Citrix 企业浏览器到 Chrome 企业高级版迁移

Last published : Oct 24, 2026
从 Citrix Enterprise Browser (CEB) 到 Citrix Enterprise Premium (CEP) 的过渡标志着 Citrix Secure Private Access 在提供安全、自适应、高性能的零信任网络访问 (ZTNA) 以支持所有应用程序方面迈出了重要一步。本主题为 IT 管理员和 Citrix 专业人员提供了详细信息，以规划和执行成功的逐步迁移，确保最大限度地减少中断并优化用户体验。
这种分阶段迁移方法允许组织在过渡期间通过并行运行两种浏览器解决方案来保持业务连续性。通过分阶段迁移，客户可以验证现有应用程序和工作流与 Chrome Enterprise Premium 的兼容性。
CEB 到 CEP 迁移涉及以下关键步骤：

配置 Chrome 企业高级版

对于现有的 Secure Private Access 客户，Secure Private Access 控制台中的迁移向导可促进 CEP 预配、为用户安装扩展，并提供逐步应用程序和用户迁移的路径。
  1. 在 Secure Private Access 管理控制台中，导航到 Chrome Enterprise Premium > 配置。
    您可以查看 Google 集成详细信息。
    Google 集成详细信息1Google 集成详细信息2
  2. 点击 设置 Google CEP。
  3. 在 Google WorkSecure Private Access 控制台中分配 Citrix 服务帐户详细信息。有关详细信息，请参阅 设置 Google Chrome 集成。
  4. 点击 保存 并关闭。
Chrome 企业高级版 的预配开始。

没有电子邮件的用户组的策略丰富

Chrome Enterprise Premium 预配成功完成后，将自动触发针对访问策略和会话策略的策略更新过程。
此更新过程执行以下操作：
  • 审查现有策略（访问和会话）。
  • 检查其规则中没有电子邮件的用户和用户组。
  • 查询 CC Directory 服务以检索其电子邮件，并将其添加到策略中。
有关详细信息，请参阅 没有电子邮件地址的用户组的域映射。

用于 CEP 兼容性分析的 Secure Private Access 配置解析器

以下关键策略元素在 CEP 中不受直接支持：
  • 应用程序
    • 单点登录
  • 访问策略
    • 允许受限访问
    • 混合允许/拒绝操作（HTTP/HTTPS 与 TCP/UDP）
    • 存储 URL 条件
    • 桌面/移动条件
  • 会话策略
    • 存储 URL 条件
    • 桌面/移动条件
  • 安全组
  • Web 过滤
在将应用程序从 CEB 迁移到 CEP 之前，必须解决这些不兼容问题。
不兼容性识别过程由 Secure Private Access 配置解析器 <parse_citrix_spa_configuration.py> 促进。此工具分析 Citrix Secure Private Access 配置导出，以在迁移到 CEP 期间识别兼容性问题，例如以下问题。
  • 与 CEP 不兼容的应用程序
  • 与 CEP 不兼容的访问策略
  • 已配置的安全组
  • Web 过滤配置
注意：
Citrix Secure Private Access 与 CEP 的集成不支持安全组和 Web 过滤。
分析后，该工具会根据 CEP 部署是否已在整个组织中完成（所有应用程序的迁移）提供不同的建议。

如何使用该工具

  1. 从以下位置下载脚本：用于解析安全专用访问配置的 Python 脚本。
  2. 在 Secure Private Access 管理控制台中，导航到设置 > 全局配置 > 创建报告，然后将现有 Secure Private Access 配置导出为 JSON 格式。
  3. 下载 Python 脚本并使用导出的报告作为输入运行脚本。您必须安装 Python 3 才能运行此脚本。
    # python3 parse_citrix_spa_configuration.py <path_to_spa_report>
    该脚本可以在完全迁移之前或之后使用，提供不同的建议操作。
注意：
该脚本不提供不兼容会话策略的建议。
示例报告：
% python3 parse_citrix_spa_configuration.py CitrixSpaConfigurationDump.json

Has the CEP rollout to the entire organization been completed?

Enter yes/no (default: no): no

CEP INCOMPATIBLE APPLICATIONS (7 out of 185):

1. Application_1 ⚠️

   Reason: Has SSO configuration other than 'Don't use SSO'

2. Application_2 ⚠️

   Reason: Has SSO configuration other than 'Don't use SSO'

....

--------------------------------------------------

Mitigation guidance:

--------------------------------------------------

Has SSO configuration other than 'Don't use SSO':

  • Navigate to the application's SSO settings

  • Change the SSO setting to 'Don't use SSO'

==================================================

CEP INCOMPATIBLE POLICIES (15 out of 136):

1. Access_policy_1 ⚠️

   Reasons: Contains user(s)/group(s) without email

2. Access_policy_2 ⚠️

   Reasons: Mixed actions (HTTP/HTTPS vs TCP/UDP), Contains user(s)/group(s) without email

...

--------------------------------------------------

Mitigation guidance:

--------------------------------------------------


Platform filter (Desktop/Mobile):

  • Remove the unsupported Desktop/Mobile condition

Workspace URL:

  • Remove the unsupported Workspace URL rule


Access with restrictions:

  • Configure access controls without using restrictions


Mixed actions (HTTP/HTTPS vs TCP/UDP):

  • Ensure both actions have the same value

  • If that's not possible, create separate policies for HTTP/HTTPS and TCP/UDP applications


Policy contains user(s)/group(s) without email

  • Add email to the user(s)/group(s) without email and update the policy

完全迁移到 CEP 之前的配置更改

在启动到 CEP 的完全迁移之前，Secure Private Access 管理员必须手动应用以下配置更改。这些更新可确保所有应用程序和策略的兼容性和就绪性。

单点登录配置更改

为确保与 CEP 兼容，必须更新所有现有应用程序的单点登录 (SSO) 配置。Secure Private Access 管理员必须执行以下步骤：
  1. 导航到应用程序配置页面（Secure Private Access > 应用程序配置）。
  2. 编辑应用程序以修改单点登录配置。
    在“单点登录”部分中，在“您希望为 Web 应用程序设置使用哪种单点登录类型？”下，选择“不使用 SSO”。
重要提示：
  • 此更新是强制性的，因为 CEP 中已删除 SSO 步骤。通过将应用程序设置为“不使用 SSO”，您可以确保持续的功能并与新的迁移流程保持一致。
  • 如果未按说明更改单点登录配置，则在迁移到 CEP 后，应用程序将无法访问。

访问策略和会话策略更新

为确保访问策略与 CEP 标准兼容，需要对访问策略和会话策略进行特定更新。Secure Private Access 管理员必须执行以下步骤：
  1. 导航到 Secure Private Access > 策略 > 访问策略。
  2. 单击相关策略上的“编辑”并修改操作设置。
    1. 在策略中，导航到“策略规则”部分，单击策略规则行中的省略号图标，然后单击“编辑”。
    2. 导航到“操作”页面并更改“操作”设置。

跨应用程序标准化操作

为 HTTP/HTTPS 和 TCP/UDP 应用程序配置操作时，请确保以下事项：
  • 在两个部分中都选择了相同的操作，即允许访问或拒绝访问。
  • 如果当前为 HTTP/HTTPS 应用程序启用了允许受限访问选项，则必须将其移除，因为 CEP 不支持此设置。
  • 根据您预期的策略行为，将允许受限访问替换为允许访问或拒绝访问。

策略更新的应用程序要求

未分配应用程序的访问策略无法更新。要修改这些策略，请首先将应用程序分配给策略。
重要提示：
如果未执行这些更新，则与包含混合操作的访问策略关联的应用程序将无法访问，或者拒绝操作设置可能会被忽略。

Web 过滤策略更新（可选）

为了与新的 CEP 迁移标准保持一致，需要更新 Secure Private Access 中的 Web 过滤设置。执行以下步骤以更新 Web 过滤配置：
  1. 导航到 Secure Private Access > 设置 > 未经批准的网站。
  2. 删除当前在此部分下列出的所有网站和远程浏览器隔离 (RBI) 条目。
  3. 删除这些条目后，禁用位于页面顶部的Web 过滤已启用切换开关。
在迁移到 CEP 后，这些配置不再相关。
重要提示：
如果这些步骤未完成，则在完全迁移后对系统操作没有影响。但是，未授权网站页面将不可见。

其他策略调整（可选）

审查并删除未使用的条件：
作为迁移和策略优化过程的一部分，建议审查访问和会话策略，以查找可能不再适用的任何条件。此类条件的示例包括：
  • 工作区 URL
  • 桌面和移动选项
如果这些条件与您当前的环境或业务需求不相关，则可以将其删除。
注意：
如果未进行这些策略调整，则对系统操作没有影响。

安全组清理（可选）

审查 Secure Private Access 中的安全组配置。
导航到 Secure Private Access > 应用程序 > 安全组以评估任何现有条目。
迁移后，安全组配置将不再可用。因此，当前在此选项卡下显示的任何条目都可以删除，因为它们将不再与迁移后的环境相关。
注意：
如果未更新此配置，则对系统没有影响。删除这些条目是可选的，有助于维护精简的环境，但对于持续运行并非必需。

向组织部署 CEP（完全迁移）

完成前面提到的步骤后，在迁移应用和用户页面中点击部署到组织。这是迁移过程的最后阶段。
部署到组织
重要提示：
部署完成后，CEP 将成为默认的企业浏览器。无法回滚到 CEB，并且不兼容的设置将在 Secure Private Access 管理控制台中隐藏。

迁移过程摘要

请按照以下步骤将应用程序从 CEB 迁移到 CEP：
  1. 预配 Chrome 企业高级版。
  2. 为特定用户组迁移一个应用程序。
    1. 为组添加电子邮件信息（如果不存在）。
    2. 修复任何不兼容问题。
    3. 将应用程序迁移到 CEP。
    4. 验证应用程序是否可以通过 CEP 访问（直接、通过 CWA 和 WSUI）。
  3. 为用户和用户组添加电子邮件信息。
  4. 迁移更多应用程序、用户和用户组。
  5. 将 CEP 推广到整个组织（完全迁移）。
  6. 修复任何遗留的不兼容问题。
    1. 再次运行脚本，在提示中指出 CEP 推广已完成。
    2. 修复不兼容问题。
    3. 验证应用程序是否可通过 CEP 访问（直接访问、通过 CWA 和 WSUI 访问）。

电子邮件丰富化过程中的挑战

电子邮件丰富化任务可能很复杂，因为它通常涉及多个团队之间的协作，以将电子邮件分配给跨多个域的各种组。域映射功能有助于简化此过程。有关详细信息，请参阅没有电子邮件地址的用户组的域映射。

最佳实践

  1. 在全面推广之前，先对一小部分用户组进行试点迁移。
  2. 利用 Citrix 的官方迁移工具和文档。
  3. 维护所有更改和配置的清晰文档。
  4. 制定回滚计划，以防出现严重问题。

结论

从 CEB 迁移到 CEP 可通过增强的功能使您的 Citrix 环境现代化。精心规划、全面测试和积极的用户参与可确保顺利过渡到 CEP。