客户端基本的系统设置
客户端基本的系统设置
System Settings 配置文件控制 FortiClient的通用行为，包括客户端界面、断开保护、日志、更新源、FortiProxy、Endpoint Control、证书、用户身份和隐私设置。它通常被多个安全功能共同依赖，应作为终端基线单独维护。
先决条件
- EMS 正常运行，管理员具备管理 Endpoint Profiles 和 Endpoint Policies 的权限。
- 已确定 FortiGuard/FortiManager 更新路径、FortiAnalyzer 日志目标、代理、证书和隐私要求。
- 已保留可用的客户端断开、卸载和紧急恢复流程。
- 已理解配置文件需由 Endpoint Policy 引用后才会下发。
创建配置文件
- 登录 EMS，进入 Endpoint Profiles > System Settings。
- 新建或复制配置文件。建议按平台和用途命名，例如
Baseline-Windows-System。
- 切换到 Advanced。
- 完成配置后单击Save按钮保存。
- 在 Endpoint Policy & Components > Manage Policies 中让测试策略引用该配置。
详细系统设置配置
UI 与本地用户限制
以下参数用于本地UI显示以及限制用户修改FortiClient
以下是相关选项说明：
| 选项 | 中文/作用 | 建议 |
|---|---|---|
| Require Password to Disconnect from EMS | 断开 EMS 时要求密码 | 生产终端开启；密码纳入密码库并定期轮换 |
| Allow endpoint admin to disconnect/uninstall without a password | 允许终端管理员或 MDM 使用断开连接/卸载FCT时不需要密码 | 仅在受控 MDM/软件分发场景启用 |
| Do Not Allow User to Back Up Configuration | 禁止用户备份 FortiClient 配置 | 受管终端建议开启 |
| Allow User to Shutdown When Registered to EMS | 允许本地管理员关闭FortiClient | 生产终端默认关闭，在出现可能和FCT冲突时建议开启 |
| Hide User Information | 隐藏用户详情和社交账号面板 | 无业务需求时开启，减少个人信息采集 |
| Hide System Tray Icon | 隐藏托盘图标 | 谨慎使用，可能增加支持难度 |
| Show Host/Security Posture Tag on GUI | 向用户显示已应用标签 | 需要自助排错时开启 |
| Language / Default Tab | 客户端语言和默认页面 | 使用 OS Default，除非有统一要求 |
重要
- “Require Password to Disconnect”与“Disable Disconnect”作用不同：前者允许知道密码的人断开，后者禁止用户断开。
日志设置
下列参数用于修改用户日志的记录和上传：
- 选择满足排错需要的日志级别。长期 Debug 会增加磁盘和日志传输量，只用于限时排错。
- 需要集中分析时配置 Upload Logs to FortiAnalyzer/FortiManager：
- SSL Enabled；
- UTM/Vulnerability/Event/System/Security Event；
- Software Inventory；
- Windows/macOS OS Events。
- 使用 FortiAnalyzer 时核对地址、端口、证书、设备授权和日志类别。
- 评估 Windows Event、软件清单、用户名、URL 等数据的隐私和留存要求。
详细日志规划请参阅客户端日志的设置。
FortiGuard 与客户端更新
- Server / FortiGuard Server Location：选择 FortiGuard 或 FortiGuard Anycast 及 Global、U.S.、Europe 等可用区域。告诉FortiClient从哪里的/哪种更新方式从FortiGuard获取更新。
- Use FortiManager for Client Signature Update：优先从企业 FortiManager 获取引擎和签名。
- Failover to FDN When FortiManager Is Not Available：内部更新源不可用时回退 FortiGuard。隔离网络或严格出网环境应谨慎启用。
- 代理、DNS、TLS 检查和出口防火墙必须允许实际版本所需的更新服务。
详细内容请参考：客户端获取更新
Endpoint Control（终端控制）
Endpoint Control 用于控制 FortiClient 与 EMS 的连接行为、策略通知、软件清单上报及部分平台功能。以下按现有截图说明主要选项，并补充 EMS 7.4.8 官方文档中列出的相关设置。
主要选项及说明
| 英文选项 | 中文翻译 | 作用与适用说明 |
|---|---|---|
| Show Bubble Notifications | 显示气泡通知 | FortiClient 在终端上安装新策略时显示通知。此项用于策略变更提示，不是所有告警或系统通知的总开关。 |
| Log off When User Logs Out of Windows | Windows 用户注销时注销 FortiClient | 用户注销 Windows 时，同时注销 FortiClient 用户会话；关闭时保持登录。适用于 Windows，不应将锁屏直接等同于注销。 |
| Disable Disconnect | 禁止断开连接 | 禁止用户主动断开 FortiClient 与 EMS 的连接。不代表网络故障时连接不会中断，也不是禁止断开 VPN 的开关。 |
| Send Software Inventory | 发送软件清单 | 向 EMS 上报终端已安装应用的信息，启用 Upload Logs to FortiAnalyzer/FortiManager 后，终端还会向 FortiAnalyzer 发送软件清单。 |
| Invalid Certificate Action | 无效证书处理方式 | 当 FortiClient 尝试连接使用无效服务器证书的 EMS 时，按 Allow、Warn 或 Deny 处理，详细区别见下表。 |
| Enable DNS Cache | 启用 DNS 缓存 | DNS 服务器未响应终端的查询时，使用此前解析并保存在内存中的 EMS IP。不是将 EMS 地址永久固定，也不能代替正常的 DNS 服务。 |
| Enable Auto Start | 启用自动启动 | 此项作用于 FortiClient（Android）。开启后客户端的 Auto restart 选项变为不可修改，应用自动启动；关闭时由 Android 用户自行配置该选项。 |
| Enable Forensics Feature | 启用取证功能 | 启用后可从本地部署的 EMS 对可疑终端请求取证分析，由 Fortinet 取证团队分析日志并提供报告。使用前确认服务可用性和日志提交范围。 |
重要
- 发送软件清单和启用取证功能需要对应的授权，其中：
- 发送软件清单需要EPP授权
- 启用取证功能需要Forensics授权
无效证书的处理方式
| 英文取值 | 客户端行为 |
|---|---|
| Allow//允许 | 即使 EMS 服务器证书无效，也允许连接。 |
| Warn//警告 | 提示服务器证书无效，由用户决定继续连接或终止。FortiClient 会记住对此 EMS 的决定；连接另一个使用不同 FQDN / IP 和证书的 EMS 时，仍会再次提示。 |
| Deny//拒绝 | 拒绝连接使用无效服务器证书的 EMS。 |
生产环境建议使用 Deny，并先部署可信、名称匹配且有效的 EMS 服务器证书。切换此选项前，应在测试终端验证完整证书链、连接使用的 FQDN 和系统时间；否则客户端可能因现有证书问题无法回连。
Warn 将决定交给终端用户，不等于证书问题已解决；Allow 也不会修复证书。证书更换后应验证新连接，而不只观察原有会话是否仍在线。
软件清单与漏洞扫描联动
启用 Send Software Inventory（发送软件清单） 后，应在 EMS 中核对应用名称及版本是否更新。软件清单用于资产信息上报，不能单独证明已执行漏洞扫描或完成软件修补。
Trigger Vulnerability Scan（触发漏洞扫描）：检测到新安装的软件或潜在不受欢迎的应用程序（PUA）时，在下一个 Keep Alive 周期自动触发漏洞扫描。当前截图未显示此项，实际使用时应核对界面、平台和客户端扫描组件。触发扫描不等于自动安装补丁，修补行为仍取决于漏洞扫描配置。
User Identity Settings（用户身份设置）
此配置用于控制 FortiClient 中用户详情的来源，以及是否提示用户补充信息。默认情况下，EMS 从终端操作系统获取用户详情；允许用户自行填写后，EMS 可以使用用户提供的信息。
| 英文选项 | 中文翻译 | 作用与适用说明 |
|---|---|---|
| Allow Users to Specify Identity Using | 允许用户通过指定方式提供身份信息 | 允许用户手工填写 FortiClient 用户详情，或使用支持的第三方账户提供信息。关闭时，EMS 获取并显示操作系统中的用户详情。 |
| Notify Users to Submit User Identity Information | 提醒用户提交身份信息 | 在终端提示用户填写身份信息。用户关闭通知但未提交信息时，每隔 10 分钟再次提示，直到提交为止。 |
注
- 在FortiClient7.4.3之后不再支持Linkedin（领英）、Google（谷歌）、Salesforce（赛富时）账户的连接。
Other（其他设置）
Other 包含 CA 证书安装、FortiAuthenticator 单点登录移动代理，以及用户会话锁定时的安装控制。各项服务独立配置，按实际需求启用。
Install CA Certificate on Client（在客户端安装 CA 证书）
用于通过 EMS 向终端分发指定的 CA 证书，让终端信任由该 CA 签发的证书，可以导入集成的FortiGate的CA证书（用于FortiGate SSL inspection）和手动上传的CA证书。详细内容请参考证书设置
重要
FortiClient（iOS）和 FortiClient（Android）不会通过此项自动完成证书安装。
安装 CA 证书用于建立所需信任，不等同于签发终端身份凭据，也不会修复服务器证书名称不匹配或过期的问题。
FortiClient Single Sign-On Mobility Agent（FortiClient 单点登录移动代理）
SSOMA 用于向 FortiAuthenticator 提供用户登录状态，配合相应的单点登录方案使用。启用前，需要在 FortiAuthenticator 上应用 FortiClient SSO mobility agent 授权并完成相应服务配置。
| 英文选项 | 中文翻译 | 作用与适用说明 |
|---|---|---|
| FortiClient Single Sign-On Mobility Agent | FortiClient 单点登录移动代理 | 启用与 FortiAuthenticator 对接的 SSOMA 功能。 |
| IP Address/Hostname | IP 地址 / 主机名 | 填写终端可访问的 FortiAuthenticator 地址。 |
| Port | 端口 | 填写对应服务端口，与 FortiAuthenticator 配置一致。此处不是 EMS Telemetry 或 FortiPAM 的端口。 |
| Pre-Shared Key | 预共享密钥 | 必须与 FortiAuthenticator 中配置的密钥一致。 |
配置时先核对 FortiAuthenticator 的授权、服务地址、端口和预共享密钥，再将相同参数下发至测试终端。完成后，应在 FortiAuthenticator 中检查登录会话及用户切换结果。
Locked user sessions block installation（用户会话锁定时阻止安装）
| 英文选项 | 中文翻译 | 作用与适用说明 |
|---|---|---|
| Locked user sessions block installation | 用户会话锁定时阻止安装 | 开启后，用户会话处于锁定状态时，阻止 EMS 部署的 FortiClient 安装。 |
需要避免锁屏期间执行 EMS 安装任务时启用，并分别测试锁定和解锁场景下的部署状态。此项不是暂停特征库更新或阻止所有第三方软件安装的通用开关，也不能代替部署计划和重启安排。
Privacy（隐私）
| 英文选项 | 中文翻译 | 作用与适用说明 |
|---|---|---|
| Send Usage Statistics to Fortinet | 向 Fortinet 发送使用统计信息 | 此项会向 FDS 提交信息，用于改进产品质量和用户体验。 |
Privileged Access Agent（特权访问代理）
此项启用 FortiClient 的特权访问管理（PAM）能力，使客户端可以与 FortiPAM 通信。
| 英文选项 | 中文翻译 | 作用与适用说明 |
|---|---|---|
| Privileged Access Agent | 特权访问代理 | 启用 FortiClient 与 FortiPAM 通信所需的 PAM 功能。 |
| Port | 端口 | 配置 FortiClient 与 FortiPAM 通信使用的端口，7.4.8 文档中的默认值为 9191。修改时必须同时修改 FortiPAM 侧对应配置。 |
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.08.31 |
| 0.1 | Draft Version | - | - | 2026.08.04 |