EMS的一般的部署顺序和原则
EMS的一般的部署顺序和原则
EMS 部署的目标，是让终端能够持续、安全地连接管理平台，获取正确的许可证和策略，并在启用安全控制后保持业务可用。安装服务器只是其中一个环节，还需要完成身份验证、终端分组、客户端分发、策略验证和运维交接。
重要
开始部署前，请先详细阅读EMS部署前注意事项，并逐项完成与本次部署相关的检查。 对尚未满足的条件，应明确处理方案后再进入相应实施阶段。
本文围绕 EMS 从规划到运维交付的全过程，说明部署原则、实施顺序和各阶段的检查要求，可独立用于制定实施计划和推进部署。EMS部署前注意事项侧重部署前的条件核对、限制和风险，可独立用于部署准备和方案评审。两篇文档分别回答“如何有序实施”和“实施前需要确认什么”；实施过程中如调整版本、架构或功能范围，可查阅注意事项重新核对相关条件。
注
本文在撰写中收到了多位SE工程师和供应商的帮助和建议，在此鸣谢。
部署的基本原则
- 先规划，再安装。 先详细阅读EMS部署前注意事项并完成相关检查，确定部署方式、版本组合、终端规模、访问地址和授权，再创建实例。尤其应提前确定 FQDN、证书及站点规划，减少终端上线后的地址变更。
- 先建立可信连接，再启用业务控制。 先验证 DNS、网络、证书、授权和 Telemetry，再处理 VPN、ZTNA 与终端防护。浏览器能打开 EMS，并不代表终端管理链路已经可用。
- 先确定身份和分组，再批量分发。 邀请、身份源、分组规则和策略范围应在推广前准备好，避免大量终端进入错误分组或收到不适用的配置。
- 先试点，再分批推广。 试点覆盖实际使用的操作系统、办公地点、网络和关键应用。以验证结果决定是否扩大范围，不以安装完成率代替部署成功率。
- 先验证识别结果，再启用阻断。 对标签、终端位置判断和安全检测，先确认结果与预期一致，再逐步启用依赖这些结果的访问限制。支持监控或告警模式的功能可先观察日志；不支持的功能应限制在测试组验证。
- 每次变更都要能够恢复。 保存原策略、配置、安装包版本及必要的备份，明确停止推广和恢复业务的方法。数据库恢复、策略恢复与客户端版本回退是不同操作。
- 按角色和用途控制权限。 区分日常管理账户、目录连接账户、分发账户和终端用户；仅开放必要的网络路径，避免为方便接入而长期绕过证书或身份验证。
推荐部署顺序
注
- 以上是依赖顺序，不要求所有准备工作串行完成。
- 例如，目录和 FortiGate 的网络准备可以提前进行，但在连接和标签同步验证通过前，不应将其用于生产访问阻断。没有 VPN、ZTNA 或 AD 需求时，可以跳过相应集成。
| 阶段 | 主要产出 | 进入下一阶段前的检查 |
|---|---|---|
| 规划 | 版本清单、架构、终端范围及授权清单 | 容量和兼容性已核对，实施与恢复窗口明确 |
| 基础准备 | FQDN、证书、网络访问规则 | 管理网、办公网及外部网络的必要路径可达 |
| 平台就绪 | 可用 EMS 实例和许可证 | 服务正常，功能和席位符合采购范围 |
| 接入设计 | 身份源、分组、基线策略、安装包和邀请 | 测试终端能够进入预期组并获得正确策略 |
| 功能验证 | 业务与安全功能的测试结果 | 正常业务可用，异常场景按设计处理 |
| 批量推广 | 各批次终端及异常处置记录 | 连接、策略、性能及业务指标满足事先约定 |
| 运维交付 | 配置记录、备份、监控和操作流程 | 运维人员能够定位问题并执行恢复流程 |
1. 明确需求、架构和版本
部署前至少确认以下事项：
- 管理对象：终端数量、预计增长、操作系统及版本、办公网与远程用户比例，是否包含共享设备、服务器或无交互登录的终端。
- 功能范围：只进行集中管理和远程接入，还是同时部署 ZTNA、反病毒、Web Filter、漏洞扫描、沙箱等功能。
- 部署方式：本地独立实例、高可用架构或 FortiClient Cloud；本地数据库架构和云端区域需在实施前确定。
- 兼容性：核对 EMS、FortiClient、FortiOS 和所用身份源的组合。不要仅凭主版本相同判断兼容，也不要将本地 EMS 与 Cloud 的功能视为完全一致。
- 许可与归属：确认合同属于正确账户，授权功能、席位和期限满足计划；云服务订阅与终端管理授权分别核对。
- 现有软件：盘点原有 VPN、EDR、反病毒、网络过滤软件及其卸载保护，制定共存或替换方案。
- 责任与窗口：明确网络、目录、终端和安全团队的职责，以及变更、重启和恢复时间。
本地部署应根据目标版本的规模要求准备专用服务器资源，不要只按实验环境的最低配置建设生产环境。Fortinet 建议在受控环境中使用专用服务器，见Installation and licensing。
已有 EMS 的升级或迁移应另外制定兼容性和迁移方案，不能直接套用全新安装流程。尤其是跨平台迁移，应先核对官方支持的源版本及路径，参阅EMS 7.2 迁移到 EMS 7.4。
2. 准备网络、域名和证书
先规划终端长期使用的 EMS FQDN，以及内部和外部网络的解析方式。如果外部终端通过公网接入本地 EMS，应同时设计 NAT、路由、出口代理和访问控制。终端在内外网使用的地址必须可达，并与对应服务的证书匹配。
按通信方向分别检查网络，不要只制作一份“全部放行”的端口列表：
| 通信路径 | 应检查的内容 |
|---|---|
| 管理员 → EMS | 管理入口、证书信任和管理来源限制 |
| FortiClient → EMS | Telemetry、部署包下载及所用功能需要的服务 |
| EMS → 外部服务 | 授权同步、安装包服务、更新服务，以及按需使用的目录、邮件等服务 |
| FortiGate ↔ EMS | 目标版本要求的连接器通信路径、证书验证与授权 |
| 本地 EMS → 数据库及其他节点 | 按实际数据库和高可用架构开放内部路径 |
本地 EMS 的常见默认端口包括 HTTPS 管理 TCP 443、Telemetry TCP 8013 和部署包下载 TCP 10443，但它们不是完整放行清单。例如，EMS 7.4.4 的端口表还列出了 FortiOS 通信 TCP 8015。应按启用功能、配置和目标版本逐项核对Required services and ports。安装程序开放主机端口，也不代表上游防火墙、云安全组或 NAT 已配置正确。
同时检查 DNS、时间同步、证书链和证书有效期。存在代理或 TLS 检查设备时，应确认其不会破坏相关服务的通信。证书与接入配置参阅证书设置和客户端连接到 EMS。
FortiClient Cloud 应使用云端的域名和访问要求，不照搬本地 EMS 的端口映射方案，参阅注册和部署 FortiClient Cloud。
3. 安装平台并验证授权
根据选定架构完成本地安装或云服务开通：
- 本地独立部署：参阅EMS 7.4 SA 安装或使用 VM 镜像部署 EMS。
- 本地高可用部署：先完成高可用架构设计，再按对应数据库和网络方案实施。
- FortiClient Cloud：完成合同注册、区域选择和实例初始化后，进入云控制台验证。
此阶段应确认管理员可以登录、实例版本正确、服务正常，以及许可证功能、席位和期限符合预期。具备高可用要求的环境，还应安排切换及恢复测试；高可用不能代替备份。
不要在 EMS 尚未稳定、授权尚未核对时向所有终端分发安装包。
4. 完成管理与运维基础配置
在终端批量接入前完成以下准备：
- 创建日常管理账户并分配角色，限制管理入口访问来源，按账户体系支持能力配置多因素认证。
- 核对 EMS 发布给终端的地址、证书和端口；使用多租户时，提前确定目标站点及其接入方式。
- 配置日志、邮件及必要告警，并实际触发一次测试通知，确认接收人能够收到。
- 建立备份及保留计划，妥善保管恢复所需的凭据。对本地 EMS，按目标版本支持的方法备份，并在隔离环境验证恢复过程。
- 保存初始配置和版本记录，为后续变更建立基线。
Cloud 的备份、恢复及升级应按云服务提供的能力和支持流程管理，不能假设拥有本地服务器级的操作权限。
相关配置参阅管理员账号和角色的管理、EMS日志设置和查看和EMS 的告警设置。
5. 规划身份、分组和基线策略
根据业务需要配置本地用户、AD/LDAP 或 SAML。目录用于发现终端或同步用户，并不意味着客户端已经安装，也不意味着用户已完成 EMS 接入验证；应分别验证这些环节。
推荐至少划分测试组、分批推广组和生产组，再按操作系统、部门或业务用途细分。命名应能清楚表达对象和用途，避免使用后续无法识别的临时名称。自动分组时，还要检查新终端的默认归属及例外规则。
在生成并分发安装包前，先准备一套最小基线策略，覆盖必要的客户端系统设置、日志和管理连接。其他安全功能按计划逐项加入，避免首次连接即触发尚未验证的阻断或自动修复。
配置关系为：
功能配置文件 → 终端策略引用 → 匹配用户或终端组 → 客户端接收配置安装包决定安装版本和组件，终端策略决定受管配置。两者应分别检查；只创建配置文件不能证明配置已经下发。为测试组建立明确的策略范围和优先级，检查它是否被其他用户或组策略覆盖。
6. 接入试点终端
选择覆盖实际平台、网络和业务的代表性终端，而不是只在管理员自己的电脑上测试。
- 选择兼容的 FortiClient 版本及功能组件，准备安装包和受控的注册方式。
- 使用邀请时，设置适当的身份验证和有效期；测试优先使用个人邀请，批量邀请应控制分发范围。
- 通过用户安装或已有的软件分发平台实施。使用 AD、MDM 或 EMS 相关分发能力前，应确认对应版本和操作系统的支持条件。
- 安装后确认客户端连接至正确实例或站点，用户验证成功，终端进入预期分组。
- 核对 EMS 中的实际策略及客户端生效配置，验证重启、重新登录和网络切换后的连接。
- 检查客户端性能、关键应用及已有安全软件的兼容情况。
验收时应同时查看终端侧与 EMS 侧状态：安装完成、Connected、用户已验证、策略正确和业务正常，是不同的检查项。安装包和接入操作参阅生成自定义安装包及客户端连接到 EMS。
7. 按需启用业务与安全功能
远程接入
先验证网关可达、用户认证、证书、路由及 DNS，再测试远程访问业务。随后根据需求逐步启用自动连接、登录前接入或网络限制。涉及 Network Lockdown 等可能中断网络的设置时，应先验证仍可恢复管理连接，并准备现场或其他独立的恢复方式。
FortiGate 与 ZTNA 联动
推荐按以下依赖顺序实施：
- 配置 EMS 与 FortiGate 的连接器，核对对端身份并完成授权。
- 验证终端信息和标签能够同步到 FortiGate。
- 检查合规、不合规、未知状态终端的标签结果，确认规则没有误匹配。
- 根据实际 ZTNA 方案验证客户端证书、目标配置、用户认证和应用访问。
- 最后在限定范围启用访问策略，测试允许与拒绝场景，再扩大范围。
不要在标签尚未稳定时直接用其替换全网访问规则，也不要把未知状态自动当作合规。操作参阅EMS 和 FortiGate 集成及创建动态 TAG。
终端安全功能
反病毒、Web Filter、应用防火墙、漏洞修复和沙箱等功能应逐项验证。先检查许可证和已安装组件，再核对检测或阻断结果、日志及例外规则。自动修复和重启应安排维护窗口；与其他防护软件共存时，按双方支持要求验证兼容性，不以关闭防护作为长期解决方案。
8. 分批推广并准备回退
按“IT 测试组 → 代表性业务组 → 分批生产组”推广。批次规模、观察时间及停止条件由终端数量、业务敏感程度和支持能力决定，不使用统一比例代替风险评估。
每批至少记录安装成功数、在线情况、策略一致性、用户验证失败、性能问题和关键业务异常。达到事先约定的通过标准后再进入下一批；出现集中掉线、误阻断或业务中断时，应暂停后续分发和策略扩大。
| 变更类型 | 实施前准备 | 出现问题时的处理方向 |
|---|---|---|
| 策略与配置文件 | 保存原配置、引用关系、优先级及目标范围 | 恢复原配置或策略引用，确认客户端已重新接收 |
| 安装包与客户端版本 | 保留已验证安装包，确认卸载保护、维护权限和重装条件 | 暂停后续部署，按支持流程处理受影响终端 |
| EMS 升级或迁移 | 保存数据库备份、恢复凭据及版本兼容性记录 | 按预先验证的恢复方案执行，不能假定支持直接降级 |
| 网络与接入限制 | 保存原网络规则和独立管理路径 | 恢复必要通信路径，再修复终端策略 |
重要
- 如果错误策略已经切断终端到 EMS 的通信，单纯在 EMS 中恢复配置可能无法立即修复终端。必须事先准备可用的本地、现场或独立远程恢复方法。
- EMS 不支持降级
- 数据库恢复应匹配受支持的版本和流程。
9. 验收与运维交付
| 验收项目 | 通过标准 |
|---|---|
| 平台与授权 | 实例版本、合同归属、可用席位及有效期正确 |
| 网络与证书 | 预期网络环境下可连接，证书身份匹配且可信 |
| 终端与身份 | 终端记录准确，注册到正确实例或站点，按设计完成验证 |
| 分组与策略 | 实际分组和命中策略符合设计，客户端配置已生效 |
| 功能与业务 | 所需功能测试通过，允许及拒绝结果均符合预期 |
| 稳定性 | 重启、用户切换和网络切换后能够恢复正常工作 |
| 日志与告警 | 关键事件可查询，测试告警送达责任人 |
| 恢复能力 | 本地备份可用、恢复流程已验证；云端支持和恢复流程明确 |
| 运维责任 | 许可证续期、证书更新、版本维护及异常处理均有负责人 |
交付资料应包含架构图、地址与端口清单、版本和授权信息、身份与分组设计、策略对应关系、安装包清单、验收结果、恢复步骤及支持联系人。密码、私钥、注册码和邀请码应单独受控保存，不写入公开交付文档。
上线后持续关注失联终端、许可占用、证书及合同到期、备份结果和官方版本公告。后续新增安全功能、修改接入方式或升级版本，继续执行试点、验证、分批推广的流程。
更新历史
| Ver | Description | Author | Rev | Date |
|---|---|---|---|---|
| 1.0 | First Complete | ysheng | tanga | 2026.11.04 |
| 0.1 | Draft Version | - | - | 2026.10.13 |