Citrix Secure Hub™
O Citrix Secure Hub é a plataforma de lançamento para a experiência do Citrix Endpoint Management™ (anteriormente, XenMobile). Os usuários registram seus dispositivos no Secure Hub para obter acesso à Loja. Na loja, eles podem adicionar aplicativos de produtividade móvel desenvolvidos pela Citrix e aplicativos de terceiros.
Para requisitos de sistema do Secure Hub e de outros aplicativos de produtividade móvel, consulte Requisitos do sistema.
Administrando o Secure Hub
Você realiza a maioria das tarefas de administração relacionadas ao Secure Hub durante a configuração inicial do Endpoint Management. Para disponibilizar o Secure Hub aos usuários, para iOS e Android, carregue o Secure Hub na iOS App Store e na Google Play Store.
Além de fornecer um portal para aplicativos Citrix, o Secure Hub atualiza a maioria das políticas MDX armazenadas no Endpoint Management para os aplicativos instalados quando a sessão do Citrix Gateway de um usuário é renovada após a autenticação usando o Citrix Gateway.
Importante:
Alterações em qualquer uma das seguintes políticas exigem que um usuário exclua e reinstale o aplicativo para aplicar a política atualizada: Security Group, Enable encryption e Secure Mail Exchange Server.
PIN Citrix
Você pode configurar o Secure Hub para usar o PIN Citrix, um recurso de segurança ativado no console do Endpoint Management em Configurações > Propriedades do Cliente. A configuração exige que os usuários de dispositivos móveis registrados façam login no Secure Hub e ativem quaisquer aplicativos MDX empacotados usando um número de identificação pessoal (PIN).
O recurso PIN Citrix simplifica a experiência de autenticação do usuário ao fazer login nos aplicativos empacotados e seguros. Os usuários não precisam inserir repetidamente outra credencial, como seu nome de usuário e senha do Active Directory.
Os usuários que fazem login no Secure Hub pela primeira vez devem inserir seu nome de usuário e senha do Active Directory. Durante o login, o Secure Hub salva as credenciais do Active Directory ou um certificado de cliente no dispositivo do usuário e, em seguida, solicita que o usuário insira um PIN. Quando os usuários fazem login novamente, eles inserem o PIN para acessar seus aplicativos Citrix e a Loja com segurança, até que o próximo período de tempo limite de inatividade termine para a sessão de usuário ativa. As propriedades de cliente relacionadas permitem criptografar segredos usando o PIN, especificar o tipo de senha para o PIN e especificar os requisitos de força e comprimento do PIN. Para obter detalhes, consulte Propriedades do cliente.
Quando a autenticação por impressão digital está ativada, os usuários podem fazer login usando uma impressão digital quando a autenticação offline é necessária devido à inatividade do aplicativo. Os usuários ainda precisam inserir um PIN ao fazer login no Secure Hub pela primeira vez, ao reiniciar o dispositivo e após o término do temporizador de inatividade. Para obter informações sobre como ativar a autenticação por impressão digital, consulte Autenticação por impressão digital ou Touch ID.
Fixação de certificado
O Secure Hub para iOS e Android suporta fixação de certificado SSL. Esse recurso garante que o certificado assinado pela sua empresa seja usado quando os clientes Citrix se comunicam com o Endpoint Management. A fixação de certificado impede conexões de clientes com o Endpoint Management quando a instalação de um certificado raiz no dispositivo compromete a sessão SSL. Quando o Secure Hub detecta quaisquer alterações na chave pública do servidor, o Secure Hub nega a conexão.
A partir do Android N, o sistema operacional não permite mais autoridades de certificação (CAs) adicionadas pelo usuário. A Citrix recomenda usar uma CA raiz pública em vez de uma CA adicionada pelo usuário.
Usuários que atualizam para o Android N podem ter problemas se usarem CAs privadas ou autoassinadas. As conexões em dispositivos Android N são interrompidas nos seguintes cenários:
-
CAs privadas/autoassinadas e a opção CA Confiável Necessária para Endpoint Management no Serviço de Descoberta Automática estão definidas como ATIVADAS. Para obter detalhes, consulte Serviço de Descoberta Automática do Endpoint Management.
-
CAs privadas/autoassinadas e o Serviço de Descoberta Automática (ADS) não estão acessíveis. Devido a preocupações de segurança, quando o ADS não está acessível, a CA Confiável Necessária é ativada (ON), mesmo que tenha sido definida como OFF inicialmente.
Antes de registrar dispositivos ou atualizar o Secure Hub, considere habilitar o certificate pinning. A opção está Desativada por padrão e é gerenciada pelo Serviço de Descoberta Automática do Endpoint Management (ADS). Ao habilitar o certificate pinning, os usuários não podem se registrar no Endpoint Management com um certificado autoassinado. Se os usuários tentarem se registrar com um certificado autoassinado, eles serão avisados de que o certificado não é confiável. O registro falha se os usuários não aceitarem o certificado.
Para usar o certificate pinning, solicite que a Citrix faça o upload dos certificados para o servidor Citrix ADS. Abra um caso de suporte técnico usando o portal de Suporte da Citrix. Em seguida, forneça as seguintes informações:
-
O domínio que contém as contas com as quais os usuários se registrarão.
-
O nome de domínio totalmente qualificado (FQDN) do Endpoint Management.
-
O nome da instância do Endpoint Management. Por padrão, o nome da instância é zdm e diferencia maiúsculas de minúsculas.
-
Tipo de ID de Usuário, que pode ser UPN ou Email. Por padrão, o tipo é UPN.
-
A porta usada para o registro de iOS, caso você tenha alterado o número da porta padrão 8443.
-
A porta através da qual o Endpoint Management aceita conexões, caso você tenha alterado o número da porta padrão 443.
-
A URL completa do seu Citrix Gateway.
-
Opcionalmente, um endereço de e-mail para o seu administrador do Endpoint Management.
-
Os certificados no formato PEM que você deseja adicionar ao domínio.
Configurando autenticação de certificado + senha de uso único para o Secure Hub
Você pode configurar o Citrix ADC para que o Secure Hub autentique usando um certificado mais um token de segurança que serve como uma senha de uso único. Essa configuração oferece uma opção de segurança forte que não deixa um rastro do Active Directory nos dispositivos.
Para permitir que o Secure Hub use esse tipo de autenticação, adicione uma ação de reescrita e uma política de reescrita no Citrix ADC que insere um cabeçalho de resposta personalizado no formato X-Citrix-AM-GatewayAuthType: CertAndRSA para indicar o tipo de logon do Citrix Gateway.
Normalmente, o Secure Hub usa o tipo de logon do Citrix Gateway configurado no console do Endpoint Management. No entanto, essa informação não está disponível para o Secure Hub até que ele conclua o logon pela primeira vez. Portanto, o cabeçalho personalizado é necessário para permitir que o Secure Hub faça isso.
Nota:
Se diferentes tipos de logon forem definidos no Endpoint Management e no Citrix ADC, a configuração do Citrix ADC substituirá a configuração. Para obter detalhes, consulte Citrix Gateway e Endpoint Management.
-
No Citrix ADC, navegar para Configuration > AppExpert > Rewrite > Actions.
-
Clique em Add.A tela Create Rewrite Action é exibida.
-
Preencha cada campo conforme mostrado na figura a seguir e clique em Create.
O seguinte resultado aparece na tela principal Rewrite Actions.
-
Vincule a ação de reescrita ao servidor virtual como uma política de reescrita. Vá para Configuration > NetScaler® Gateway > Virtual Servers e selecione seu servidor virtual.
-
Clique em Editar.
-
Na tela de configuração de Servidores Virtuais, role para baixo até Políticas.
-
Clique em + para adicionar uma política.
-
No campo Escolher Política, escolha Reescrever.
-
No campo Escolher Tipo, escolha Resposta.
-
Clique em Continuar.A seção Associação de Política se expande.
-
Clique em Selecionar Política.Uma tela com as políticas disponíveis aparece.
-
Clique na linha da política que você acabou de criar e depois clique em Selecionar. A tela Associação de Política aparece novamente, com sua política selecionada preenchida.
-
Clique em Bind.Se o bind for bem-sucedido, a tela de configuração principal aparece com a política de reescrita concluída exibida.
-
Para visualizar os detalhes da política, clique em Rewrite Policy.
Requisito de porta para conectividade ADS para dispositivos Android
A configuração da porta garante que dispositivos Android que se conectam do Secure Hub possam acessar o Citrix ADS de dentro da rede corporativa. A capacidade de acessar o ADS é importante ao baixar atualizações de segurança disponibilizadas por meio do ADS. As conexões ADS podem não ser compatíveis com seu servidor proxy. Nesse cenário, permita que a conexão ADS ignore o servidor proxy.
Importante:
O Secure Hub para Android e iOS exige que você permita que dispositivos Android acessem o ADS. Para obter detalhes, consulte Requisitos de porta na documentação do Endpoint Management. Observe que essa comunicação ocorre na porta de saída 443. É altamente provável que seu ambiente existente seja projetado para permitir esse acesso. Os clientes que não podem garantir essa comunicação são fortemente desencorajados a atualizar para o Secure Hub 10.2. Se tiver alguma dúvida, entre em contato com o suporte da Citrix.
Para habilitar o certificate pinning, você deve realizar os seguintes pré-requisitos:
-
Colete os certificados do Endpoint Management e do Citrix ADC. Os certificados devem estar no formato PEM e devem ser um certificado público, e não a chave privada.
-
Entre em contato com o suporte da Citrix e faça uma solicitação para habilitar o certificate pinning. Durante esse processo, seus certificados serão solicitados.
As novas melhorias de certificate pinning exigem que os dispositivos se conectem ao ADS antes que o dispositivo seja registrado. Isso garante que as informações de segurança mais recentes estejam disponíveis para o Secure Hub para o ambiente no qual o dispositivo está sendo registrado. Se os dispositivos não conseguirem acessar o ADS, o Secure Hub não permitirá o registro do dispositivo. Portanto, abrir o acesso ao ADS dentro da rede interna é fundamental para permitir que os dispositivos sejam registrados.
Para permitir o acesso ao ADS para o Secure Hub para Android, abra a porta 443 para os seguintes endereços IP e FQDN:
| FQDN | Endereço IP | Porta | Uso de IP e porta |
|---|---|---|---|
discovery.mdm.zenprise.com |
52.5.138.94 | 443 | Secure Hub - Comunicação ADS |
discovery.mdm.zenprise.com |
52.1.30.122 | 443 | Secure Hub - Comunicação ADS |
ads.xm.cloud.com: observe que a versão 10.6.15 e posterior do SecureHub usa ads.xm.cloud.com. |
34.194.83.188 | 443 | Secure Hub - Comunicação ADS |
ads.xm.cloud.com: note que a versão 10.6.15 e posterior do SecureHub usa ads.xm.cloud.com. |
34.193.202.23 | 443 | Secure Hub - Comunicação ADS |
Se a fixação de certificado estiver ativada:
-
O Secure Hub fixa seu certificado corporativo durante o registro do dispositivo.
-
Durante uma atualização, o Secure Hub descarta qualquer certificado atualmente fixado e então fixa o certificado do servidor na primeira conexão para usuários registrados.Nota:Se você ativar a fixação de certificado após uma atualização, os usuários devem se registrar novamente.
-
A renovação do certificado não exige novo registro, desde que a chave pública do certificado não tenha sido alterada.
A fixação de certificado suporta certificados folha, não certificados intermediários ou de emissor. A fixação de certificado se aplica a servidores Citrix, como Endpoint Management e Citrix Gateway, e não a servidores de terceiros.
Recursos do Secure Hub
O Secure Hub permite que você monitore e imponha políticas móveis ao mesmo tempo em que fornece acesso à Loja e suporte ao vivo. Os usuários começam baixando o Secure Hub em seus dispositivos da loja de aplicativos da Apple, Android ou Windows.
Quando o Secure Hub é aberto, os usuários inserem as credenciais fornecidas por suas empresas para registrar seus dispositivos no Secure Hub. Para mais detalhes sobre o registro de dispositivos, consulte Usuários, contas, funções e registro.
No Secure Hub para Android, durante a instalação inicial e o registro, a seguinte mensagem aparece: Permitir que o Secure Hub acesse fotos, mídias e arquivos em seu dispositivo?
Observe que esta mensagem vem do sistema operacional Android e não da Citrix. Ao tocar em Permitir, a Citrix e os administradores que gerenciam o Secure Hub não visualizam seus dados pessoais em nenhum momento. No entanto, se você conduzir uma sessão de suporte remoto com seu administrador, o administrador poderá visualizar seus arquivos pessoais dentro da sessão.
Uma vez inscritos, os usuários veem todos os aplicativos e desktops que você enviou na guia Meus Aplicativos. Os usuários podem adicionar mais aplicativos da Loja. Em telefones, o link da Loja está sob o ícone de hambúrguer de Configurações no canto superior esquerdo.
Em tablets, a Loja é uma guia separada.
Quando usuários de iPhones com iOS 9 ou posterior instalam aplicativos de produtividade móvel da loja de aplicativos do Endpoint Management, eles veem uma mensagem informando que o desenvolvedor corporativo, Citrix, não é confiável naquele iPhone e que o aplicativo não estará disponível para uso até que o desenvolvedor seja confiável. Quando esta mensagem aparece, o Secure Hub solicita aos usuários que visualizem um guia que os orienta no processo de confiar nos aplicativos corporativos da Citrix para seus iPhones.
Para implantações somente MAM, você pode configurar o Endpoint Management para que usuários com dispositivos Android ou iOS que se inscrevem no Secure Hub usando credenciais de e-mail sejam automaticamente inscritos no Secure Mail. Os usuários não precisam inserir mais informações ou seguir mais etapas para se inscrever no Secure Mail.
No primeiro uso do Secure Mail, o Secure Mail obtém o endereço de e-mail, domínio e ID de usuário do Secure Hub. O Secure Mail usa o endereço de e-mail para autodescoberta. O servidor Exchange é identificado usando o domínio e o ID de usuário, o que permite ao Secure Mail autenticar o usuário automaticamente. O usuário é solicitado a inserir uma senha se a política estiver configurada para não passar a senha, mas o usuário não é obrigado a inserir mais nenhuma informação.
Para habilitar este recurso, crie três propriedades:
-
A propriedade de servidor MAM_MACRO_SUPPORT. Para obter instruções, consulte Propriedades do servidor.
-
As propriedades de cliente ENABLE_CREDENTIAL_STORE e SEND_LDAP_ATTRIBUTES. Para obter instruções, consulte Propriedades do cliente.
Se você quiser personalizar sua Loja, vá para Configurações > Branding do Cliente para alterar o nome, adicionar um logotipo e especificar como os aplicativos aparecem.
Você pode editar descrições de aplicativos no console do Endpoint Management. Clique em Configurar e depois em Aplicativos. Selecione o aplicativo na tabela e clique em Editar. Selecione as plataformas para o aplicativo com a descrição que você está editando e digite o texto na caixa Descrição.
Na Loja, os usuários podem navegar apenas pelos aplicativos e desktops que você configurou e protegeu no Endpoint Management. Para adicionar o aplicativo, os usuários tocam em Detalhes e depois em Adicionar.
O Secure Hub também oferece aos usuários uma variedade de maneiras de obter ajuda. Em tablets, tocar no ponto de interrogação no canto superior direito abre as opções de ajuda. Em telefones, os usuários tocam no ícone do menu hambúrguer no canto superior esquerdo e depois tocam em Ajuda.
Seu Departamento de TI mostra o telefone e o e-mail do suporte técnico da sua empresa, que os usuários podem acessar diretamente do aplicativo. Você insere números de telefone e endereços de e-mail no console do Endpoint Management. Clique no ícone de engrenagem no canto superior direito. A página Configurações é exibida. Clique em Mais e depois em Suporte ao Cliente. A tela onde você insere as informações é exibida.
Relatar Problema mostra uma lista de aplicativos. Os usuários selecionam o aplicativo que apresenta o problema. O Secure Hub gera logs automaticamente e, em seguida, abre uma mensagem no Secure Mail com os logs anexados como um arquivo zip. Os usuários adicionam linhas de assunto e descrições do problema. Eles também podem anexar uma captura de tela.
Enviar Feedback para a Citrix abre uma mensagem no Secure Mail com um endereço de suporte da Citrix preenchido. No corpo da mensagem, o usuário pode inserir sugestões para melhorar o Secure Mail. Se o Secure Mail não estiver instalado no dispositivo, o programa de e-mail nativo será aberto.
Os usuários também podem tocar em Suporte Citrix, que abre o Citrix Knowledge Center. A partir daí, eles podem pesquisar artigos de suporte para todos os produtos Citrix.
Em Preferências, os usuários podem encontrar informações sobre suas contas e dispositivos.
O Secure Hub também fornece políticas de geolocalização e geomonitoramento se, por exemplo, você quiser garantir que um dispositivo corporativo não viole um determinado perímetro geográfico. Para obter detalhes, consulte Política de dispositivo de localização. Além disso, o Secure Hub coleta e analisa automaticamente informações de falha para que você possa ver o que levou a uma falha específica. Essa função é suportada pelo software Crashlytics.