支持使用自适应身份验证的智能访问

Last published : Oct 24, 2026
Citrix Cloud™ 客户可以使用自适应身份验证作为 IdP 到云存储，为 Citrix DaaS 资源（虚拟应用和桌面）或安全私有访问服务提供智能访问（自适应访问）。
智能访问功能允许自适应身份验证服务将所有关于用户的策略信息呈现给 Citrix DaaS。自适应身份验证服务可以提供设备姿态 (EPA)、网络位置（公司网络内部或外部、地理位置）、用户属性（如用户组）、一天中的时间或这些参数的组合作为策略信息的一部分。Citrix DaaS 管理员随后可以使用此策略信息来配置对虚拟应用和桌面的上下文访问。虚拟应用和桌面可以根据之前的参数（访问策略）进行枚举或不枚举。某些用户操作，例如剪贴板访问、打印机重定向、客户端驱动器或 USB 映射，也可以进行控制。
示例用例：
  • 管理员可以配置仅限从特定网络位置（如公司网络）显示或访问的应用程序组。
  • 管理员可以配置仅限从公司托管设备显示或访问的应用程序组。例如，EPA 扫描可以检查设备是公司托管设备还是 BYOD 设备。根据 EPA 扫描结果，可以为用户枚举相关的应用程序。
Related information
配置策略

先决条件

  • 将自适应身份验证配置为云存储的身份验证方法。有关详细信息，请参阅 自适应身份验证服务。
  • 与 Citrix DaaS 配合使用的自适应身份验证服务已启动并正在运行。
  • 自适应访问功能已启用。有关详细信息，请参阅 启用自适应访问。

了解智能访问的事件流

  1. 用户登录到其云存储。
  2. 用户被重定向到配置为 IdP 的自适应身份验证服务。
  3. 系统提示用户进行预身份验证 (EPA) 或身份验证。
  4. 用户已成功通过身份验证。
  5. 智能访问策略根据配置进行评估，并将标签与用户会话关联。
  6. 自适应身份验证服务将标签推送到 Citrix Graph 服务。用户将被重定向到商店登录页面。
  7. StoreFront Cloud 为此用户会话获取策略信息，匹配过滤器，并评估必须枚举的应用程序或桌面。
  8. 管理员在 Citrix DaaS 上配置访问策略，以限制用户的 ICA® 访问。

在自适应身份验证实例上配置智能访问策略

在自适应身份验证实例上配置智能访问策略是一个两步过程：
  1. 在自适应身份验证实例上使用智能访问标签定义智能访问策略。例如，请参阅 步骤 1。
  2. 在您的 DaaS/Secure Private Access 上定义相同的标签以进行资源访问。例如，请参阅 步骤 2。

用例 1：配置智能访问策略以允许从 Chrome 浏览器登录的用户访问，并阻止其剪贴板访问

步骤 1：在自适应身份验证实例上配置带有智能标签的智能访问策略：
  1. 登录到自适应身份验证实例。
  2. 导航到自适应身份验证虚拟服务器（安全 > AAA - 应用程序流量 > 虚拟服务器）。
  3. 选择身份验证虚拟服务器，然后单击编辑。
  4. 单击智能访问策略。
  5. 根据您的要求定义策略表达式。
    1. 单击“添加绑定”。
    2. 在“选择策略”中，单击“添加”。
    3. 输入智能访问策略的名称。
    4. 定义表达式。
    例如，对于允许从 Chrome 浏览器登录的用户访问，请输入表达式 HTTP.REQ.HEADER("User-Agent").CONTAINS("Chrome")
    同样，您可以根据时间、用户登录、身份验证和授权组以及其他选项创建表达式。
    策略表达式
  6. 现在，创建智能标签并将这些标签绑定到智能访问策略。
    1. 在“操作”中，单击“添加”。
    2. 在“名称”中，键入智能访问配置文件的名称。
    3. 在“标签”中，定义智能访问标签。例如，TAG-CHROME。
    智能访问标签
    1. 单击“创建”。
    2. 选择智能访问策略，然后单击“添加绑定”。
    3. 将此智能访问标签绑定到之前创建的智能访问策略。
    绑定智能访问标签
注意：
您还可以通过 Security >AAA - Application Traffic > Policies > Authentication > Advanced Policies > Smart Access > Policies 创建智能访问策略，然后将其绑定到身份验证虚拟服务器。
步骤 2：在 DaaS Studio 中定义智能访问标签：
  1. 添加带有智能标签“TAG-CHROME”的策略。有关详细信息，请参阅在 Citrix Studio 中定义标签。

用例 2：根据 EPA 结果配置智能访问策略，用于身份验证后

步骤 1：在 Adaptive Authentication 实例上配置带有智能标签的智能访问策略：
对于基于端点分析等条件的智能访问，请配置 nFactor 流程，定义 EPA 操作，然后添加默认组。
要将 EPA 配置为 nFactor 流程中的一个因素，请参阅将 EPA 配置为一个因素。
逻辑流程：
  1. 用户在 Web 浏览器或 Citrix Workspace 应用程序中打开其商店 URL。
  2. 用户被重定向到 Adaptive Authentication 进行身份验证/EPA。
  3. 对最终用户进行端点分析，并通过将用户添加到定义的默认组来存储结果。
  4. 系统会提示用户进行下一个身份验证流程。
  5. 评估智能访问策略，并为用户分配智能访问标签。
配置：
从安装了防病毒软件的计算机访问的用户必须标记为合规并提供完全访问权限。但是，未安装防病毒软件的用户计算机必须标记为不合规并提供有限访问权限。
  1. 为 EPA 创建 nFactor 策略。有关详细信息，请参阅将 EPA 配置为因素。
    在 nFactor 流程中，确保第一个是用户身份验证因素。
  2. 选择 EPA 表达式以检查防病毒软件是否存在。
  3. 在 EPA 操作中定义默认组。
    创建 EPA 操作
    如果 EPA 成功运行，用户将被添加到此默认组。
  4. 现在，创建智能访问策略
    1. 登录到 Adaptive Authentication 实例。
    2. 导航到自适应身份验证虚拟服务器 (Security > AAA - Application Traffic > Virtual Servers)。
    3. 选择 Adaptive Authentication 虚拟服务器，然后单击编辑。
    4. 单击智能访问策略。
    5. 使用以下表达式创建两个智能访问策略。
      • AAA.USER.IS_MEMBER_OF (“Compliant”) - 用于用户 EPA 通过条件
      • !AAA.USER.IS_MEMBER_OF (“Compliant”) – 用于用户 EPA 失败条件
    6. 为这两个策略定义智能访问标签。
      示例：
      • 将名称 SmartTag1 标记为 COMPLIANT，用于 AAA.USER.IS_MEMBER_OF (“Compliant”)
      • 将名称 SmartTag2 标记为 NONCOMPLIANT，用于 !AAA.USER.IS_MEMBER_OF (“Compliant”)
以 EPA 作为智能访问条件的自适应身份验证实例配置现已完成。
您可以根据您的要求配置标签和表达式。
EPA 智能访问
步骤 2：在 DaaS Studio 中配置智能访问标签：
在相应的交付组中添加带有智能标签“COMPLIANT”和“NONCOMPLIANT”的策略。有关详细信息，请参阅在 Citrix Studio 中定义标签。

在 DaaS Studio 中定义标签

在交付组中定义标签以限制用户的应用程序枚举。
示例：分支机构用户必须查看来自包含所有应用程序的 自适应访问交付组 的应用程序。 而居家办公用户必须查看来自 WFH 交付组 的应用程序。
  1. 登录到 Citrix Cloud。
  2. 选择 我的服务 > DaaS。
  3. 点击管理。
  4. 根据您的要求创建交付组。有关详细信息，请参阅创建交付组。
  5. 选择您已创建的交付组，然后点击编辑交付组。
    编辑交付组
  6. 点击访问策略。
  7. 对于在 Citrix Workspace 平台中使用自适应访问的客户，请执行以下步骤，将交付组的访问权限限制为仅限内部网络：
    1. 右键点击交付组，然后选择编辑。
    2. 在左侧窗格中选择访问策略。
    3. 点击编辑图标以修改默认的 Citrix Gateway 连接策略。
    4. 在“编辑策略”页面上，选择符合以下条件的连接，选择匹配任意，然后添加条件。
    编辑交付组
    对于居家办公用户，请在相应的交付控制器中输入以下值。
    场：工作区
    筛选器：LOCATION_TAG_HOME
    对于分支机构用户，请在相应的交付控制器中输入以下值。
    筛选器：工作区
    值：LOCATION_TAG_BRANCHOFFICE
您现在可以使用这些标签来限制对应用程序的访问。

限制对所提供应用程序的访问类型

示例：居家办公用户不得拥有剪贴板权限。
  1. 在 DaaS Studio 中，导航到“策略”，然后单击“创建策略”。
  2. 在“创建策略”页面中，选择要允许或禁止访问的设置。
  3. 单击“选择”。
    访问设置
  4. 在“编辑设置”页面中，单击“允许”或“禁止”，然后单击“保存”。
  5. 单击“下一步”。
  6. 在“将策略分配到”页面中，选择“访问控制”，然后单击“下一步”。
    将策略分配到
  7. 使用以下详细信息定义策略：
    • 模式：- 允许
    • 连接类型：- 使用 Citrix Gateway
    • 场名称：- 工作区
    • 访问条件：LOCATION_TAG_HOME（全部大写）
    场和模式
  8. 单击下一步，然后输入策略名称。
  9. 单击完成。
摘要
您现在已准备好测试您的访问。

常见错误疑难解答

  • 问题：您看到消息“Cannot Complete your Request”。
    解决方案
    1. 确保已启用自适应访问。有关详细信息，请参阅启用自适应访问。
    2. 如果未启用该功能，请联系 Citrix 支持。
  • 问题：未发布任何应用程序或桌面。
    如果智能标签未从自适应身份验证推送到工作区，或者 DaaS 或安全专用访问未收到智能标签，则可能会出现此问题。
    解决方案：
    • 检查智能访问策略是否生效。有关详细信息，请参阅 <CTX138840。
    • 检查 Citrix Adaptive Authentication 实例是否能够连接到 cas.citrix.com。
    • 检查 Adaptive Authentication 实例以获取智能标签的详细信息。
      • 确保在 set audit syslogParams 命令中，logLevel 参数在所有实例上都设置为 ALL。
      • 使用 putty 登录到 Adaptive Authentication 主实例。
        键入 shell
        cd /var/log
        cat ns.log | more or cat ns.log | grep -I “smartaccess”
    • 如果这些操作无法解决问题，请联系 Citrix 支持。

高可用性设置的配置更改

有时，高可用性设置中的以下目录中可能会出现文件同步延迟。因此，在 Citrix ADM 注册期间创建的密钥无法及时读取。
  • /var/mastools/conf/agent.conf
  • /var/mastools/trust/.ssh/private.pem
  • /var/mastools/trust/.ssh/public.pem
为解决文件同步问题，请执行以下步骤以在辅助节点上重新运行 set cloud 命令。
> shell cat /var/mastools/conf/agent.conf
<?xml version="1.0" encoding="UTF-8" standalone="no"?>
<mps_agent>
<uuid>temp_str</uuid>
<url>fuji.agent.adm.cloud.com</url>
<customerid>customer_id</customerid>
<instanceid>instance_id</instanceid>
<servicename>MAS</servicename>
<download_service_url>download.citrixnetworkapistaging.net</download_service_url>
<abdp_url>fuji.agent.adm.cloud.com</abdp_url>
<msg_router_url>fuji.agent.adm.cloud.com</msg_router_url>
</mps_agent> Done
> set cloud param -CustomerID customer_id -InstanceID instance_id -Deployment Production