先决条件

Last published : Oct 24, 2026
为确保 Citrix Workspace™ 应用程序与 Chrome Enterprise Premium 之间的最佳集成，必须满足以下先决条件。成功完成这些先决条件将使您在从 Citrix Workspace 应用程序或基于 Web 的用户界面启动应用程序时获得更高效、更无缝的体验。
Related information
系统要求和先决条件

NetScaler 先决条件

以下各节提供了有关 NetScaler 先决条件的更多信息。

Chrome 企业高级版 + Citrix 安全访问部署

  • 确保存在具有 Citrix 桌面即服务 (DaaS) 所需设置的 NetScaler Gateway。此 NetScaler Gateway 用于在 Citrix Workspace 应用程序/Citrix Receiver for Web 中枚举 Secure Private Access 应用程序和 DaaS 应用程序。
  • 确保为新的完全限定域名 (FQDN) 存在一个新的公共 IP 地址和相应的私有 IP 地址。公共 IP 必须 NAT 到私有 IP。此信息用于为 Secure Private Access 应用程序配置新的 NetScaler Gateway。此网关 FQDN 用于使用托管 Chrome 配置文件访问私有 Web 应用程序。最终用户还可以使用 Citrix Secure Access 客户端的此 FQDN 连接到网关以访问内部应用程序。此私有 IP 地址必须用于 UI 中的“内部 IP 地址”字段。有关详细信息，请参阅 Secure Private Access 混合部署入门。
  • 确保您拥有 NetScaler Gateway 的 SSL 服务器证书。证书必须包含必要的完全限定域名 (FQDN)，包括新的 Secure Private Access NetScaler Gateway 的 FQDN。有关相关配置详细信息，请参阅 NetScaler 配置。
  • 确保 NetScaler 上配置了身份验证配置文件。您也可以使用现有的身份验证配置文件和相应的身份验证虚拟服务器。有关详细信息，请参阅 配置身份验证。
注意：
有关将 NetScaler Gateway 用作 Google OIDC 的 IdP，请参阅 使用 NetScaler Gateway 作为 IdP 的 Open ID Connect 配置文件。

仅限 Citrix Secure Access 部署

  • 必须为新的完全限定域名 (FQDN) 存在一个新的公共 IP 地址和相应的私有 IP 地址。公共 IP 必须 NAT 到私有 IP 地址。此信息用于为 Secure Private Access 应用程序配置新的 NetScaler Gateway。此网关 FQDN 用于使用托管 Chrome 配置文件访问私有 Web 应用程序。最终用户还可以使用 Citrix Secure Access 客户端的此 FQDN 连接到网关以访问内部应用程序。此私有 IP 地址必须用于 UI 中的“内部 IP 地址”字段。有关详细信息，请参阅 Secure Private Access 混合部署入门。
  • 您必须拥有适用于 NetScaler Gateway 的 SSL 服务器证书。该证书必须包含必要的完全限定域名 (FQDN)，包括用于新的 Secure Private Access NetScaler Gateway 的 FQDN。有关相关配置详细信息，请参阅 NetScaler 配置。
  • 确保在 NetScaler 上配置了身份验证配置文件。
    也可以使用现有的身份验证配置文件和相应的身份验证虚拟服务器。
    要创建新的身份验证配置文件，请参阅 配置身份验证。

Cloud Connector 先决条件

有关详细信息，请参阅 Cloud Connector 配置。

StoreFront 先决条件

  • 确保在 StoreFront 上创建了一个启用了远程访问（已配置 NetScaler Gateway）的 Store。请参阅 StoreFront 文档。
  • 将 Secure Private Access 添加为 StoreFront 应用商店中的站点：
    • 打开您的应用商店并选择 管理站点。
    • 单击 添加站点，选择 Secure Private Access 作为类型，然后输入显示名称和 Secure Private Access 负载均衡器 FQDN。
注意：
如果您仅将 Secure Private Access 用于 TCP/UDP（客户端/服务器）应用程序，则 StoreFront 是可选的。
有关详细信息，请参阅 StoreFront 配置。

安全私有访问先决条件

  • 确保 Windows Cloud Connector 入站规则允许来自数据中心网络的端口 8443。Citrix 安全私有访问在端口 8443 公开一个纯 HTTP 服务。
  • 确保用于 Citrix 安全私有访问的内部负载均衡器将 Cloud Connector 后端作为目标，端口为 8443。
  • 确保在用于 Citrix 安全私有访问的内部负载均衡器上配置了 SSL 桥接或 SSL 卸载。
有关详细信息，请参阅 Secure Private Access service。

Google 先决条件

以下各节提供有关 Google 先决条件的更多信息。

Chrome 企业高级版许可证

确保您拥有有效的 Chrome Enterprise Premium 许可证，该许可证可通过 Citrix Cloud Platform License (CPL) 计划获得。

Google Workspace 管理控制台

  • Google 客户 ID： 从 Google 管理控制台获取您的 Google 客户 ID。此 ID 是配置 Google 服务和集成所必需的。您的客户 ID 可以通过 Google 管理控制台中的 帐户 > 帐户设置 进行检索。
  • 在 Google 管理控制台中创建自定义角色： 要将客户加入 Chrome Enterprise Premium (CEP) 并启用 Google Chrome 集成，管理员必须在 Google 管理控制台中创建自定义角色并分配相应的权限。有关详细信息，请参阅 Admin roles and privileges。
  • 代理模式配置： 将代理模式设置为“允许用户配置代理”。避免使用限制性选项，例如“无代理”、“操作系统代理”或“仅使用此代理”。
    注意：
    如果 Google 管理控制台设置为使用系统代理设置，则托管配置文件无法应用 Citrix 安全私有访问所需的代理配置，并且与 Chrome Enterprise Premium 的集成将失败。
  • 限制 DevTools 扩展： 必须禁用强制安装扩展的 Chrome DevTools，以防止敏感数据泄露。这是 Google 管理控制台中的默认选项。
  • 现在在 Google Admin console for Chrome Enterprise Premium 中配置访问限制： 以前在 Secure Private Access 控制台中配置的访问限制仅适用于 Citrix Enterprise Browser。当 Google Chrome 是企业浏览器时，必须在 Google Admin console 中将访问限制配置为策略和规则。
    • 策略在 Google Admin console > Devices > Chrome > Settings 中配置。这些设置允许您管理浏览器设置，例如阻止 JavaScript 和允许打印机列表。
    • 规则在 Google Admin console > Rules 中配置。这些规则是与 DLP 相关的高级设置，例如添加水印、阻止下载包含社会安全号码的文件以及 URL 过滤。
    有关在 Google Workspace Admin console 中创建策略和规则的详细信息，请参阅以下主题：
    • 为 Chrome Enterprise 设置 Chrome Enterprise 连接器策略
    • 数据保护规则
  • 许可证： 确保您拥有有效的 Chrome Enterprise Premium 许可证，该许可证可通过 Citrix Cloud Platform License (CPL) 计划获得。

谷歌浏览器

以下部分提供了有关 Google Chrome 先决条件的更多信息。

托管的 Chrome 配置文件

所有最终用户都必须使用托管配置文件访问 Chrome。托管配置文件可确保在用户设备上强制执行 Chrome 策略、扩展和安全设置。

将 Citrix Workspace 中配置的用户目录与 Google Cloud 用户目录同步

您必须将 Citrix Workspace 或 StoreFront 中配置的用户目录与 Google Cloud 用户目录同步。具体来说，支持以下用户目录：
  • 活动目录
  • Microsoft Entra 标识（以前称为 Azure 活动目录）
注意：
定期同步用户目录，以确保正确强制执行应用程序访问。

填充电子邮件地址字段（强制）

Google Cloud 用户目录要求填充电子邮件地址字段。要与 Google Cloud 用户目录同步，Secure Private Access 中的用户或组对象必须具有电子邮件地址。否则，同步将失败。
确保所有需要访问集成的 Chrome Enterprise Premium 和 Secure Private Access 产品的用户，以及所有涉及访问安全策略的组，都已填充电子邮件地址字段。电子邮件地址的域部分必须是已在您的 Google 管理控制台中配置和验证的域。

活动目录同步

您必须使用 Google Cloud Directory Sync 将您的 AD 与 Google Cloud 用户目录同步，以确保在整个企业中实现无缝集成和一致的用户管理。
有关如何将 AD 与 Google Cloud 同步以在自定义架构“Citrix-schema”下包含自定义 AD 字段的详细信息，请参阅 将 Google Cloud Identity 作为身份提供程序连接到 Citrix Cloud。

微软 Entra ID

您必须将 Microsoft Entra ID 与 Google Cloud 用户目录同步，以实现 Google 和 Microsoft 云平台之间的用户和组管理。有关详细信息，请参阅 目录同步入门。
有关更多信息，请参阅 Google 目录同步。

绕过 TLS 检查

为确保 Chrome Enterprise Premium 端点在采用 TLS 检查（或 SSL 检查）的网络上正常运行，您必须将以下主机名从检查中排除。
  • ingress.cloudproxy.app
  • securegateway.goog
  • *.securegateway.goog
这种排除至关重要，因为许多 TLS 检查解决方案（例如 SSE 供应商或代理服务器）不完全支持 Chrome Enterprise Premium 使用的 HTTP CONNECT 方法，这可能导致流量突然中断。
此外，建议将以下主机名从 TLS 检查中排除，以避免潜在的最终用户性能问题和连接延迟。
  • safebrowsingrealtime.googleapis.com
  • secureconnect-pa.clients6.google.com
  • secureconnect-pa.mtls.clients6.google.com
  • secureconnect-pa.googleapis.com
  • chromereporting-pa.googleapis.com