密时将锁定应用程序。如果设置为 关 ，则即使设备未配置加密，也允许应用程序运行。默认值为 关 。

此策略仅在 Android 3.0 (Honeycomb) 上受支持。将此策略设置为 开 将阻止应用程序在较旧的版本上运行。

如果选择 设备 PIN 码或通行码 ，则当设备没有 PIN 码或通行码时，应用程序将锁定。如果设置为 设备图案形屏幕锁 ，则在设备未设置图案锁时，应用程序会锁定。如果设置为 Off （禁用），则即使设备未设置 PIN、通行码或图案锁，也允许应用程序运行。默认值为 关 。

设备 PIN 码或通行码 要求至少使用 Android 4.1 版本 (Jelly bean)。将此策略设置为 设备 PIN 码或通行码 将阻止应用程序在较旧的版本上运行。

在 Android M 设备上， 设备 PIN 或通行码 和 设备图案屏幕锁 选项具有相同的效果：启用任一选项后，如果设备未设置 PIN、通行码或图案屏幕锁，应用程序将被锁定。

如果设置为 开 ，则当设备未连接到 Wi-Fi 网络时，应用程序将被锁定。如果设置为 关 ，则当设备具有活动连接（例如 4G/3G、LAN 或 Wi-Fi 连接）时，应用程序可以运行。默认值为 关 。

允许连接的 Wi-Fi 网络的逗号分隔列表。如果网络名称中包含任何非字母数字字符（包括逗号），则必须用双引号将名称括起来。应用程序仅会在连接到所列网络之一的情况下运行。如果留空，则允许所有网络。此值不会影响与手机网络的连接。默认值为空。

定义在系统检测到可用应用程序更新时，可继续使用应用程序的宽限期。默认值为 168 小时 （7 天）。

不建议使用 0，因为该值会立即阻止使用正在运行的应用程序，直至下载并安装更新（但不会向用户发出任何警告）。此值会导致出现运行该应用程序的用户被强制退出应用程序的情况（可能会丢失工作），以遵从所需的更新。

禁用用户升级到 App Store 中的最新版本的应用程序的要求。默认值为 开 。

锁定应用程序后，擦除数据并重置应用程序。如果设置为 Off （禁用），锁定应用程序时将不擦除应用程序数据。默认值为 关 。

应用程序可能由于以下任何原因而锁定：

应用程序启动时，MDX 框架将轮询 Citrix Endpoint Management 以确定当前应用程序和设备状态。如果能够访问运行 Endpoint Management 的服务器，该框架将返回与设备的锁定/擦除状态和应用程序的启用/禁用状态有关的信息。无论是否能够访问该服务器，都会根据活动轮询期限时间间隔安排后续的轮询。超过此期限后，将重新尝试执行新轮询。默认值为 60 分钟 （1 小时）。

只有在应用程序面临高风险时才将此值设置为低于默认值，否则性能可能会受到影响。

允许您选择 MDX 还是设备平台负责处理数据加密。如果选择 MDX 加密 ，MDX 会加密数据。如果选择 强制合规的平台加密 ，设备平台将对数据进行加密。默认值为 MDX 加密 。

允许您在设备不符合加密的最低合规性要求时选择一项操作。选择 允许应用程序 允许应用程序正常运行。选择 允许应用程序在显示警告后运行 以便应用程序在显示警告后运行。选择 阻止 以阻止应用程序运行。默认值为 允许应用程序在显示警告后运行 。

允许用于派生加密密钥的密钥永久保留在设备上。允许脱机访问是唯一可用的选项。

Citrix 建议您将身份验证策略设置为启用网络登录或脱机密码质询，以保护对加密内容的访问。

控制位于以下位置的私密数据文件的加密：/data/data/<appname> 和 /mnt/sdcard/Android/data/<appname>。

已禁用 选项表示专用文件未加密。 安全组 选项使用由同一安全组中的所有 MDX 应用程序共享的密钥对专用文件进行加密。 应用程序 选项使用特定于此应用程序的密钥对私密文件进行加密。 默认值为 安全组 。

包含以逗号分隔的文件路径列表。每个路径都是一个正则表达式，代表一个或多个加密的文件。文件路径相对于内部和外部沙盒。默认值为空。

排除项仅适用于以下文件夹：

内部存储：

/data/data/<your_package_name>

SD 卡：

/storage/emulated/\<SD Card Slot>/Android/data/<your_package_name>

/storage/emulated/legacy/Android/data/<your_package_name>

包含以逗号分隔的列表。每个条目都是一个正则表达式路径，后跟 (NA)、(RO) 或 (RW)。匹配路径的文件仅限于 无访问权限 、 只读 或 读取/写入 权限。按顺序处理列表，第一个匹配路径将用于设置访问限制。默认值为空。

仅当 启用公用文件加密 时才会强制执行此策略，即从 禁用 选项更改为 安全组 或 应用程序 选项。此策略仅适用于未加密的现有公用文件，并指定了对这些文件进行加密的时间。

控制公共文件的加密。如果设置为 Disabled （已禁用），则不加密公用文件。如果设置为 SecurityGroup （安全组），则使用由同一安全组中的所有 MDX 应用程序共享的密钥对公用文件进行加密。如果设置为 Application （应用程序），使用此应用程序独有的密钥对公共文件进行加密。

默认值为 安全组 。

包含以逗号分隔的文件路径列表。每个路径都是一个正则表达式，代表一个或多个不加密的文件。文件路径相对于默认外部存储和任何设备特定的外部存储。

公用文件加密排除项只包括外部文件夹位置。

仅当启用了“Public file encryption”（公共文件加密）策略时才会强制执行此策略，即从 Disabled （已禁用）更改为 SecurityGroup （安全组）或 Application （应用程序）。此策略仅适用于未加密的现有公用文件，并指定了对这些文件进行加密的时间。默认值为 Write (RO/RW) （写入(RO/RW)）。

禁用 选项表示现有文件未加密。 写入(RO/RW) 选项仅在为只写或读/写访问权限打开现有文件时对其进行加密。 任何 选项将在任何模式下打开现有文件时均对其进行加密。选项:

如果您希望 Citrix Endpoint Management 托管的所有移动应用程序相互交换信息，请将此字段留空。定义安全组名称，以管理特定应用程序集（例如财务或人力资源）的安全设置。

如果您为现有应用程序更改了此策略，则用户必须删除并重新安装该应用程序才能应用策略更改。

阻止、允许或限制此应用程序的剪贴板剪切和复制操作。如果选择 限制 ，复制的剪贴板数据将放置在仅对 MDX 应用程序可用的专用剪贴板中。默认值为 限制 。

阻止、允许或限制此应用程序的剪贴板粘贴操作。如果选择 限制 ，粘贴的剪贴板数据来源于仅对 MDX 应用程序可用的专用剪贴板。默认为 不限制 。

阻止、允许或限制此应用程序的文档交换操作。如果设置为 限制 ，则只能与其他 MDX 应用程序交换文档，以及与“受限制的打开方式例外列表”策略中指定的应用程序异常进行交换。如果设置为 不限制 ，则必须将“私密文件加密”和“公用文件加密”策略设置为 禁用 ，以便用户可以在未打包的应用程序中打开文档。默认值为 限制 。

此策略用于从 MDX 过滤中排除特定的出站 URL。以下完全限定域名 (FQDN) 或 DNS 后缀的逗号分隔列表将从所有 MDX 过滤中被排除。如果此策略中包含任何条目，则主机字段与列表中至少一个项目相匹配（通过 DNS 后缀匹配）的 URL 将被原样发送至默认浏览器。默认值为空。

此策略仅对 URL 过滤策略未排除的域有效。添加在“文档交换”设置为“限制”时重定向到 Secure Web 应用程序的完全限定域名(FQDN)或 DNS 后缀的列表，以逗号分隔。

如果此策略包含任何条目，则仅在“文档交换”策略设置为“限制”时将主机字段至少匹配列表中的一个项目（通过 DNS 后缀匹配）的 URL 重定向到 Secure Web 应用程序。

所有其他 URL 都发送到默认的 Android Web 浏览器（绕过“文档交换限制”策略）。默认值为空。

“文档交换(打开方式)”策略设置为 限制 时，允许将此 Android 意向列表传递到非托管应用程序。需要熟悉 Android 意向才能向列表中添加过滤器。过滤器可以指定操作、软件包、方案或任意组合。