你可以通过在服务器上执行ipconfig /all命令获取服务器名称。主机名将出现在Windows IP配置中。如果你无法远程访问服务器，请确保能够ping通servername，这可以通过将它添加到DNS条目或Windows主机文件中来实现。你可能需要修改防火墙规则以允许连接。
在FortiClient EMS仪表板中，你可以看到系统和许可信息小部件：
● 系统信息小部件：显示FortiClient EMS的主机名、版本、数据库、系统时间和正常运行时间等信息
● 许可信息小部件：显示FortiClient EMS序列号、FortiCloud帐号、零信任安全许可、下一代终端安全许可和Chromebook许可信息
状态页图表和小部件显示饼图的数量。每个饼图都提供终端信息的摘要。你可以单击饼图的任何部分或表格中的任何行来显示更多详细信息。详细信息包括端点活动(架构上或架构下的状态)、终端警报、终端连接状态、托管的Windows、Mac FortiClient版本和OS版本。它还显示反病毒、沙箱、漏洞和web检测。
漏洞扫描仪表板显示许多图表和小部件，其中包含从终端收集的漏洞扫描信息的摘要。
在EMS设置页面启用Chromebook管理后，还可以查看Chromebook的状态。Chromebook状态显示了许多图表。每张图表都提供了Chromebook信息的摘要。
● 注册FortiClient Linux / iOS / Android终端到FortiClient EMS。由于在FortiClient EMS中无法为这些操作系统创建部署包，因此这是注册这些操作系统终端到FortiClient EMS的唯一方法。
● 对于安装完成后不会自动注册到FortiClient EMS的设备，需要进行注册。
最终用户输入邀请码连接FortiClient和FortiClient EMS。如果你设置了SMTP协议，可以启用以邮件形式发送邀请码的功能。邮件通知可以单独发送，也可以批量发送。发送单独的邀请码是一种最佳实践，因为它限制了任何意想不到的终端连接到FortiClient EMS。
创建一个新的安装程序，在邀请中包含一个安装程序。终端用户使用该安装程序在终端上安装FortiClient，如果安装后没有自动连接，则使用邀请码连接FortiClient EMS。
默认情况下，admin用户没有密码。你必须添加密码以提高安全性。
在FortiClient EMS中，管理员角色可以定义每个管理员帐号的权限。你可以使用FortiClient EMS缺省的4种管理员角色中的一种，也可以创建新的管理员角色分配给管理员帐号。
默认的四个角色是：
● 超级管理员
● 标准管理员
● 终端管理员
● 限制管理员
每个管理员角色可以包括三类权限：终端权限、策略权限和设置权限。对于某些任务或设备未授权的管理员角色，EMS会对相关菜单项、内容页面项、按钮进行隐藏或禁用。
允许不活动天数设置指定不活动天数之后禁用用户帐户。例如，设置该字段为10，用户超过10天未登录FortiClient EMS，则EMS会关闭该用户的帐号，导致该用户无法登录FortiClient EMS。具有超级管理员权限的用户可以重新激活帐户。
密码最大年龄设置是指用户在密码过期后强制修改密码的天数。可以将该值设置为0来禁用该设置。该设置仅适用于系统内置用户，如admin用户、EMS用户。
通过日志查看器，你可以查看并下载FortiClient EMS日志。日志查看器页面包含了FortiClient EMS所有进程的日志，如GUI控制台、服务更新、AD服务、EMS服务等。你还可以通过应用过滤器查看特定的FortiClient EMS日志。原始日志以zip文件的形式下载到计算机上。
注意，只有使用相同的版本号备份数据库时，恢复才有效。
远程HTTPS访问选项用于指定对FortiClient EMS进行远程管理访问的设置。你可以设置启用/禁用通过HTTPS协议远程访问FortiClient EMS。选择“远程HTTPS访问”时，可选择HTTPS端口、预定义主机名、代理管理IP和端口、自定义主机名。预定义的主机名包括服务器绑定名或IP地址。FortiClient EMS响应此字段中定义的所有名称。
“SSL证书”选项显示当前已导入的SSL证书。如果你已经上传了SSL证书，页面会显示“替换证书”按钮。
EMS CA证书(ZTNA)需要ZTNA或EPP许可，仅适用于FortiClient 7.0.0及以上版本的终端。
在FortiClient下载URL字段中，你可以看到在FortiClient EMS上创建的FortiClient安装程序的URL可供下载。
你可以使用强制仅邀请注册选项取消不满足要求的FortiClient端点的注册。对于使用仅邀请注册的端点，你可以选择all、none或FortiClient版本7.0.0或更高版本。
签名软件包选项允许你可以使用由FortiClient EMS生成或上传至FortiClient EMS的代码签名证书对Windows FortiClient软件安装程序进行数字签名。
通过配置EMS服务器列表，你可以选择FortiClient EMS注册的具体IP地址或FQDN。
通过只连接本地子网选项，可以连接到FortiClient EMS的本地子网。
选中“启用登录横幅”复选框后，在用户登录FortiClient EMS时，登录界面会弹出提示信息。当你在消息框中键入消息时，“预览”部分显示消息的预览。
你还可以配置用户不活动超时设置，这是用户超时的不活动小时数。配置文件更新时间间隔配置文件更新的时间间隔，单位为秒。
“SSL certificate”显示当前导入的SSL证书。如果你已经上传了SSL证书，页面会显示“替换证书”按钮。服务帐号显示当前正在使用的服务帐号ID。你必须输入帐号ID和私钥才能更新帐号。说明Chromebook需要添加SSL证书才能连接到FortiClient EMS。
如果终端在给定超时内没有重新连接，它的连接记录将从FortiClient EMS中删除。如果终端被删除、关闭或脱机，并且在Delete超时值内没有重新建立到FortiClient EMS的遥测连接，则该端点将从FortiClient EMS中删除，即使该端点上的FortiClient显示它仍然连接。许可证超时时间默认为45天。最大支持天数为90天。许可证超时值在给定超时后释放许可。
“自动上传头像”选项允许FortiClient上传用户头像到所有设备，“启用终端快照报表”设置启用终端快照报表。可以设置快照时间间隔，时间间隔必须在300 ~ 86400秒之间。
你还可以指定何时自动删除日志、警报和事件。默认情况下，所有日志、警报和其他操作系统事件是30天，Chromebook事件是7天。
单击“立即清除”，立即清除FortiClient EMS所有日志、告警或事件信息。
你还可以启用“使用FortiManager进行客户端软件/签名更新”选项，该选项允许你将FortiManager用于客户端软件和签名更新。如果选择“Failover”，在FortiManager for FortiClient不可用时，将启用故障转移到FDN。通过“端点”窗口的设置，你可以为FortiClient EMS添加FortiClient遥测连接键。FortiClient必须在连接期间提供此密钥。你还可以配置保持活动间隔。FortiClient按照指定的时间间隔向FortiClient EMS发送短消息和全消息。云服务部分提供了允许你连接FortiCloud的选项，你可以选择地区和时间偏移。
你还可以通过设置SMTP服务器，对FortiClient EMS事件或终端事件启用告警。当告警触发时，EMS会发送邮件通知。
通过“EMS Alerts”界面，你可以针对版本提醒和FortiClient提醒发送电子邮件通知。上图显示了EMS警报窗口上可用的所有警报。
在Endpoint Alerts窗口中，你启用了为终端发送电子邮件警报的选项。上图展示了你可以选择用来生成电子邮件提醒的所有终端事件。你也可以选择发送提醒邮件的时间间隔。缺省情况下，设置为30分钟。
你还可以自定义在浏览器内web筛选结果页面中终端上显示的消息。在“自定义消息”中，选择“WebFilter自定义消息”。左边面板显示定制字段，而右边面板预览定制消息，因为当使用最新版本的FortiClient时，它们将出现在web浏览器中。web过滤消息的类型有：屏蔽页面、阻断页面、阻止FortiGuard不可访问页面、警告页面、警告FortiGuard不可访问页面。
在左窗格中，启用或禁用字段，并输入所需的消息。你也可以上传logo和图标字段的图片。右边的窗格显示消息的预览。
例如，如果你在“功能选择”窗口中禁用Web过滤器，Web过滤器选项卡将不会出现在端点配置文件中，并且在系统设置中启用Web过滤器日志的选项也将不可用。
此外，当你在部署包中启用web过滤器，并且部署包在终端上安装web过滤器时，web过滤器选项不会出现在FortiClient GUI中，因为它是禁用的。
状态仪表板上的Web Filter Detection小部件和从FortiGate/FortiManager导入配置文件的选项也不可用。
只有FortiClient EMS的超级管理员才能在“功能选择”界面启用/禁用特性。其他FortiClient EMS用户在“功能选择”页面可以查看哪些特性的启用和禁用情况，但不能修改配置。如果你以前在某个端点上启用了某个特性，但后来在功能选择窗口上禁用了该功能，那么FortiClient EMS就会在该终端上禁用该功能。
FortiClient EMS最多支持500个多租户站点。当启用多租户时，架构连接器必须使用FQDN连接到EMS，其中FQDN主机名匹配EMS中的站点名称(包括“默认站点”)。
你可以在MSSP环境中使用多租户来节省资源并使用相同的许可证(FortiClient许可证的总数在站点之间共享)。这也适用于使用细分和不同部门使用不同广告的企业环境。
必须在FortiClient EMS系统设置中启用“管理多个客户站点”。FortiClient EMS会强制重启GUI使修改生效。重新启动后，EMS GUI将显示全局指示板。当你最初启用多租户时，有两个站点：全局，你可以在其中设置和查看全局设置；默认，其中包含属于原始FortiClient EMS实例的端点。与原始FortiClient实例相关联的设置被保留。如果需要切换站点，请在界面右上角选择站点名称，然后在下拉列表中选择。
启用多租户之后，前面创建的所有管理员(除了默认的管理员用户)都将成为默认站点的管理员。
启用多租户后，你只能从全局级别配置一些设置，而只能从站点级别配置其他设置。无法从全局站点查看站点级设置。有关设置的详细说明，请参见《FortiClient EMS管理指南》。
从全局站点，你可以配置管理员。从全局站点添加新管理员时，可以创建本地管理员或配置Windows或LDAP用户。从站点级添加新管理员时，只能配置LDAP用户。同一来源(FortiClient EMS、LDAP或Windows)的管理员名在所有站点中必须唯一。如果管理员来自不同的来源，他们可以有相同的名称。在多租户中，除了超级管理员和设置管理员之外，你还有一个额外的管理员角色—站点管理员。
站点管理员只能访问指定的站点，不能访问全局站点。站点管理员可以访问多个站点。缺省情况下，站点管理员为所能访问的所有站点的超级管理员。站点管理员可以配置站点许可和系统设置，包括服务器设置。通过在登录站点后为站点分配不同的管理角色，你可以修改站点管理员的可用配置选项。上述管理员角色特定于启用多租户时的全局管理员管理。
添加FortiClient Web过滤扩展后，在Chrome Web Store窗口中搜索该扩展的ID。扩展名显示为FortiClient Chromebook Web Filtger Extension。
说明不支持FortiClient EMS软件供公众使用。你只能通过使用上图中显示的扩展ID来启用该功能。
你必须在谷歌管理控制台中添加FortiClient EMS详细信息作为配置文件服务器，如上图所示。
具体配置请参见《FortiClient EMS管理指南》。
如果使用公共的SSL证书，在FortiClient EMS中只需要添加公共的SSL证书。如果你喜欢使用非来自普通证书颁发机构(CA)的证书，则必须将SSL证书添加到FortiClient EMS，并将证书的根CA推送到谷歌Chromebooks。否则，FortiClient Chromebook Web Filter扩展与FortiClient EMS之间的HTTPS连接将无法正常工作。
关于证书的更多信息，请参见《FortiClient EMS管理指南》。
你还必须阻止任务管理器管理谷歌域，以防止用户停止FortiClient web扩展。谷歌Chrome浏览器有一个内置的任务管理器，可以让你看到Chrome运行时网页、扩展和谷歌进程使用了多少内存和CPU。当任务管理器打开时，它会显示所有打开的选项卡、扩展和Chrome当前正在使用的进程的列表，用户可以结束任何进程。
在FortiClient EMS中添加谷歌域后，当用户登录谷歌域时，谷歌Admin控制台会自动向Chromebook推送FortiClient Web过滤扩展。
你可以通过打开谷歌Chrome浏览器来验证该功能已经在Chromebook上可用。输入chrome: //extensions检查FortiClient扩展并访问任何赌博网站，如http://www.777.com，并确认该网站被屏蔽。
注意，服务帐户凭据是一个集合。如果更改一个凭据，则必须更改其他两个凭据。
在使用服务帐号唯一凭据以提高安全性时，需要在谷歌Admin控制台和FortiClient EMS中添加服务帐号唯一凭据，操作步骤如下：
1、使用谷歌开发人员控制台创建唯一的服务帐户凭据。
2、将唯一的服务帐户凭据添加到谷歌管理控制台。
3、在FortiClient EMS中添加服务帐号唯一凭据。
在FortiClient EMS中，你可以先创建域或工作组，然后对组进行重命名和删除操作。
终端可以通过手动方式从AD服务器导入。你可以通过LDAP服务导入并同步计算机帐户信息。通过识别属于AD域服务器一部分的终端，可以添加终端。
注意从AD服务器导入终端后，可以对终端进行编辑。这些更改不会同步回AD服务器。
终端用户也可以通过在FortiClient上指定FortiClient EMS的IP地址，手动连接FortiClient Telemetry和FortiClient EMS。这个过程有时被称为注册FortiClient到FortiClient EMS。
你可以将过滤器设置保存为书签，然后选择使用它们的书签。
当漏洞需要终端用户下载并安装软件进行修补时，FortiClient EMS支持对漏洞进行自动修补。FortiClient控制台显示该信息。
FortiClient EMS支持从一个或多个终端上传日志文件。日志文件被上传到运行FortiClient EMS的计算机硬盘上，在FortiClient EMS图形界面上看不到日志文件。
你可以通过FortiClient EMS在一个或多个终端上运行FortiClient诊断工具，并将结果导出到运行FortiClient EMS的计算机硬盘上。导出的信息在FortiClient EMS GUI中不可见。
FortiClient EMS还可以隔离、断开连接、从管理中排除和删除终端。
FortiClient EMS需要识别需要管理的设备。设备信息来自谷歌管理控制台。如果EMS服务器设置中选择了“EMS for Chromebooks设置”，则有“谷歌Domains”选项。
你可以在FortiClient EMS的“管理域”页面中添加域。在FortiClient EMS中添加域后，你可以对添加的域进行查看、编辑、删除等操作。
注意，本节仅适用于使用FortiClient EMS管理谷歌Chromebook的情况。
“IP地址”选项允许你创建一个组分配规则，自动将指定子网或IP地址范围内的所有终端移动到同一个自定义组中。
OS选项自动将安装了特定OS的所有终端移动到自定义组中。
当终端的FortiClient连接到FortiClient EMS时，FortiClient EMS会将终端放在需要的组中。
如果新连接的终端不匹配任何组分配规则，并且属于已导入的AD域，则终端将被移动到AD域树中其所属的OU中。如果未导入AD域，或终端也不属于导入的AD域，则将其置于“Other endpoint”组中。
FortiClient EMS会自动将不应用于任何组分配规则的终端放置到“其他终端”组中。
FortiClient将隔离的文件信息发送给FortiClient EMS。当FortiClient对终端上的文件进行隔离并将隔离文件信息发送到FortiClient EMS后，在“文件”窗格的“隔离管理”中可以查看隔离文件列表。你还可以查看每个隔离文件的详细信息，并使用过滤器访问具有特定质量的隔离文件。
你可以允许从EMS中列出并恢复隔离的文件。这将从隔离中释放文件，并使它们可以通过FortiClient EMS和FortiClient之间的下一次遥测通信在终端上访问。文件状态更改为隔离并允许列出。
请注意，FortiClient控制台不允许你恢复和删除隔离文件。这些选项在FortiClient GUI上是灰色的。
安全代理将终端与安全架构连接起来，并通过与安全架构共享终端遥测和遵从状态来提供终端可见性和控制。它还具有漏洞管理功能，可将扫描过程扩展到托管的FortiGate或FortiClient EMS。
在安全架构拓扑中，可以看到被折衷和隔离的终端。你可以从FortiAnalyzer等设备获得这些终端的可见性和详细信息，其中妥协(loC)裁决指示器基于达到或超过一个阈值，在这个阈值处某个终端将成为风险，必须隔离并确认该终端已被妥协。
除了隔离恶意文件、提交对象给FortiSandbox进行分析和应用补丁外，通过与安全架构集成，FortiClient还可以自动隔离可疑或受损的终端。
隔离自动化的好处包括控制威胁和事件以及控制爆发。
● FortiGate
● FortiAnalyzer
● FortiClient EMS
● FortiClient
FortiClient需要同时连接EMS和FortiGate。FortiGate和FortiClient必须同时向FortiAnalyzer发送日志。你需要在FortiGate上配置EMS的IP地址，以及管理员登录凭证。
1. FortiClient向FortiAnalyzer发送日志。
2. FortiAnalyzer在日志中发现loc，并通知FortiGate。
3. FortiGate将识别FortiClient是否为已连接的终端，以及它是否拥有FortiClient所连接的FortiClient EMS的登录凭证。有了此信息，FortiGate会向FortiClient EMS发送通知以隔离终端。
4. FortiClient EMS搜索终端并向其发送隔离消息。
5. 终端接收隔离邮件并隔离自己，从而阻塞所有网络通信流。终端将状态变化通知FortiGate和EMS。
执行自动化：
以下命令触发对endpoint_ip_address终端的隔离处理：
diag endpoint forclient -em -rest-api queue-quarantine-ipv4 endpoint_ip_address
注意，FortiClient (Linux)不支持此功能。
1. FortiClient必须安装在终端上，并与EMS连接。
2. 在FortiClient EMS中，需要为终端分配IP地址为FortiGate的终端配置文件和网关列表。它还需要一个终端策略，该策略配置了所需的配置文件和所需端点组的遥测网关列表，并且必须启用远程HTTPS访问选项。
3. FortiGate必须使用以下配置来隔离终端。
● 自动触发
● 自动化操作
● 自动化针
● EMS防火墙地址对象(如果使用的是低于6.2.0的FortiOS版本)
● 终端控制FCT-EMS对象
关于FortiGate自动化配置的更多详细信息，请参见《FortiClient EMS 7.0管理指南》。
FortiClient EMS管理员可以在“应用程序”窗格中查看所有受管终端中已安装的应用程序信息。
“应用程序”窗格还显示已安装的应用程序总数、供应商和新安装的应用程序。你可以按字母顺序或按供应商查看应用程序名称。还可以根据应用程序名称、供应商名称和版本号应用过滤器。
“主机”区域显示应用程序总数、操作系统详细信息以及终端上安装的软件列表。你还可以查看主机的其他详细信息，如图所示。
可以通过主机名、用户名、操作系统名和IP地址进行过滤。
2301
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
