集成解决方案的先决条件

Last published : Oct 24, 2026
为确保 Citrix Workspace™ 应用程序与 Chrome Enterprise Premium 之间的最佳集成，必须满足以下先决条件。成功完成这些先决条件后，从 Citrix Workspace 应用程序或基于 Web 的用户界面启动应用程序时，体验将更加高效和无缝。
先决条件大致分为以下几类。
Related information
与 谷歌 Chrome 企业高级版 集成

许可证、应用程序版本和扩展

  • Chrome Enterprise Premium 许可证：确保您拥有通过 Citrix Cloud Platform License (CPL) 计划获得的有效 Chrome Enterprise Premium 许可证。
  • Citrix Workspace 应用程序 (CWA) 版本：
    • Windows：2025.07 及更高版本
    • macOS：2025.08 及更高版本
    • ChromeOS: 25.7.0.25 及更高版本
    注意：
    Citrix Workspace app 对于此解决方案是可选要求。
  • Citrix Endpoint Analysis (EPA) 客户端版本：
    • Windows: 25.9.1.9 及更高版本
    • macOS: 25.10.3 及更高版本
    注意：
    我们建议以管理员模式安装 Windows EPA 客户端，以支持定期设备状态扫描。此外，必须在设备状态 设置 页面下启用定期设备状态扫描。有关详细信息，请参阅 设备的定期扫描。
  • Chrome 浏览器版本：端点必须使用最新版本的 Google Chrome。
  • 操作系统：Windows、macOS 和 ChromeOS。

Google 管理控制台

  • Google 客户 ID：从 Google 管理控制台获取您的 Google 客户 ID。此 ID 是配置 Google 服务和集成的必需项。您可以通过 Google 管理控制台中的 帐户 > 帐户设置 检索您的客户 ID。
  • 在 Google 管理控制台中创建自定义角色：为了让客户加入 Chrome Enterprise Premium (CEP) 并启用 Google Chrome 集成，管理员必须在 Google 管理控制台中创建自定义角色并分配相应的权限。有关详细信息，请参阅 管理员角色和权限。
  • 限制 DevTools 扩展：必须禁用用于强制安装扩展的 Chrome DevTools，以防止敏感数据泄露。这是 Google 管理控制台中的默认选项。

安全专用访问服务

  • IPv6 端点限制：Citrix Secure Private Access 服务与 Google 云端点集成时，可能会接收来自具有 IPv6 地址的最终用户设备的流量。目前，Secure Private Access 的地理位置和网络位置访问策略不支持 IPv6。
    因此，对于具有 IPv6 地址的最终用户设备，包含地理位置或网络位置条件的访问策略可能会失败。不利用此类条件的其他访问策略适用于启用 IPv4 和 IPv6 的最终用户设备。
  • CEP 的访问限制现在在 Google 管理控制台中配置：以前在 Secure Private Access 控制台中配置的访问限制仅适用于 Citrix Enterprise Browser。当 Google Chrome 是企业浏览器时，访问限制必须在 Google 管理控制台中配置为策略和规则。
    • 策略在 Google 管理控制台 > 设备 > Chrome > 设置中配置。这些设置允许您管理浏览器设置，例如阻止 JavaScript 和允许打印机列表。
    • 规则在 Google 管理控制台 > 规则中配置。这些规则是与 DLP 相关的高级设置，例如添加水印、阻止下载包含社会安全号码的文件以及 URL 过滤。
    有关在 Google Workspace 管理控制台中创建策略和规则的详细信息，请参阅以下主题：
    • 为 Chrome Enterprise 设置 Chrome Enterprise 连接器策略
    • 数据保护规则

谷歌浏览器

托管的 Chrome 配置文件：所有最终用户都必须使用托管配置文件访问 Chrome。托管配置文件可确保在用户设备上强制执行 Chrome 策略、扩展程序和安全设置。

管理用户

为了实现无缝集成，Citrix Secure Private Access 中配置的用户与 Google Identity（目录）之间必须存在关联。这可确保只有授权用户才能访问其分配的应用程序。支持以下用户目录进行集成：
  • 活动目录
  • Microsoft Entra ID（以前称为 Azure 活动目录）

强制 - 填充用户的电子邮件地址字段

Google Identity 要求填充电子邮件地址字段。为此，Secure Private Access 使用的目录中的用户对象必须具有以下之一：
  • 一个电子邮件地址，其域部分已在 Google 管理控制台中配置和验证。例如，电子邮件地址为 alice@example.com 的 Alice 在 Google Identity 中映射为 alice@example.com。
  • 一个电子邮件地址，其域部分未在 Google 管理控制台中配置。例如，Bob 的电子邮件地址为 bob@example.internal.net，该地址未在 Google 中配置。在这种情况下，他在 Google Identity 中映射为 bob@example.com，其中 example.com 是一个已验证的域。
  • 另一个目录字段，可在没有电子邮件的情况下用于域映射。典型方法是利用用户主体名称 (UPN)，无论是否进行域替换。例如，Charlie 的 UPN 为 charlie@ADdomain.com，并在 Google Identity 中映射为 charlie@example.com。
对于 Secure Private Access 目录和 Google 目录中电子邮件地址不匹配的用户，存在显著限制。有关详细信息，请参阅域映射注意事项 部分。

强制 - 填充用户组的电子邮件地址字段

与用户类似，Secure Private Access 使用的目录中的组对象必须具有以下之一：
  • 一个电子邮件地址，其域部分已在 Google 管理控制台中配置和验证。
  • 一个电子邮件地址，其域部分未在 Google 管理控制台中配置。
  • 另一个目录字段，可在没有电子邮件地址的情况下用于域映射。典型方法是利用通用名称 (CN)，并在 Google Directory 中附加相应的域。例如，CN 为 group1 的组在 Google Identity 中映射为 group1@example.com。

电子邮件地址缺失或不一致的域映射注意事项

用户：
如果用户的电子邮件地址在 Secure Private Access 目录中缺失，或者在 Secure Private Access 目录与 Google Identity 之间不一致，则适用以下注意事项：
  • 在 Secure Private Access 控制台中配置 Secure Private Access 策略时，没有电子邮件地址的用户将不可供选择。
  • 对于 Secure Private Access 目录和 Google 目录之间电子邮件地址不匹配的用户，Secure Private Access 策略将不起作用。
  • 这些用户不支持从云商店（使用 Citrix Workspace 应用程序或 Web 浏览器）启动 Web 或 SaaS 应用程序。
组：
如果组的电子邮件地址在 Secure Private Access 目录中缺失，或者与 Google Identity 不一致，则需要进行适当的 域映射配置，以确保 Secure Private Access 组级别策略正常工作。

将 Citrix Secure Private Access 中配置的用户目录与 Google Cloud 用户目录关联

您必须将 Citrix Secure Private Access 中配置的用户目录与 Google Cloud 目录关联。具体而言，支持以下用户目录：
  • 活动目录
  • 微软 Entra ID（以前称为 Azure 活动目录）
  • 奥克塔
请注意，用户目录关联必须定期进行，以确保应用程序访问得到适当的强制执行。关联仅需要最少数量的属性。

活动目录

对于 Active Directory，必须关联名称、电子邮件地址、对象全局唯一标识符 (objectGUID) 和安全标识符 (SID)。密码和所有其他属性无需与 Google Cloud 目录关联。
有关如何将您的 AD 与 Google Cloud 关联以在自定义架构 citrix-schema 下包含自定义 AD 字段的详细信息，请参阅 将 Google Cloud Identity 作为身份提供程序连接到 Citrix Cloud 和 Active Directory 用户帐户预配。

微软 Entra ID

您必须将 Microsoft Entra ID 与 Google Cloud 用户目录同步，以便在 Google 和 Microsoft 云平台之间进行用户和组管理。有关详细信息，请参阅 Microsoft Entra ID（以前称为 Azure AD）用户预配和单点登录。
配置同步时，您必须考虑以下要求：
  • 电子邮件地址： 所有用户和组都必须填写电子邮件地址字段。有关详细信息，请参阅管理用户。
  • objectId 属性映射： Entra ID 用户的 objectId 属性必须映射到 Google Directory。
    在 G-Suite 连接器配置中执行此映射：
    1. 在左侧菜单中，单击 管理 > 预配。
    2. 在新菜单中，单击 管理 > 属性映射。
    3. 单击 预配 Microsoft Entra ID 用户。
    4. 找到 objectId 的相应行。
      • 单击 编辑，然后在 目标属性 下选择 externalIds..value。
      • 验证生成的配置是否与以下屏幕截图匹配。
      属性映射
  • 单点登录： 单点登录 (SSO) 配置是可选的。您可以在 Google 目录中配置单独的密码，使用 Entra ID 配置 SSO，或者使用通过 Citrix Identity 的 Open ID Connect 配置 SSO。

奥克塔

您可以通过将 Okta 中的用户和组预配到 Google Cloud 用户目录（Cloud Identity / Google Workspace）中，来使用 Okta 作为身份源。预配后，与 Secure Private Access 的关联遵循与其他受支持目录相同的模型。只需要最少量的属性，并且所有用户和组都必须填写电子邮件地址字段。
有关从 Okta 预配到 Google 的详细信息，请参阅Okta 用户预配和单点登录。您可以按照相同的指南配置针对 Okta 的 SSO，或者参阅通过 Citrix Workspace 的 Open ID Connect。

谷歌云身份 (谷歌目录)

当 Google Cloud Identity 已经是您的身份提供商时，用户和组将本地驻留在 Google Cloud 目录中。无需进行目录关联或同步，因为没有单独的外部目录需要与 Google 进行协调。Google 是 Citrix Workspace 和 Chrome 托管配置文件的身份源。
注意：
Chrome Enterprise Premium 的设备姿态服务集成依赖于 OpenID Connect (OIDC) 流程，其中 Google Cloud 目录充当 Citrix Workspace 的依赖方。当 Google Cloud Identity 本身是底层 IdP 时，不支持该流程。因此，在此配置中无法使用设备姿态服务集成。

绕过 TLS 检查

为确保 Chrome Enterprise Premium 端点在采用 TLS 检查（或 SSL 检查）的网络上正常运行，您必须将以下主机名从检查中排除。
  • ingress.cloudproxy.app
  • securegateway.goog
  • *.securegateway.goog
此排除至关重要，因为许多 TLS 检查解决方案（例如 SSE 供应商或代理服务器）不完全支持 Chrome Enterprise Premium 使用的 HTTP CONNECT 方法，这可能导致流量突然中断。
此外，建议将以下主机名从 TLS 检查中排除，以避免潜在的最终用户性能问题和连接延迟。
  • safebrowsingrealtime.googleapis.com
  • secureconnect-pa.clients6.google.com
  • secureconnect-pa.mtls.clients6.google.com
  • secureconnect-pa.googleapis.com
  • chromereporting-pa.googleapis.com