配置企业 Web 应用程序

系统要求

工作原理

配置 Web 应用程序

1. 登录 Citrix Cloud 并选择 安全私有访问。
2. 单击 应用程序 > 应用配置，然后单击 添加应用程序。
3. 在 Choose a template 部分中，单击 Skip。模板仅适用于 SaaS 应用程序。
4. 在 应用程序位置在哪里？ 中，选择 在我的公司网络中。
   • 选择 我的公司网络内部，适用于托管在组织内部私有网络基础设施中、位于防火墙后且只能通过内部网络连接访问的应用程序。
   • 选择 我的公司网络外部（Google 连接器）： 适用于托管在组织私有网络基础设施外部的应用程序。流量通过 Google Cloud Connector 直接从用户路由到外部应用程序。
5. 在 应用程序详细信息 部分输入以下详细信息，然后单击 下一步。
   
   • 应用程序类型 – 选择应用程序类型。
     注意：
     对于 Chrome Enterprise Premium (CEP)，仅支持 HTTPS 企业 Web 和 SaaS 应用程序。不支持 HTTP 企业 Web 和 SaaS 应用程序。

   • 应用程序名称 – 应用程序的名称。
   • 应用程序描述 - 应用程序的简要描述。此描述将显示给商店中的用户。
   • 应用程序类别 - 添加您要发布的应用程序必须在商店 UI 中显示的类别和子类别名称（如果适用）。您可以为每个应用程序添加新类别，或使用商店 UI 中的现有类别。为 Web 或 SaaS 应用程序指定类别后，该应用程序将显示在商店 UI 中的特定类别下。
     • 类别/子类别可由管理员配置，管理员可以为每个应用程序添加新类别。
     • 应用程序类别 字段适用于 HTTP/HTTPS 应用程序，并对 TCP/UDP 应用程序隐藏。
     • 类别/子类别名称必须用反斜杠分隔。例如，Business And Productivity\Engineering。此外，此字段区分大小写。管理员必须确保他们定义了正确的类别。如果商店 UI 中的名称与在 应用程序类别 字段中输入的类别名称不匹配，则该类别将作为新类别列出。
       例如，如果您在 应用程序类别 字段中错误地将 Business and Productivity 类别输入为 Business And productivity，那么除了 Business And Productivity 类别之外，商店 UI 中还会列出一个名为 Business And productivity 的新类别。
   • 应用程序图标 – 单击 更改图标 以更改应用程序图标。图标文件大小必须为 128x128 像素。如果您不更改图标，则会显示默认图标。
     如果您不想显示应用程序图标，请选择 不向用户显示应用程序图标。
   • 选择 无代理访问 以允许用户直接从客户端浏览器访问应用程序。有关详细信息，请参阅 直接访问企业 Web 应用程序。
   • URL – 包含您的客户 ID 的 URL。该 URL 必须包含您的客户 ID (Citrix Cloud™ 客户 ID)。要获取您的客户 ID，请参阅注册 Citrix Cloud。如果 SSO 失败或您不想使用 SSO，用户将被重定向到此 URL。
     客户域名 和 客户域 ID - 客户域名和 ID 用于在 SAML SSO 页面中创建应用程序 URL 和其他后续 URL。
     例如，如果您要添加 Salesforce 应用程序，您的域名是 salesforceformyorg，ID 是 123754，则应用程序 URL 是 https://salesforceformyorg.my.salesforce.com/?so=123754..
     客户域名和客户 ID 字段特定于某些应用程序。
   • 相关域 – 相关域会根据您提供的 URL 自动填充。相关域有助于服务将 URL 识别为应用程序的一部分并相应地路由流量。您可以添加多个相关域。
     注意：
     如果添加了重复的相关域，或者如果相关域也作为不同应用程序的 URL 添加，则会出现警告消息。为避免这些问题，请参阅 Web 和 SaaS 应用程序配置的最佳实践。

   • 导入 HAR – 您可以上传 HAR 文件以自动发现应用程序访问的域。查看发现的域并选择要添加到应用程序相关域配置的域。这通过减少手动识别和配置相关域的需要来简化应用程序的载入。有关详细信息，请参阅 使用 HAR 文件发现相关域。
   • 保持一致连接 - 选中此复选框可启用与同一连接器设备的持续连接。有关一致连接的详细信息，请参阅 保持一致连接。
     注意：
     选择 保持一致连接 选项时，应用程序的路由类型必须在“应用程序连接”部分中设置为 通过连接器进行内部连接。

   • 单击 将应用程序添加到收藏夹 Workspace 应用程序 以将此应用程序添加为 Citrix Workspace 应用程序中的收藏夹应用程序。
     • 单击 允许用户从收藏夹中删除 以允许应用程序订阅者从 Citrix Workspace 应用程序中的收藏夹应用程序列表中删除该应用程序。选择此选项后，Citrix Workspace 应用程序中应用程序的左上角会出现一个黄色星形图标。
     • 单击不允许用户从收藏夹中删除以防止订阅者从 Citrix Workspace 应用程序中的收藏夹应用列表中删除该应用。选择此选项后，Citrix Workspace 应用程序中应用的左上角会显示一个带挂锁的星形图标。
       如果您从 Secure Private Access 服务控制台中删除标记为收藏夹的应用，则用户必须手动从其商店中的收藏夹列表中删除该应用。如果从 Secure Private Access 服务控制台中删除应用，则这些应用不会从商店中自动删除。
   重要提示：
   • 为了启用基于零信任的应用访问，默认情况下会拒绝应用访问。仅当访问策略与应用程序关联时，才启用对应用的访问。
   • 如果多个应用配置了相同的 FQDN 或通配符 FQDN 的某种变体，这可能会导致配置冲突。
   • 这些问题可以通过遵循一些最佳实践来解决。有关详细信息，请参阅Web 和 SaaS 应用程序配置的最佳实践。

6. 在应用连接部分，您可以定义应用程序相关域的路由，如果这些域必须通过 Citrix Connector™ Appliance 外部或内部路由。
   
   • 路由类型 - 选择以下选项之一：
     • 内部 – 绕过代理 - 域流量通过 Connector Appliance™ 路由，绕过在 Connector Appliance 上配置的客户 Web 代理。
     • 通过连接器内部 - 应用可以是外部的，但流量必须通过 Connector Appliance 流向外部网络。
     • 外部 – 流量直接流向互联网。
   • 主要和次要资源位置 - 管理员可以通过配置次要资源位置或使用第一个可用选项来确保应用程序的高可用性，即使在中断期间也是如此。
     • 主要资源位置： 选择应用程序托管的主要资源位置。或者，管理员可以在主要资源位置中选择第一个可用选项。
     • 第一个可用： 第一个可用选项可确保使用可用的资源位置。选择第一个可用后，系统会自动将流量路由到第一个可用的位置。这可确保无需手动干预即可持续访问应用程序。例如，如果 ResourceLocation1 不可用但 ResourceLocation2 可访问，则默认选择 ResourceLocation2 作为应用程序的前端。
     • 辅助资源位置 - 仅当明确指定主资源位置时，辅助资源位置选项才可用。如果主资源位置因连接器设备或数据中心故障等原因而变得不可用，应用程序将故障转移到指定的辅助资源位置。即使应用程序托管在另一个数据中心，辅助资源位置也可以充当故障转移。
     您还可以为每个相关域设置主资源位置和辅助资源位置，或选择第一个可用选项。
     1. 单击“相关域”表操作列中的编辑图标。
     2. 设置主资源位置和辅助资源位置，或选择第一个可用选项。
     
     注意：
     • 设置备份资源位置和使用第一个可用选项功能目前处于预览阶段。
     • 删除应用程序时，其路由条目会自动删除。有关详细信息，请参阅删除应用程序时自动清理路由条目。

   • 保持一致连接 - 选中此复选框可启用与同一连接器设备的持续连接。有关一致连接的详细信息，请参阅保持一致连接。
     注意：
     选择保持一致连接选项时，应用程序的路由类型必须在“应用程序连接”部分设置为通过连接器内部。

7. 设置首选登录方法。
   注意：
   单点登录选项不适用于 Citrix Secure Access with Chrome Enterprise (CEP)。
   1. 在单点登录部分，选择您希望用于应用程序的单点登录类型，然后单击保存。以下单点登录类型可用。
      
      • 基本 – 如果您的后端服务器向您发出 basic-401 质询，请选择基本 SSO。您无需为基本SSO 类型提供任何配置详细信息。
      • Kerberos – 如果您的后端服务器向您发出 negotiate-401 质询，请选择Kerberos。您无需为Kerberos SSO 类型提供任何配置详细信息。
      • 基于表单 – 如果您的后端服务器向您提供用于身份验证的 HTML 表单，请选择基于表单。输入基于表单SSO 类型的配置详细信息。
      • SAML - 选择SAML用于基于 SAML 的 Web 应用程序 SSO。输入SAML SSO 类型的配置详细信息。
      • 不使用 SSO – 当您不需要在后端服务器上对用户进行身份验证时，请使用不使用 SSO选项。选择不使用 SSO选项后，用户将被重定向到应用程序详细信息部分下配置的 URL。
      基于表单的详细信息：
      在“单点登录”部分中输入以下基于表单的配置详细信息，然后单击保存。
      
      • 操作 URL - 键入提交已完成表单的 URL。
      • 登录表单 URL – 键入显示登录表单的 URL。
      • 用户名格式 - 选择用户名的格式。
      • 用户名表单字段 – 键入用户名属性。
      • 密码表单字段 – 键入密码属性。
      SAML：
      在单点登录部分输入以下详细信息，然后点击 保存。
      
      • 签名断言 - 当响应或断言交付给依赖方 (SP) 时，对断言或响应进行签名可确保消息完整性。您可以选择 断言、响应、两者 或 无。
      • 断言 URL – 断言 URL 由应用程序供应商提供。SAML 断言将发送到此 URL。
      • 中继状态 – 中继状态参数用于标识用户在登录并定向到依赖方的联合服务器后访问的特定资源。中继状态为用户生成一个单一 URL。用户可以点击此 URL 登录到目标应用程序。
      • 受众 – 受众由应用程序供应商提供。此值确认 SAML 断言是为正确的应用程序生成的。
      • 名称 ID 格式 – 选择支持的名称标识符格式。
      • 名称 ID – 选择支持的名称 ID。
      1. 在 高级属性（可选） 中，添加有关用户的附加信息，这些信息将发送到应用程序以进行访问控制决策。
      2. 点击 SAML 元数据 下的链接下载元数据文件。使用下载的元数据文件在 SaaS 应用程序服务器上配置 SSO。
         • 您可以复制 登录 URL 下的 SSO 登录 URL，并在 SaaS 应用程序服务器上配置 SSO 时使用此 URL。
         • 您还可以从 证书 列表中下载证书，并在 SaaS 应用程序服务器上配置 SSO 时使用该证书。
8. 点击 保存，然后点击 完成。
   点击 完成 后，应用程序将添加到“应用程序”页面。配置应用程序后，您可以从“应用程序”页面编辑或删除应用程序。为此，请点击应用程序上的省略号按钮并相应地选择操作。
   • 编辑应用程序
   • 删除

删除应用程序时自动清理路由条目

• 删除未引用的条目 - 如果与已删除应用程序关联的路由条目（FQDN 或应用程序域）未被任何其他应用程序引用，Secure Private Access 会自动将其从路由表中删除。
• 保留共享条目 - 如果路由条目被多个应用程序使用，删除其中一个应用程序不会删除共享条目。只要至少有一个活动应用程序引用该条目，该条目就会保留在路由表中。
• 无追溯性删除 - 路由条目仅作为应用程序删除的一部分进行评估和删除。除非确认现有条目未被任何应用程序使用，否则不会追溯性删除。