设备姿态服务与 Chrome Enterprise 设备信任连接器集成

Last published : Oct 24, 2026
设备姿态服务与 Chrome Enterprise 设备信任连接器集成。通过此集成，Citrix® 管理员可以将设备姿态结果共享给 Google Workspace，使 Chrome 能够根据受管设备的姿态强制执行上下文感知访问和数据丢失防护 (DLP) 策略。
Citrix 共享的姿态信号可由 Chrome 使用，以对以下各项做出访问决策：
  • 受管 Chrome 浏览器
  • 受管 Chrome 配置文件
有关 Chrome 可以从第三方连接器接收的信号列表，请参阅 Google 的端点验证文档。
注意：
仅当设备姿态服务处于全局模式时，才支持与 Chrome Enterprise 设备信任连接器集成。

支持的平台和部署

项目 支持
支持的平台 Windows，EPA 客户端版本 26.5.1.7 或更高版本
部署 带有 Citrix Enterprise Premium 的安全私有访问服务
安全私有访问混合

先决条件

  • 一个具有设备姿态服务授权并已配置的 Citrix Cloud 租户。
  • 一个具有 Chrome Enterprise Premium (CEP) 许可证和访问 Google 管理控制台的超级管理员权限的 Google Workspace 租户。
  • Chrome Enterprise Premium 已为客户部署。
  • 在 Google 管理控制台中，上下文感知访问访问级别设置为“开”。有关详细信息，请参阅应用推荐的访问级别。

配置

Citrix 设备姿态服务与 Chrome Enterprise 设备信任连接器的集成涉及以下高级步骤：
  1. 配置 Chrome Enterprise Premium 和设备姿态服务
  2. 将 Citrix 设备姿态服务与 Chrome 设备信任连接器集成
  3. 为 Citrix 信号定义上下文感知规则

配置 Chrome Enterprise Premium 和设备姿态服务

在与 Chrome 集成之前，请确保已完成以下配置：
  1. 在托管的 Windows 端点上部署和配置 Chrome Enterprise Premium (CEP)。有关详细信息，请参阅与 Google Chrome Enterprise Premium 集成。
  2. 配置设备姿态服务策略，以生成您打算与 Chrome 共享的信号（例如，操作系统版本、防病毒状态、地理位置或授权国家/地区、自定义检查）。有关详细信息，请参阅配置设备姿态策略。
  3. 确认您的 Google Workspace 租户拥有 Chrome Enterprise Premium (CEP) 许可，这是使用设备信任连接器和上下文感知访问规则所必需的。有关详细信息，请参阅许可证、应用版本和扩展。

将 Citrix 设备姿态服务与 Chrome 设备信任连接器集成

要将 Citrix 设备姿态服务与 Chrome 设备信任连接器集成，您必须在 Google 管理控制台中启用第三方连接器。
  1. 以超级管理员身份登录 Google 管理控制台。
  2. 导航到设备 > 移动设备和端点 > 设置 > 第三方集成。
    集成
  3. 在合作伙伴列表中找到 Citrix，然后单击管理。
  4. 按照屏幕上的提示授权您的 Citrix Cloud 租户与 Google Workspace 之间的连接。
    授权连接
    握手成功后，Citrix 的集成状态将变为已连接。
    连接状态
有关详细信息，请参阅设置第三方合作伙伴集成。

为 Citrix 信号定义上下文感知规则

Google Workspace 中的上下文感知访问和 DLP 规则是使用通用表达式语言 (CEL) 编写的。Citrix 姿态数据在 device.vendors["Citrix"].data[...] 命名空间下公开。
有关详细信息，请参阅以下主题：

Citrix 信号密钥

以下密钥由 Citrix 设备姿态服务发布到 Chrome 设备信任连接器：
密钥 描述 示例值
OVERALL_OUTCOME 设备姿态服务为端点返回的聚合姿态结果。 合规、不合规、拒绝
\^ \^ 注意： 值区分大小写。请完全按照上面列出的内容输入。
OVERALL_OUTCOME_CONTEXT_NAME 驱动整体结果的设备姿态服务策略或上下文的名称。 AUTHORIZED_COUNTRY, AV_STATUS, OS_VERSION, Google-DTC-Demo-Deny, (自定义策略名称)
思杰-设备ID 在 Citrix Device Posture 服务中注册的端点的唯一标识符。 6c813458-c27b-4299-87c6-55832a95ae7e
思杰-事务ID 生成信号的姿态评估事务的唯一标识符。 75b1e3f6-4224-484a-8c47-9a35c4e5eabd
注意：
  • 确切的上下文名称取决于您在 步骤 1 中在 Device Posture 服务中定义的策略。
  • Citrix-DeviceId 和 Citrix-TransactionId 是关联标识符。它们不用于策略决策。在 Citrix Device Posture 控制面板上进行故障排除时，可以使用它们来查找产生给定结果的确切扫描。

Citrix 的通用表达式语言 (CEL) 示例

示例 1 — 当 Citrix 报告不合规时阻止访问：
当 Citrix 总体结果为“不合规”时，拒绝访问 Google Workspace 应用。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant"
在上下文感知访问级别中使用此表达式，并将操作设置为“阻止”。
示例 2 — 仅当违规由未经授权的国家/地区引起时才阻止：
将结果与上下文名称结合，将规则范围限定为地理违规。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant" && device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "AUTHORIZED_COUNTRY"
示例 3 — 仅当 Citrix 报告合规时才允许访问：
仅当设备姿态服务明确返回合规结果时才授予访问权限（故障关闭）。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Compliant"
示例 4 — DLP：阻止不合规设备上的文件下载：
在 Google Drive 的 DLP 规则中，将以下条件附加到“下载/打印/复制”触发器，以阻止不合规端点的数据外泄：
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant"
示例 5 — 具有多个 Citrix 上下文的分层策略：
当姿态因防病毒或操作系统版本失败时阻止，但允许其他不合规原因由单独的、限制较少的规则处理。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant" && ( device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "AV_STATUS" || device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "OS_VERSION" )
示例 6 — 阻止来自指定设备姿态服务策略的明确拒绝结果：
匹配特定设备姿态服务策略产生的精确拒绝结果（例如，概念验证期间使用的 Google-DTC-Demo-Deny 策略）：
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Deny" && device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "Google-DTC-Demo-Deny"
示例 7 — 将 Citrix 设备状态与 Google 原生信号结合：
Citrix 信号可以与内置的 Chrome / 端点验证属性结合使用。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Compliant" && device.encryption_status == ENCRYPTED && device.os_version.major >= 10

应用规则

  1. 在 Google 管理控制台中，转到“安全 > 访问和数据控制 > 情境感知访问（或 DLP 的数据保护）”。
  2. 创建“访问级别”（或“DLP 规则”），并将 CEL 表达式粘贴到“高级/条件”编辑器中。
    DPS-DTC 连接器访问级别
  3. 将访问级别分配给目标 Google Workspace 应用（例如 Drive、Gmail 等）以及相关的组织单位或群组。
  4. 保存并推出。等待几分钟以完成传播。

验证集成

  1. 从运行 CEP 的受管 Windows 端点，故意使设备状态服务扫描失败（例如，从未经授权的国家/地区登录或禁用防病毒软件）。
  2. 尝试从该端点上的 Chrome 浏览器或配置文件访问受保护的 Google Workspace 应用。
  3. 确认 Chrome 强制执行您的 CEL 规则定义的操作（阻止、警告或允许）。
  4. 在“报告 > 审计和调查 > 访问透明度/规则日志事件”下查看审计日志，以确认 Citrix 信号已评估。

故障排除

症状 可能原因 解决方案
集成状态保持“未连接” OAuth/管理员同意未完成 使用超级管理员帐户重新运行步骤 2
规则不匹配 CEL 密钥名称拼写错误或设备姿态服务中未启用策略 在管理控制台规则日志事件中验证密钥。确认设备姿态服务中的策略处于活动状态
端点上缺少信号 CEP 未安装或用户未登录 验证端点上的 CEP 部署和设备姿态服务注册
意外的不合规或拒绝 另一个设备姿态服务策略失败 检查 OVERALL_OUTCOME_CONTEXT_NAME 以识别失败的检查
注意：
如果您需要调查特定的访问决策，请从 Chrome / Workspace 审计日志中捕获 Citrix-DeviceId 和 Citrix-TransactionId，并在 Citrix Device Posture 控制面板上查找它们，以查看完整的扫描结果、策略命中和时间戳。

使用 Citrix-DeviceId 和 Citrix-TransactionId 进行故障排除

当 Chrome 访问或 DLP 决策需要调查时：
  1. 打开 Google 管理控制台 > 报告 > 审计和调查 > 规则日志事件（或访问透明度日志） 并找到相关事件。
  2. 复制事件负载中报告的 Citrix-DeviceId 和 Citrix-TransactionId 值。
  3. 登录到 Citrix Cloud > Device Posture > 控制面板。
  4. 按设备 ID 搜索以查看端点的注册、操作系统和最近的扫描历史记录。
  5. 按事务 ID 搜索以查看确切的扫描实例 — 包括评估了哪些策略、收集了哪些信号以及发送到 Chrome 的最终 OVERALL_OUTCOME 和 OVERALL_OUTCOME_CONTEXT_NAME。
这种关联使您能够确认意外的 Chrome 决策是由 Citrix 姿态结果、CEL 表达式还是 Workspace 策略绑定引起的。

限制

每个主机最多可将 10 个 Google 资源 ID 从 Citrix Device Posture 服务推送到 Chrome 设备信任连接器。
要将设备姿态信号推送到每个主机超过 10 个 Google 资源 ID，请联系 Citrix 支持以请求扩展。