无代理访问企业 Web 应用程序

工作原理

• 为已配置的企业 Web 应用程序添加新的 DNS 记录或修改现有 DNS 记录。
• IT 管理员为已配置的企业 Web 应用程序 FQDN 添加新的公共 DNS 记录或修改现有公共 DNS 记录，以将用户重定向到 Citrix Secure Private Access™ 服务。
• 当最终用户启动对已配置的企业 Web 应用程序的访问时，应用程序流量将被引导至 Citrix Secure Private Access 服务，该服务随后将代理对应用程序的访问。
• 请求到达 Citrix Secure Private Access 服务后，它会检查用户身份验证和应用程序授权，包括上下文访问策略检查。
• 验证成功后，Citrix Secure Private Access 服务会与部署在客户环境（本地或云中）的 Citrix Cloud Connector™ 设备通信，以启用对已配置企业 Web 应用程序的访问。

配置 Citrix Secure Private Access 以实现对企业 Web 应用程序的无代理访问

• 应用程序 FQDN
• SSL 证书 – 用于配置应用程序的公共证书
• 资源位置 – 安装 Citrix Cloud™ Connector 设备
• 访问公共 DNS 记录，以便使用 Citrix® 在应用程序配置期间提供的规范名称 (CNAME) 更新它。

1. 登录 Citrix Cloud 并选择 安全私有访问。
2. 单击 应用程序 > 应用程序配置，然后单击 添加应用程序。
3. 在选择模板部分中，单击跳过。模板仅适用于 SaaS 应用程序。
4. 在应用程序位置在哪里？中，选择在我的公司网络内部。
   • 选择在我的公司网络内部，适用于托管在组织专用网络基础设施内、防火墙后且仅通过内部网络连接访问的应用程序
   • 选择在我的公司网络外部（Google 连接器）： 适用于托管在组织专用网络基础设施外部的应用程序。流量通过 Google Cloud Connector 直接从用户路由到外部应用程序。
5. 在应用程序详细信息部分中输入以下详细信息，然后单击下一步。
   
   • 应用程序类型 – 选择应用程序类型（HTTP 或 HTTPS）。
     注意：
     对于 Chrome Enterprise Premium (CEP)，仅支持 HTTPS 企业 Web 和 SaaS 应用程序。不支持 HTTP 企业 Web 和 SaaS 应用程序。

   • 应用程序名称 – 应用程序的名称。
   • 应用程序描述 - 应用程序的简要描述。此描述将显示给商店中的用户。
   • 应用程序图标 – 单击更改图标以更改应用程序图标。图标文件大小必须为 128x128 像素。如果您不更改图标，则会显示默认图标。
     如果您不想显示应用程序图标，请选择 不向用户显示应用程序图标。
6. 选择 无代理访问 以使用户能够直接从客户端浏览器访问应用程序。输入以下详细信息。
   无代理访问 选项仅适用于企业 Web 应用程序。
   
   • URL – 后端应用程序的 URL。URL 必须采用 HTTPS 格式，并且管理员必须添加相应的 DNS 条目。
   • SSL 证书 – 从下拉菜单中选择现有 SSL 证书，或通过单击 添加新 SSL 证书 添加新 SSL 证书。
     • 仅支持公共或受信任的 CA 证书。
     • 必须上传完整的证书链。
     重要提示：
     • 管理员必须将证书直接上传到 Secure Private Access 控制台，因为 Secure Private Access 管理其自己的证书存储。有关详细信息，请参阅 在 Secure Private Access 控制台中管理证书。
     • 添加到 NetScaler® 控制台的证书不能再用于 Secure Private Access，因为证书在这两个系统之间不同步。

   • 相关域 – 相关域会根据您提供的 URL 自动填充。相关域有助于服务将 URL 识别为应用程序的一部分并相应地路由流量。您可以添加多个相关域。您可以将 SSL 证书绑定到每个相关域，这是可选的。
     注意：
     如果添加了重复的相关域，或者相关域也作为不同应用程序的 URL 添加，则会出现警告消息。为避免这些问题，请参阅 Web 和 SaaS 应用程序配置的最佳实践。

   • 导入 HAR – 您可以上传 HAR 文件以自动发现应用程序访问的域。查看发现的域并选择要添加到应用程序相关域配置中的域。这通过减少手动识别和配置相关域的需要来简化应用程序的入门。有关详细信息，请参阅 使用 HAR 文件发现相关域。
   • CName 记录 – 由 Secure Private Access 自动生成。此值必须输入到 DNS 中，才能启用对应用程序的无代理访问。
7. 在应用程序连接部分中，您可以定义应用程序相关域的路由，如果这些域必须通过 Citrix Connector™ Appliance 外部或内部路由。
   
   • 路由类型 - 选择以下选项之一：
     • 内部 – 绕过代理 - 域流量通过 Connector Appliance™ 路由，绕过在 Connector Appliance 上配置的客户 Web 代理。
     • 通过连接器内部 - 应用程序可以是外部的，但流量必须通过 Connector Appliance 流向外部网络。
     • 外部 – 流量直接流向互联网。
   • 主要和辅助资源位置 - 管理员可以通过配置辅助资源位置或使用第一个可用选项来确保应用程序即使在中断期间也具有高可用性。
     • 主要资源位置： 选择托管应用程序的主要资源位置。或者，管理员可以在主要资源位置中选择第一个可用选项。
     • 第一个可用： 第一个可用选项可确保使用正常工作的资源位置。选择第一个可用后，系统会自动将流量路由到第一个可用位置。这可确保持续的应用程序访问，无需手动干预。例如，如果 ResourceLocation1 不可用但 ResourceLocation2 可访问，则默认选择 ResourceLocation2 作为应用程序的前端。
     • 辅助资源位置 - 仅当明确指定了主要资源位置时，辅助资源位置选项才可用。如果主要资源位置因 Connector Appliance 或数据中心故障等原因变得不可用，应用程序将故障转移到指定的辅助资源位置。即使应用程序托管在另一个数据中心，辅助资源位置也可以充当故障转移。
     您还可以为每个相关域设置主要和辅助资源位置，或选择第一个可用选项。
     1. 单击“相关域”表“操作”列中的编辑图标。
     2. 设置主要和辅助资源位置或选择第一个可用选项。
     
     注意：
     • 设置备份资源位置和使用“First Available”选项功能处于预览阶段。
     • 删除应用程序时，其路由条目会自动删除。有关详细信息，请参阅删除应用程序时自动清理路由条目。

8. 在“应用程序连接”部分中，如果应用程序的相关域必须通过 Citrix Connector™ Appliance 外部或内部路由，则可为其定义路由。
   
9. 保持一致连接 - 选中此复选框可启用与同一 Connector Appliance 的一致连接。有关一致连接的详细信息，请参阅保持一致连接。
   注意：
   选择“保持一致连接”选项时，应用程序的路由类型必须在“应用程序连接”部分中设置为“通过连接器内部”。

10. 设置首选登录方法。
    注意：
    单点登录选项不适用于 Citrix Secure Access with Chrome Enterprise (CEP)。
    1. 在“单点登录”部分中，选择要用于应用程序的首选单点登录类型，然后单击“保存”。提供以下单点登录类型。
       
       • 基本 – 如果您的后端服务器向您发出 basic-401 质询，请选择“基本 SSO”。您无需为“基本”SSO 类型提供任何配置详细信息。
       • Kerberos – 如果您的后端服务器向您发出 negotiate-401 质询，请选择“Kerberos”。您无需为“Kerberos”SSO 类型提供任何配置详细信息。
       • 基于表单 – 如果您的后端服务器向您显示 HTML 表单以进行身份验证，请选择基于表单。输入基于表单 SSO 类型的配置详细信息。
       • SAML - 选择 SAML 以用于基于 SAML 的 Web 应用程序 SSO。输入 SAML SSO 类型的配置详细信息。
       • 不使用 SSO – 当您不需要在后端服务器上验证用户身份时，请使用不使用 SSO 选项。选择不使用 SSO 选项后，用户将被重定向到应用程序详细信息部分下配置的 URL。
       基于表单的详细信息：
       在单点登录部分输入以下基于表单的配置详细信息，然后单击保存。
       
       • 操作 URL - 键入已完成的表单将提交到的 URL。
       • 登录表单 URL – 键入显示登录表单的 URL。
       • 用户名格式 - 选择用户名的格式。
       • 用户名表单字段 – 键入用户名属性。
       • 密码表单字段 – 键入密码属性。
       SAML：
       在单点登录部分输入以下详细信息，然后单击保存。**
       
       • 签名断言 - 对断言或响应进行签名可确保当响应或断言传递给信赖方 (SP) 时消息的完整性。您可以选择断言、响应、两者、 或 无。
       • 断言 URL – 断言 URL 由应用程序供应商提供。SAML 断言将发送到此 URL。
       • 中继状态 – 中继状态参数用于标识用户登录并定向到信赖方联合服务器后访问的特定资源。中继状态为用户生成一个 URL。用户可以单击此 URL 登录到目标应用程序。
       • 受众 – 受众由应用程序供应商提供。此值确认 SAML 断言是为正确的应用程序生成的。
       • 名称 ID 格式 – 选择支持的名称标识符格式。
       • 名称 ID – 选择支持的名称 ID。
       1. 在**高级属性（可选）**中，添加有关用户的其他信息，这些信息将发送到应用程序以进行访问控制决策。
       2. 单击SAML 元数据下的链接下载元数据文件。使用下载的元数据文件在 SaaS 应用程序服务器上配置 SSO。
          • 您可以复制登录 URL下的 SSO 登录 URL，并在 SaaS 应用程序服务器上配置 SSO 时使用此 URL。
          • 您还可以从证书列表中下载证书，并在 SaaS 应用程序服务器上配置 SSO 时使用该证书。
11. 单击保存，然后单击完成。应用程序将添加到“应用程序”页面。配置应用程序后，您可以从“应用程序”页面编辑或删除应用程序。为此，请单击应用程序上的省略号按钮并相应地选择操作。
    • 编辑应用程序
    • 删除

删除应用程序时自动清理路由条目

• 删除未引用的条目 - 如果与已删除应用程序关联的路由条目（FQDN 或应用程序域）未被任何其他应用程序引用，Secure Private Access 会自动将其从路由表中删除。
• 保留共享条目 - 如果路由条目被多个应用程序使用，删除其中一个应用程序不会删除共享条目。只要至少有一个活动应用程序引用该条目，该条目就会保留在路由表中。
• 无追溯性删除 - 路由条目仅作为应用程序删除的一部分进行评估和删除。除非确认现有条目未被任何应用程序使用，否则不会追溯性删除。

使用无代理访问应用程序的设备状态服务