自适应访问策略配置和管理

Last published : Oct 24, 2026
在当今瞬息万变的形势下，应用程序安全对任何企业都至关重要。制定上下文感知的安全决策，然后启用对应用程序的访问，可以降低相关风险，同时为用户提供访问权限。
Citrix Secure Private Access™ 服务的自适应访问功能提供了一种全面的零信任访问方法，可为应用程序提供安全访问。自适应访问使管理员能够根据上下文为用户提供对应用程序的精细级别访问。这里的“上下文”一词指：
  • 用户和组（用户和用户组）
  • 设备（桌面或移动设备）
  • 位置（地理位置或网络位置）
  • 设备态势（设备态势检查）
自适应访问功能将自适应策略应用于正在访问的应用程序。这些策略根据上下文确定风险，并做出动态访问决策，以授予或拒绝访问企业 Web、SaaS、TCP 和 UDP 应用程序。
Related information
会话策略

工作原理

为了授予或拒绝访问应用程序，管理员根据用户、用户组、用户访问应用程序的设备以及用户访问应用程序的位置（国家或网络位置）创建策略。
自适应访问策略在以下场景中进行评估：
  • 在 Secure Private Access 服务中枚举 Web、SaaS、TCP 或 UDP 应用程序期间 – 如果此用户被拒绝访问应用程序，则该用户无法在商店中看到此应用程序。
  • 启动应用程序时 – 在您枚举应用程序后，如果自适应策略更改为拒绝访问，即使应用程序之前已被枚举，用户也无法启动该应用程序。

创建包含多个规则的访问策略

您可以在单个策略中创建多个访问规则，并为不同的用户或用户组配置不同的访问条件。这些规则可以分别应用于 HTTP/HTTPS 和 TCP/UDP 应用程序，所有这些都在一个策略中完成。
访问限制必须通过 Google Admin console 配置，而不是在 Secure Private Access 界面中配置。
规则在 Google Admin console > 规则 中配置。这些规则是与 DLP 相关的高级设置，例如添加水印、阻止下载包含社会安全号码的文件以及 URL 过滤。
有关在 Google Admin console 中为 Google Chrome 创建策略和规则的详细信息，请参阅以下主题：
  • 为 Chrome Enterprise 设置 Chrome Enterprise 连接器策略
  • 数据保护规则

先决条件

确保您已为用户配置应用程序。有关详细信息，请参阅 为用户添加应用程序。
创建访问策略的步骤：
  1. 打开 访问策略 页面，然后单击 创建策略。
  2. 输入策略名称和策略描述。
  3. 在 应用程序 中，选择必须强制执行此策略的应用程序或应用程序集。
  4. 单击 创建规则 为策略创建规则。
    创建规则
  5. 输入规则名称和规则的简要描述，然后单击 下一步。
    规则详细信息
  6. 选择用户条件。用户条件是授予用户访问应用程序的强制性条件。您可以选择条件，然后选择域，再选择用户。
    创建规则
    选择以下其中一项：
    • 匹配以下任意项 – 仅允许与字段中列出的任何名称匹配且属于所选域的用户或组访问。
    • 不匹配任何项 - 允许除字段中列出且属于所选域的用户或组之外的所有用户或组访问。
      注意：
      • 您可以通过显示名称、电子邮件 ID 或用户主体名称搜索用户或组。这有助于您准确识别并授予正确用户访问权限，即使同一用户拥有多个帐户也是如此。有关详细信息，请参阅搜索用户或组。
      • 您还必须使用同步的用户和组，以便正确评估 Secure Private Access 策略。否则，将显示警告消息。有关详细信息，请参阅验证用户和组同步。
  7. 添加访问模式条件，以根据用户是通过基于浏览器的客户端还是 Citrix Secure Access 客户端连接来限制应用程序访问。有关详细信息，请参阅基于访问模式的策略实施。
    注意：
    您可以将访问模式与强制性用户条件和任何其他条件结合使用。
  8. （可选）单击 + 可根据上下文添加多个条件。
    当您根据上下文添加条件时，将对这些条件应用 AND 运算，并且仅当满足用户和可选的基于上下文的条件时，才会评估策略。您可以根据上下文应用以下条件。
    • 地理位置 – 选择条件以及用户访问应用程序的地理位置。
      • 匹配以下任意项： 仅允许从列出的任何地理位置访问应用程序的用户或用户组访问应用程序。
      • 不匹配任何项： 除了来自所列地理位置的用户或用户组之外，所有用户或用户组都已启用访问权限。
    • 网络位置 – 选择用户访问应用程序所使用的条件和网络。
      • 匹配以下任意项： 只有从所列网络位置中的任意一个访问应用程序的用户或用户组才被允许访问应用程序。
      • 不匹配任何项： 除了来自所列网络位置的用户或用户组之外，所有用户或用户组都已启用访问权限。
    • 设备状态检查 – 选择用户设备必须满足的条件才能访问应用程序。
  9. 单击“下一步”。
  10. 根据条件评估结果选择要应用的操作。
    • 允许访问
    • 拒绝访问
    创建规则操作
  11. （可选）如果需要，修改特定域的路由类型或资源位置。路由例外切换开关允许您编辑访问策略中添加的应用程序域的资源位置和路由信息。
    • 在“路由类型”中，修改路由类型：
      • 内部：流量通过连接器设备传输。对于 Web 应用程序，流量在数据中心内部传输。对于 SaaS 应用程序，流量通过连接器设备路由到网络外部。
      • 内部 - 绕过代理：域流量通过 Citrix Cloud Connector™ 设备路由，绕过在连接器设备上配置的客户 Web 代理。
      • 外部：流量直接流向互联网。
    • 在资源位置中，如有必要，修改资源位置。此选项仅适用于内部路由域。
    有关上下文路由的更多信息，请参阅基于上下文的应用程序路由和资源位置选择。
    创建策略后，它们将列在访问策略页面中。
    已创建的策略

搜索用户或组

您选择的用户和组将显示在一个网格中。网格中的每一行都显示以下身份详细信息，以便您可以清楚地区分不同域、林或身份提供商 (IdP) 中同名用户或组：
  • 名称 – 用户或组的显示名称。
  • 电子邮件 – 与身份关联的电子邮件地址。
  • IdP 类型 – 身份提供商，例如 Azure AD、Active Directory、Okta 或 Google。
  • OID – 身份的对象 ID 或安全标识符。
  • 域 – 用户或组所属的域。
您可以按名称筛选网格、删除单个行，或者选择多个条目并使用删除所选内容将其一起删除。

验证用户和组同步

选择用户或组时，管理员可以验证所选用户目录中的条目是否已与 Google Directory 同步并正确配置。Secure Private Access 策略只有当用户和组同步时才能正确评估。否则，可能会出现以下警告：
  • 租户帐户权限缺失。
    解决方法：
    在 Google 管理控制台中，将“用户 > 读取”和“群组 > 读取”权限分配给租户服务帐户。SPA 需要这些权限来验证用户或群组是否存在。
  • 用户或群组未同步。
    解决方法：
    搜索或选定的用户或群组未与 Google Directory 同步。在使用 SPA 策略之前，请将目录实体与 Google Directory 同步。
  • 群组访问设置不足。
    解决方法：
    在 Google 管理控制台中，打开所选群组的访问设置，并确保“谁可以查看成员”至少选择了“群组成员”选项。
注意：
此功能仅在 Google Chrome 集成成功完成后可用。

创建策略后需要记住的要点

  • 您创建的策略将显示在“策略规则”部分下，并默认启用。如果需要，您可以禁用这些规则。但是，请确保至少启用一个规则，以便策略处于活动状态。
  • 默认情况下，策略会分配一个优先级顺序。值越低的优先级越高。优先级编号最低的规则会首先进行评估。如果规则 (n) 不符合定义的条件，则会评估下一个规则 (n+1)，依此类推。
按优先级顺序评估规则示例：
假设您创建了两个规则，规则 1 和规则 2。 规则 1 分配给用户 A，规则 2 分配给用户 B，然后这两个规则都会被评估。 假设规则 1 和规则 2 都分配给用户 A。在这种情况下，规则 1 具有更高的优先级。如果规则 1 中的条件得到满足，则应用规则 1 并跳过规则 2。否则，如果规则 1 中的条件未得到满足，则将规则 2 应用于用户 A。

基于设备的自适应访问

要根据用户访问应用程序的平台（移动设备或台式计算机）配置自适应访问策略，请参阅自适应访问策略配置和管理。
  • 在“步骤 2：条件”页面中，单击“添加条件”。
  • 选择“桌面”或“移动设备”。
  • 完成策略配置。
基于设备的自适应访问策略

基于位置的自适应访问

管理员可以根据用户访问应用程序的位置配置自适应访问策略。该位置可以是用户访问应用程序的国家/地区，也可以是用户的网络位置。网络位置是使用 IP 地址范围或子网地址定义的。
要根据位置配置自适应访问策略，请使用创建具有多个规则的自适应访问策略过程，并进行以下更改。
  • 在“步骤 2：条件”页面中，单击“添加条件”。
  • 选择“地理位置”或“网络位置”。
  • 如果您已配置多个地理位置或网络位置，请根据您的要求选择以下选项之一。
    • “匹配其中任何一个” – 地理位置或网络位置与数据库中配置的任何地理位置或网络位置匹配。
    • “不匹配任何一个” – 地理位置或网络位置与数据库中配置的任何地理位置或网络位置不匹配。
    “注意：”:
    • 如果选择地理位置，则会根据国家/地区数据库的 IP 地址评估用户的源 IP 地址。如果用户的 IP 地址映射到策略中的国家/地区，则应用该策略。如果国家/地区不匹配，则跳过此自适应策略并评估下一个自适应策略。
    • 对于网络位置，您可以选择现有网络位置或创建网络位置。要创建新的网络位置，请单击创建网络位置。
    • 确保您已从 Citrix Cloud > StoreFront Cloud > Access > Adaptive Access 启用自适应访问。否则，您无法添加位置标签。有关详细信息，请参阅启用自适应访问。
    • 您还可以从 Citrix Cloud 控制台创建网络位置。有关详细信息，请参阅Citrix Cloud 网络位置配置。
    自适应访问网络位置
  • 完成策略配置。

基于设备姿态的自适应访问

您可以配置 Secure Private Access 服务以使用设备姿态标签强制实施访问控制。设备姿态验证后允许设备登录，设备可以分类为合规或不合规。此信息作为标签提供给 Citrix DaaS™ 服务和 Citrix Secure Private Access 服务，并用于根据设备姿态提供上下文访问。
有关设备姿态服务的完整详细信息，请参阅设备姿态。
要根据设备姿态配置自适应访问策略，请使用创建具有多个规则的自适应访问策略过程并进行以下更改。
  • 在步骤 2: 条件页面中，单击添加条件。
  • 从下拉菜单中选择设备姿态检查和逻辑表达式。
  • 在自定义标签中输入以下值之一：
    • 合规 - 适用于合规设备
    • 不合规 - 适用于不合规设备
    注意：
    设备分类标签的语法必须与之前捕获的方式相同，即首字母大写（Compliant 和 Non-Compliant）。否则，设备姿态策略将无法按预期工作。
基于设备的自适应访问策略(/en-us/citrix-secure-private-access/media/access-policy-device-posture.png)