场景 1

Last published : Nov 03, 2026

此场景介绍如何为通过 Access Gateway 访问的外部用户启用应用程序保护。

配置自适应身份验证。
根据您的网络位置配置自适应访问，
1. 登录到 Citrix Cloud 并导航到网络位置。
2. 单击添加网络位置。
  
  此时将显示添加网络位置屏幕。
3. 在位置名称字段中，输入相关位置名称。
4. 在公共 IP 地址范围字段中，输入您要视为内部网络的网络 IP 地址或子网。
5. 在位置标签字段中，输入 location_internal。有关位置标签的更多信息，请参阅位置标签。
6. 在选择网络连接类型下，选择内部。
  
  如果您从 IP 地址在选择网络连接类型设置下配置为内部的设备登录到云商店，则该连接被视为内部连接。
配置 Broker 访问策略规则

对于每个交付组，默认创建两个代理访问策略。一个策略用于通过访问网关的连接，另一个策略用于直接连接。您只能为通过访问网关（即外部连接）的连接启用应用程序保护。使用以下步骤配置代理访问策略规则：
1. 安装 Citrix PowerShell SDK 并连接到云 API，如 Citrix 博客 Citrix Cloud PowerShell 自动化入门中所述。
2. 运行命令 Get-BrokerAccessPolicyRule。
  
  将显示所有现有交付组的所有代理访问策略列表。
3. 找到您要更改的交付组的 DesktopGroupUid。
4. 使用 DesktopGroupUid 运行以下命令以获取适用于该交付组的策略。至少有两个策略，一个策略的 AllowedConnections 包含 ViaAG，另一个策略包含 NotViaAG。
  
  Get-BrokerAccessPolicyRule -DesktopGroupUid 15
  
  在屏幕截图中，您会看到两个策略：
  - App Protection_AG - AllowedConnections 包含 ViaAG，这是通过访问网关连接的策略
  - App Protection_Direct – AllowedConnections 包含 NotViaAG，这是不通过访问网关连接的策略
仅为外部连接启用应用程序保护策略，并使用以下命令禁用内部连接的策略：
- Set-BrokerAccessPolicyRule "App Protection_AG" -IncludedSmartAccessFilterEnabled $true -IncludedSmartAccessTags Workspace:LOCATION_internal -AppProtectionScreenCaptureRequired $false -AppProtectionKeyLoggingRequired $false
- New-BrokerAccessPolicyRule "App Protection_AG_Exclude" -ExcludedsmartAccessFilterEnabled $true -ExcludedSmartAccessTags Workspace:LOCATION_internal -AppProtectionScreenCaptureRequired $true -AppProtectionKeyLoggingRequired $true -DesktopGroupUid 15 -AllowedConnections ViaAG -AllowedProtocols HDX, RDP
- Remove-BrokerAccessPolicyRule "App Protection_Direct”
验证：

退出 Citrix Workspace 应用程序并重新登录。从外部连接启动受保护的资源。您会看到应用程序保护策略已应用。从内部连接（即在第一步中配置的 IP 地址范围内的设备）启动同一资源。您会看到应用程序保护策略已禁用。