分组和分组规则
分组和分组规则
FortiClient EMS 可以根据终端所属的分组匹配终端策略，并将相应的配置文件下发到 FortiClient。当 EMS 管理大量终端时，如果完全依靠管理员手动维护分组，不仅管理成本较高，也容易出现遗漏或分组不一致的问题。
分组规则（Group Assignment Rules）可以根据终端携带的特征自动将其加入指定的自定义终端组，从而简化终端分类和策略分配。规则生效后，EMS 会在 FortiClient 与 EMS 通信时重新评估终端是否符合条件；如果终端符合某条规则，EMS 会将其放入该规则指定的组。
分组行为的触发方式
一般在客户端注册到EMS上时、手动/自动运行分组规则时以及手动修改客户端所在组，将修改客户端所在的分组
| 触发方式 | EMS的操作内容 | 分组行为 |
|---|---|---|
| 安装 FortiClient 后注册到EMS | / | EMS 根据终端携带的信息匹配已配置的规则，将终端放入目标组 |
| 分组规则手动触发 | 在EMS的Group Assignment Rules中手动运行Run Rules Now | EMS 立即执行分组规则，根据规则优先级匹配终端信息，并将终端分配至匹配规则指定的目标组。 |
| 分组规则定期触发 | 在EMS的Group Assignment Rules中，Schedule Run自动运行 | EMS 按计划执行分组规则，根据终端当前信息重新匹配规则，并在满足条件时调整终端所属组。例如，终端 IP 地址发生变化后，可以通过规则重新分组。 |
| 手动修改终端分组 | 手动在EMS上单击Move to>目标组名 | EMS 直接将选定终端移动到指定组，不需要通过自动分组规则进行匹配。后续如果再次执行分组规则，终端仍符合其他规则时，会被重新分配到相应的目标组。 |
注
上述自动分组适用于工作组终端。属于 EMS 已导入 AD 域的域成员终端保留在 AD 域树中的 OU，不应用这些规则。未匹配任何规则的工作组终端进入 Other Endpoints。分组变化还可能影响策略匹配，验收时应同时检查所属组和实际 Policy。
手动分组
手动分组由管理员在 Endpoints 中选中终端，通过 Move to 指定目标组，适用于少量设备的初始分类、测试组迁移或临时调整。操作时不需要先建立 Installer ID、IP Address、OS 或 Invitation 匹配条件。
操作前的准备
- 确认目标组已存在，并检查完整路径。需要新建组时，在 Endpoints 中右键目标域或工作组，选择 Create group，输入组名并单击 Confirm。组的创建和维护参阅终端组管理。
- 检查目标组关联的 Endpoint Policy、配置文件和安装 / 升级安排，明确移动后预期获得的配置。
- 记录终端的主机名、FortiClient ID、原组路径及当前 Policy，便于识别设备和回退。
- 检查是否存在匹配该终端的已启用分组规则。手动移动不会自动停用规则，也不表示该终端从此不再参与自动分组。
将终端移入目标组
- 登录 EMS，进入 Endpoints > All Endpoints，或进入终端当前所在的工作组 / 自定义组。
- 使用搜索或筛选找到目标终端，核对主机名及 FortiClient ID，避免移动同名设备。
- 选中终端，在工具栏单击 Move to。
- 选择目标组，例如
migrate-test，按实际界面提示完成操作。
- 重新查找该终端，确认终端已经进入正确的组。
- 打开终端详情，在 Summary > Configuration > Policy 中检查实际策略，并核对配置同步状态。
- 等待终端与 EMS 通信后，在客户端验证需要调整的 VPN、安全功能或其他配置。
EMS支持多选移动，可选择多台终端后统一操作。批量移动前应检查当前筛选条件、所选设备数量和目标路径；先用单台测试终端验证策略，再扩大范围。
注
- EMS支持多选移动，可选择多台终端后统一操作。批量移动前应检查当前筛选条件、所选设备数量和目标路径；先用单台测试终端验证策略，再扩大范围。
- Move to 修改的是终端所在的组，不是整个组的层级。 组路径改变与客户端获取新配置是不同环节。离线终端即使在 EMS 列表中已显示新位置，也应等其恢复通信后再验证实际配置。
分组规则
分组规则的类型和一般的适用场景
EMS 支持使用以下四类条件创建分组规则：Installer ID（安装程序 ID）、IP Address（IP 地址）、OS（操作系统）和 Invitation（邀请码）。
Installer ID（安装程序 ID）
Installer ID 用于标识 FortiClient 的安装来源。管理员在创建或上传 FortiClient 安装程序时，可以为其指定 Installer ID。终端使用该安装程序完成部署并连接 EMS 后，会携带对应的 Installer ID，EMS 可据此将终端加入指定分组。
例如，可以为总部使用的安装程序指定 HQ，并创建一条将 Installer ID 为 HQ 的终端加入“总部”组的规则。Installer ID 与目标组名称无须相同。有关安装程序的创建方法，请参阅生成自定义安装包。
这种方式适用于能够预先区分安装来源的部署场景，例如按总部、分支机构、业务部门或设备用途分发不同的安装程序。
IP Address（IP 地址）
IP 地址规则根据终端当前的 IPv4 地址，将位于指定子网或地址范围内的终端加入目标组。例如，不同部门或办事处使用不同网段时，可以按网络位置自动划分终端。
规则可使用 IPv4 子网（例如 192.168.10.0/24）或连续的 IPv4 地址范围。该规则不支持 IPv6。由于终端的网络位置可能发生变化，使用 DHCP、VPN、NAT 或经常在不同网络间移动的终端可能被重新分组，因此不宜仅凭 IP 地址表示长期不变的组织归属。
OS（操作系统）
OS 规则根据 EMS 从终端获取的操作系统信息进行分组，适用于需要按平台下发不同配置的场景。例如，可以分别为 Windows、macOS 和 Linux 终端创建分组，再为不同平台分配兼容的终端策略和配置。移动平台的支持应单独核对，不能只凭 OS 字段能够填写就认为规则适用。
OS 字段可只填写操作系统名称，也可包含版本。例如，Windows 用于匹配不同 Windows 版本；Windows Server 2019 用于限定该服务器版本。更具体的版本规则应放在通用平台规则之前。
采用此方式时，应以 EMS 中实际显示的操作系统名称为准，并确认目标 FortiClient 版本和平台是否支持相关功能。不同平台的可用功能并不完全相同，因此不应把某个平台的 VPN、安全功能或配置参数直接套用于其他平台。
Invitation（邀请码）
Invitation 规则根据终端连接 EMS 时使用的邀请码进行分组。管理员可以针对不同部门、用户群体或部署批次预先创建邀请码，再为每个邀请码配置对应的分组规则。终端使用指定邀请码注册并连接 EMS 后，会被自动加入相应的目标组。
创建此类规则前，必须先在 EMS 中创建可用的邀请码。该类型适合自助注册、远程办公设备或无法统一分发安装程序的场景。基于邀请码的分组规则从 FortiClient EMS 7.2.3 开始提供，较早版本不支持此类型。
规则匹配和使用注意事项
- 只有已启用的分组规则才会生效。
- 如果终端同时匹配多条已启用的规则，EMS 只应用优先级最高的规则。管理员可以在 Endpoints > Group Assignment Rules 页面调整规则顺序。
- 规则会在 FortiClient 与 EMS 通信时进行评估。终端的 IP 地址、操作系统或其他匹配信息发生变化后，EMS 可能在后续通信时将其移动到其他组。
- 对于属于 EMS 已导入 Active Directory 域的域成员终端，EMS 保留其在 AD 域树中的组织单位（OU）位置，不应用这里介绍的分组规则。此类规则主要用于工作组终端。
- 未匹配任何分组规则的工作组终端会被放入 Other Endpoints 组。
重要
四种类型是独立规则，不是把多条规则组合成 AND 条件。分别创建“Installer ID=HQ”和“OS=Windows”规则，不会自动得到“总部的 Windows 终端”组；终端同时匹配时，只进入最高优先级规则指定的组。
先决条件
- EMS 正常运行，管理员具有终端组和 Group Assignment Rules 管理权限。
- 测试 FortiClient 已连接 EMS，在 Endpoints 页面可查看其最近通信时间及匹配所需信息。
- 已明确终端是否属于工作组，或属于 EMS 已导入的 AD 域。
- 已规划目标组和组层级，以及这些组将匹配的 Endpoint Policy。
- Installer ID 类型已准备对应安装包；Invitation 类型已创建对应邀请；IP 和 OS 类型已核对 EMS 实际上报值。
注意
自动移动组可能同时改变终端策略或匹配的部署配置。创建规则前应检查目标组已有的 VPN、安全功能及安装/升级设置，避免分组变更意外触发业务中断或软件部署。
配置分组规则
创建规则的通用步骤
- 登录 EMS，进入 Endpoints > Group Assignment Rules。
- 单击 Create new（创建新规则）。
- 在 Type（类型）中选择 Installer ID、IP Address、OS 或 Invitation。
- 填写该类型的匹配条件，详见下表。
| Type（类型） | 条件名称 | 填写内容 | |
|---|---|---|---|
| Installer ID | Installer ID | 在部署Installer时使用的Installer ID | |
| IP Address | Subnet/IP Range | IPv4 子网或地址范围，例如 192.168.10.0/24 | |
| OS | OS | 操作系统名称或包含版本的名称，例如 Windows Server 2019 | |
| Invitation | Invitation | 从下拉列表选择已创建的邀请 |
- 配置目标组：打开 Use existing groups 时，从 Group 下拉列表选择已有组；关闭时，在 Group 中输入新组名称或层级路径，详见下文。
- 根据上线安排打开或关闭 Enable Rule（启用规则）。需要先规划顺序时，可先关闭。
- 单击 OK 或 Save 保存条目。
- 在存在多个分组规则的情况下，拖动复选框位置调整规则优先级，启用规则。
- 等待下一次 Telemetry 通信。通信后，FortiClient就会匹配对应的组。
所有配置选项的中文说明
| 英文选项 | 中文名称 | 作用与填写方式 |
|---|---|---|
| Create new / Add | 创建 / 添加 | 创建新的自动分组规则；按钮名称以当前界面为准。 |
| Type | 规则类型 | 选择一种匹配依据；选中类型后显示对应条件字段。 |
| Installer ID | 安装程序 ID | Type=Installer ID 时填写与安装包一致的 ID，例如 HQ；不是安装包名称或目标组名称。 |
| Subnet/IP Range | 子网或 IP 范围 | Type=IP Address 时填写 IPv4 CIDR 子网或连续地址范围，例如 192.168.10.0/24、192.168.10.10-192.168.10.50。不支持 IPv6。 |
| OS | 操作系统 | Type=OS 时填写操作系统名称或包含版本的名称，例如 Windows、Windows Server 2019。按 EMS 上报信息验证。 |
| Invitation | 邀请 | Type=Invitation 时从下拉列表选择预先创建的邀请，不是在此页面创建邀请码。 |
| Use existing groups | 使用已有组 | 开启后从已有组中选择；关闭后填写要创建的组名称或层级路径。四类规则均使用此设置。 |
| Group | 目标组 | 规则命中后终端进入的自定义终端组。使用已有组时为下拉选择；创建新组时填写名称，例如 HQ，或嵌套路径，例如 HQ/Employees。 |
| Enable Rule | 启用规则 | 控制规则是否参与匹配。关闭不等于删除规则。 |
| Enabled | 已启用 | 列表页中的启用复选框，可用于快速启用或停用规则。 |
| OK / Save | 确定 / 保存 | 保存规则条件和目标组；终端仍需后续通信才能获得更新结果。 |
四类规则填写示例
| Type | 条件示例 | 目标 Group | 适用场景 |
|---|---|---|---|
| Installer ID | HQ | HQ/Employees | 通过总部专用安装包部署 |
| IP Address | 192.168.10.0/24 | Network/Office-A | 根据办公网络位置分类 |
| OS | Windows Server 2019 | Servers/Windows-2019 | 单独管理指定服务器版本 |
| Invitation | 从下拉列表选择远程员工邀请码 | Remote/Employees | 自助注册的远程员工设备 |
以上规则是各自独立的示例，不表示同时配置后会把条件合并。
Group（目标组）的配置
Group 指规则命中后终端进入的自定义终端组，不是用户组，也不是 Endpoint Policy 名称。四类分组规则均可选择已有组或创建新组。
| 分组需求 | Use existing groups | Group 填写方式 | 示例 |
|---|---|---|---|
| 使用已有组 | 开启 | 从下拉列表选择目标组，并核对其父级路径 | 选择已有的 HQ/Employees |
| 创建新组 | 关闭 | 输入新组名称 | HQ |
| 创建嵌套组 | 关闭 | 使用 / 分隔父组与子组 | HQ/Employees |
使用已有组： 打开 Use existing groups，在 Group 下拉列表选择目标。选择前核对完整层级，避免将不同父组下的同名子组选错。该操作用于选择规则的目标，不会重新定义匹配条件；例如 Installer ID 为 HQ，目标组可以是 Office/Employees，两者无须同名。
创建新组： 关闭 Use existing groups，在 Group 中输入所需名称。
注
- 若目标已经存在，优先切换为选择已有组。
创建嵌套组
关闭 Use existing groups，在 Group 中输入 HQ/Employees：
HQ
└─ EmployeesEMS 会创建路径中不存在的层级：
| 当前组结构 | 创建结果 |
|---|---|
| HQ 和 Employees 均不存在 | 创建 HQ，并在其下创建 Employees |
| HQ 已存在，其下没有 Employees | 保留 HQ，在其下创建 Employees |
| 目标路径已经存在 | 使用已有组选择该路径，避免不必要的新建操作 |
规则目标是路径末级的 Employees。/ 表示组层级，不表示多个目标组，也不会自动将规则拆成多条。保存前核对名称、拼写及完整路径；例如 HQ/Employees 与 Branch/Employees 表示不同位置的目标组。
注
组层级用于组织终端，不能据此断定子组一定获得某个父组的配置。分组完成后，仍应核对 Endpoint Policy 的匹配范围、优先级及终端实际获得的策略。
调整规则优先级
- 进入 Endpoints > Group Assignment Rules。
- 按住需要调整的规则，拖动至目标位置。
- 确认列表中的最终顺序和 Enabled 状态。
- 等待终端重新通过Telemetry同步，
规则排序建议：
- 把业务例外或范围较精确的规则放在通用规则之前。
- OS 规则中，指定版本规则放在通用平台规则之前。
- 窄 IP 范围放在覆盖它的宽子网规则之前。
- Installer ID、Invitation 和 IP 规则没有固定的类型优先级；实际顺序决定哪一条生效。
冲突案例：安装来源与网络位置同时匹配
某工作组终端的 Installer ID 为 HQ，IPv4 地址为 192.168.10.25，同时匹配以下两条规则：
| 列表顺序 | 条件 | 目标组 |
|---|---|---|
| 1 | Installer ID=HQ | HQ/Employees |
| 2 | IP=192.168.10.0/24 | Network/Office-A |
该终端进入 HQ/Employees。如果停用第一条规则，第二条成为最高优先级匹配规则；如果把第二条拖到第一条之前，终端进入 Network/Office-A。
注
如果目的是稳定表示组织归属，通常优先使用安装来源或邀请信息；如果目的是随网络位置变化，应优先考虑 IP 规则。这里属于设计建议，并非 EMS 内置的类型排序。
常见问题
| 现象 | 排查顺序 |
|---|---|
| 创建规则后终端没有移动 | 检查 Enabled、终端在线状态、Last Seen、实际上报条件、规则顺序，以及终端是否属于 EMS 已导入的 AD 域。离线终端不能立即重新分组。 |
| 终端进入了另一条规则指定的组 | 检查是否同时匹配多个启用规则。EMS 使用最高优先级规则，而不是把多个目标组合并；尤其注意宽 IP 子网和通用 OS 条件。 |
| 手动移动终端后又回到原组 | 检查是否有有效的 Installer ID 分组规则。官方明确说明，此类规则会把手动移走的终端重新放回其指定组。应调整规则或优先级，不要反复手动移动。 |
| IP 规则未命中或终端频繁换组 | 核对 EMS 实际上报的 IPv4 地址和 Subnet/IP Range 格式。多网卡、VPN、DHCP 和位置变化会影响判断；不要把 NAT 出口公网地址直接等同于终端上报地址。多地址终端应实机验证。 |
| OS 规则把服务器也放进了员工 | 检查是否使用了过宽的 Windows 条件。把具体服务器版本规则放到通用 Windows 规则之前，或改用更明确的安装来源/邀请分类。 |
| Invitation 下拉列表为空或该类型不可见 | 确认已创建邀请、管理员可访问该邀请，并核对 EMS 版本。Invitation 分组类型从 EMS 7.2.3 开始提供；邀请码与目标组名称不需要相同。 |
| 分组正确但客户端配置不正确 | 检查 Endpoint Policy 的启用状态、优先级、用户匹配、目标组和 Profile 引用。分组优先级与策略优先级彼此独立，还需等待后续 Telemetry 通信获取配置。 |
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | Complete configuration, Chinese option explanations, priority examples, validation and troubleshooting | ysheng | tanga | 2026.10.13 |
| 0.2 | Technical review and content completion | - | - | 2026.08.24 |
| 0.1 | Draft Version | - | - | 2026.08.04 |