Technischer Sicherheitsüberblick

Das folgende Diagramm zeigt die Komponenten in einer Citrix DaaS Standard für Azure (ehemals Citrix Virtual Apps and Desktops Standard für Azure)-Bereitstellung. Dieses Beispiel verwendet eine VNet-Peering-Verbindung.

Mit Citrix DaaS für Azure werden die Virtual Delivery Agents (VDAs) des Kunden, die Desktops und Apps bereitstellen, sowie Citrix Cloud Connectors in einem Azure-Abonnement und -Mandanten bereitgestellt, die von Citrix verwaltet werden.

HINWEIS:

Dieser Artikel bietet einen Überblick über die Sicherheitsanforderungen für Kunden, die Citrix DaaS für Azure mit einem von Citrix verwalteten Azure-Abonnement bereitstellen. Eine architektonische Übersicht über eine Bereitstellung von Citrix DaaS für Azure mit einem vom Kunden verwalteten Azure-Abonnement, einschließlich Sicherheitsinformationen, finden Sie unter Referenzarchitektur: Virtual Apps and Desktops Service – Azure.

Verantwortung von Citrix

Azure-Abonnement und Azure Active Directory

Citrix ist für die Sicherheit des Azure-Abonnements und des Azure Active Directory (AAD) verantwortlich, die für den Kunden erstellt werden. Citrix gewährleistet die Mandantenisolation, sodass jeder Kunde sein eigenes Azure-Abonnement und AAD besitzt und eine Querverbindung zwischen verschiedenen Mandanten verhindert wird. Citrix beschränkt den Zugriff auf das AAD auch nur auf das Citrix DaaS für Azure- und Citrix-Betriebspersonal. Der Zugriff von Citrix auf das Azure-Abonnement jedes Kunden wird geprüft.

Kunden, die nicht in die Domäne eingebundene Kataloge verwenden, können das von Citrix verwaltete AAD als Authentifizierungsmittel für Citrix Workspace nutzen. Für diese Kunden erstellt Citrix Benutzerkonten mit eingeschränkten Berechtigungen im von Citrix verwalteten AAD. Weder die Benutzer noch die Administratoren der Kunden können jedoch Aktionen im von Citrix verwalteten AAD ausführen. Wenn diese Kunden stattdessen ihr eigenes AAD verwenden möchten, sind sie allein für dessen Sicherheit verantwortlich.

Virtuelle Netzwerke und Infrastruktur

Innerhalb des von Citrix verwalteten Azure-Abonnements des Kunden erstellt Citrix virtuelle Netzwerke zur Isolierung von Ressourcenstandorten. Innerhalb dieser Netzwerke erstellt Citrix virtuelle Maschinen für die VDAs, Cloud Connectors und Image Builder-Maschinen, zusätzlich zu Speicherkonten, Key Vaults und anderen Azure-Ressourcen. Citrix ist in Partnerschaft mit Microsoft für die Sicherheit der virtuellen Netzwerke, einschließlich der Firewalls für virtuelle Netzwerke, verantwortlich.

Citrix stellt sicher, dass die standardmäßige Azure-Firewallrichtlinie (Netzwerksicherheitsgruppen) so konfiguriert ist, dass der Zugriff auf Netzwerkschnittstellen in VNet-Peering-Verbindungen eingeschränkt wird. Im Allgemeinen steuert dies den eingehenden Datenverkehr zu VDAs und Cloud Connectors. Einzelheiten finden Sie unter:

• Firewallrichtlinie für Azure VNet-Peering-Verbindungen

Kunden können diese standardmäßige Firewallrichtlinie nicht ändern, können aber zusätzliche Firewallregeln auf von Citrix erstellten VDA-Maschinen bereitstellen; zum Beispiel, um den ausgehenden Datenverkehr teilweise einzuschränken. Kunden, die virtuelle private Netzwerk-Clients oder andere Software, die Firewallregeln umgehen kann, auf von Citrix erstellten VDA-Maschinen installieren, sind für alle daraus resultierenden Sicherheitsrisiken verantwortlich.

Bei der Verwendung des Image Builders in Citrix DaaS für Azure zum Erstellen und Anpassen eines neuen Maschinen-Images wird Port 3389 vorübergehend im von Citrix verwalteten VNet geöffnet, damit der Kunde per RDP auf die Maschine zugreifen kann, die das neue Maschinen-Image enthält, um es anzupassen.

Verantwortung von Citrix bei Verwendung von Azure VNet-Peering-Verbindungen

Damit VDAs in Citrix DaaS für Azure lokale Domänencontroller, Dateifreigaben oder andere Intranet-Ressourcen kontaktieren können, bietet Citrix DaaS für Azure einen VNet-Peering-Workflow als Konnektivitätsoption. Das von Citrix verwaltete virtuelle Netzwerk des Kunden wird mit einem vom Kunden verwalteten Azure-Netzwerk verbunden. Das vom Kunden verwaltete virtuelle Netzwerk kann die Konnektivität mit den lokalen Ressourcen des Kunden über die vom Kunden gewählte Cloud-zu-On-Premises-Konnektivitätslösung, wie Azure ExpressRoute oder IPsec-Tunnel, ermöglichen.

Die Verantwortung von Citrix für VNet-Peering beschränkt sich auf die Unterstützung des Workflows und der zugehörigen Azure-Ressourcenkonfiguration zur Herstellung der Peering-Beziehung zwischen von Citrix und vom Kunden verwalteten VNets.

Firewallrichtlinie für Azure VNet-Peering-Verbindungen

Citrix öffnet oder schließt die folgenden Ports für eingehenden und ausgehenden Datenverkehr, der eine VNet-Peering-Verbindung verwendet.

Von Citrix verwaltetes VNet mit nicht in die Domäne eingebundenen Maschinen

• Eingehende Regeln
  • Alle eingehenden Verbindungen verweigern. Dies umfasst den Intra-VNet-Datenverkehr von VDA zu VDA.
• Ausgehende Regeln
  • Gesamten ausgehenden Datenverkehr zulassen.

Von Citrix verwaltetes VNet mit in die Domäne eingebundenen Maschinen

• Eingehende Regeln:
  • Ports 80, 443, 1494 und 2598 eingehend von den VDAs zu Cloud Connectors und von Cloud Connectors zu VDAs zulassen.
  • Ports 49152-65535 eingehend zu den VDAs von einem IP-Bereich zulassen, der von der Monitor-Shadowing-Funktion verwendet wird. Siehe Kommunikationsports, die von Citrix-Technologien verwendet werden.
  • Alle anderen eingehenden Verbindungen verweigern. Dies umfasst den Intra-VNet-Datenverkehr von VDA zu VDA und VDA zu Cloud Connector.
• Ausgehende Regeln
  • Gesamten ausgehenden Datenverkehr zulassen.

Vom Kunden verwaltetes VNet mit in die Domäne eingebundenen Maschinen

• Es liegt in der Verantwortung des Kunden, sein VNet korrekt zu konfigurieren. Dies beinhaltet das Öffnen der folgenden Ports für den Domänenbeitritt.
• Eingehende Regeln:
  • Eingehende Verbindungen auf 443, 1494, 2598 von ihren Client-IPs für interne Starts zulassen.
  • Eingehende Verbindungen auf 53, 88, 123, 135-139, 389, 445, 636 vom Citrix VNet (vom Kunden angegebener IP-Bereich) zulassen.
  • Eingehende Verbindungen auf Ports zulassen, die mit einer Proxy-Konfiguration geöffnet wurden.
  • Andere vom Kunden erstellte Regeln.
• Ausgehende Regeln:
  • Ausgehende Verbindungen auf 443, 1494, 2598 zum Citrix VNet (vom Kunden angegebener IP-Bereich) für interne Starts zulassen.
  • Andere vom Kunden erstellte Regeln.

Zugriff auf die Infrastruktur

Citrix kann auf die vom Kunden verwaltete Citrix-Infrastruktur (Cloud Connectors) zugreifen, um bestimmte administrative Aufgaben wie das Sammeln von Protokollen (einschließlich Windows-Ereignisanzeige) und das Neustarten von Diensten ohne Benachrichtigung des Kunden durchzuführen. Citrix ist dafür verantwortlich, diese Aufgaben sicher und mit minimalen Auswirkungen auf den Kunden auszuführen. Citrix ist auch dafür verantwortlich, dass alle Protokolldateien sicher abgerufen, transportiert und behandelt werden. Auf Kunden-VDAs kann auf diese Weise nicht zugegriffen werden.

Backups für nicht in die Domäne eingebundene Kataloge

Citrix ist nicht für die Durchführung von Backups von nicht in die Domäne eingebundenen Katalogen verantwortlich.

Backups für Maschinen-Images

Citrix ist für das Backup aller in Citrix DaaS für Azure hochgeladenen Maschinen-Images verantwortlich, einschließlich der mit dem Image Builder erstellten Images. Citrix verwendet lokal redundanten Speicher für diese Images.

Firewallrichtlinie bei Verwendung von Fehlerbehebungstools

Wenn ein Kunde die Erstellung einer Bastion-Maschine zur Fehlerbehebung anfordert, werden die folgenden Sicherheitsgruppenänderungen am von Citrix verwalteten VNet vorgenommen:

• Port 3389 vorübergehend eingehend vom kundenspezifischen IP-Bereich zur Bastion zulassen.
• Port 3389 vorübergehend eingehend von der Bastion-IP-Adresse zu jeder Adresse im VNet (VDAs und Cloud Connectors) zulassen.
• Den RDP-Zugriff zwischen den Cloud Connectors, VDAs und anderen VDAs weiterhin blockieren.

Wenn ein Kunde den RDP-Zugriff zur Fehlerbehebung aktiviert, werden die folgenden Sicherheitsgruppenänderungen am von Citrix verwalteten VNet vorgenommen:

• Port 3389 vorübergehend eingehend vom kundenspezifischen IP-Bereich zu jeder Adresse im VNet (VDAs und Cloud Connectors) zulassen.
• Den RDP-Zugriff zwischen den Cloud Connectors, VDAs und anderen VDAs weiterhin blockieren.

Vom Kunden verwaltete Abonnements

Bei vom Kunden verwalteten Abonnements hält sich Citrix während der Bereitstellung der Azure-Ressourcen an die oben genannten Verantwortlichkeiten. Nach der Bereitstellung liegt alles oben Genannte in der Verantwortung des Kunden, da der Kunde der Eigentümer des Azure-Abonnements ist.

Verantwortung des Kunden

VDAs und Maschinen-Images

Der Kunde ist für alle Aspekte der auf VDA-Maschinen installierten Software verantwortlich, einschließlich:

• Betriebssystem-Updates und Sicherheitspatches
• Antivirus und Antimalware
• VDA-Software-Updates und Sicherheitspatches
• Zusätzliche Software-Firewallregeln (insbesondere ausgehender Datenverkehr)
• Befolgen Sie die Sicherheitsüberlegungen und Best Practices von Citrix.

Citrix stellt ein vorbereitetes Image bereit, das als Ausgangspunkt dienen soll. Kunden können dieses Image für Proof-of-Concept- oder Demonstrationszwecke oder als Basis für die Erstellung ihres eigenen Maschinen-Images verwenden. Citrix garantiert nicht die Sicherheit dieses vorbereiteten Images. Citrix wird versuchen, das Betriebssystem und die VDA-Software auf dem vorbereiteten Image auf dem neuesten Stand zu halten und Windows Defender auf diesen Images zu aktivieren.

Verantwortung des Kunden bei Verwendung von VNet-Peering

Der Kunde muss alle Ports öffnen, die unter Vom Kunden verwaltetes VNet mit in die Domäne eingebundenen Maschinen angegeben sind.

Wenn VNet-Peering konfiguriert ist, ist der Kunde für die Sicherheit seines eigenen virtuellen Netzwerks und dessen Konnektivität zu seinen lokalen Ressourcen verantwortlich. Der Kunde ist auch für die Sicherheit des eingehenden Datenverkehrs vom von Citrix verwalteten gepeerten virtuellen Netzwerk verantwortlich. Citrix unternimmt keine Maßnahmen, um den Datenverkehr vom von Citrix verwalteten virtuellen Netzwerk zu den lokalen Ressourcen des Kunden zu blockieren.

Kunden haben die folgenden Optionen zur Einschränkung des eingehenden Datenverkehrs:

• Weisen Sie dem von Citrix verwalteten virtuellen Netzwerk einen IP-Block zu, der an keiner anderen Stelle im lokalen Netzwerk des Kunden oder im vom Kunden verwalteten verbundenen virtuellen Netzwerk verwendet wird. Dies ist für VNet-Peering erforderlich.
• Fügen Sie Azure-Netzwerksicherheitsgruppen und Firewalls im virtuellen Netzwerk des Kunden und im lokalen Netzwerk hinzu, um den Datenverkehr vom von Citrix verwalteten IP-Block zu blockieren oder einzuschränken.
• Implementieren Sie Maßnahmen wie Intrusion Prevention Systeme, Software-Firewalls und Verhaltensanalyse-Engines im virtuellen Netzwerk des Kunden und im lokalen Netzwerk, die auf den von Citrix verwalteten IP-Block abzielen.

Proxy

Der Kunde kann wählen, ob er einen Proxy für den ausgehenden Datenverkehr vom VDA verwenden möchte. Wenn ein Proxy verwendet wird, ist der Kunde verantwortlich für:

• Die Konfiguration der Proxy-Einstellungen auf dem VDA-Maschinen-Image oder, wenn der VDA einer Domäne beigetreten ist, die Verwendung der Active Directory-Gruppenrichtlinie.
• Wartung und Sicherheit des Proxys.

Proxys sind nicht für die Verwendung mit Citrix Cloud Connectors oder anderer von Citrix verwalteter Infrastruktur zugelassen.

Katalogresilienz

Citrix bietet drei Arten von Katalogen mit unterschiedlichen Resilienzniveaus:

• Statisch: Jeder Benutzer wird einem einzelnen VDA zugewiesen. Dieser Katalogtyp bietet keine Hochverfügbarkeit. Wenn der VDA eines Benutzers ausfällt, muss er auf einen neuen VDA umgeleitet werden, um die Wiederherstellung zu ermöglichen. Azure bietet eine SLA von 99,5 % für Einzelinstanz-VMs mit Standard-SSDs. Der Kunde kann das Benutzerprofil weiterhin sichern, aber alle am VDA vorgenommenen Anpassungen (wie die Installation von Programmen oder die Konfiguration von Windows) gehen verloren.
• Zufällig: Jeder Benutzer wird beim Start zufällig einem Server-VDA zugewiesen. Dieser Katalogtyp bietet Hochverfügbarkeit durch Redundanz. Wenn ein VDA ausfällt, gehen keine Informationen verloren, da das Benutzerprofil an einem anderen Ort gespeichert ist.
• Windows 10 Multisession: Dieser Katalogtyp funktioniert auf die gleiche Weise wie der zufällige Typ, verwendet jedoch Windows 10 Workstation-VDAs anstelle von Server-VDAs.

Backups für in die Domäne eingebundene Kataloge

Wenn der Kunde in die Domäne eingebundene Kataloge mit einem VNet-Peering verwendet, ist der Kunde für das Backup seiner Benutzerprofile verantwortlich. Citrix empfiehlt Kunden, lokale Dateifreigaben zu konfigurieren und Richtlinien in ihrem Active Directory oder auf ihren VDAs festzulegen, um Benutzerprofile von diesen Dateifreigaben abzurufen. Der Kunde ist für das Backup und die Verfügbarkeit dieser Dateifreigaben verantwortlich.

Notfallwiederherstellung

Im Falle eines Azure-Datenverlusts wird Citrix so viele Ressourcen wie möglich im von Citrix verwalteten Azure-Abonnement wiederherstellen. Citrix wird versuchen, die Cloud Connectors und VDAs wiederherzustellen. Wenn Citrix diese Elemente nicht erfolgreich wiederherstellen kann, sind die Kunden für die Erstellung eines neuen Katalogs verantwortlich. Citrix geht davon aus, dass Maschinen-Images gesichert sind und dass Kunden ihre Benutzerprofile gesichert haben, wodurch der Katalog neu aufgebaut werden kann.

Im Falle des Verlusts einer gesamten Azure-Region ist der Kunde dafür verantwortlich, sein vom Kunden verwaltetes virtuelles Netzwerk in einer neuen Region neu aufzubauen und ein neues VNet-Peering innerhalb von Citrix DaaS für Azure zu erstellen.

Gemeinsame Verantwortlichkeiten von Citrix und Kunden

Citrix Cloud Connector für in die Domäne eingebundene Kataloge

Citrix DaaS für Azure stellt mindestens zwei Cloud Connectors an jedem Ressourcenstandort bereit. Einige Kataloge können einen Ressourcenstandort gemeinsam nutzen, wenn sie sich in derselben Region, demselben VNet-Peering und derselben Domäne wie andere Kataloge für denselben Kunden befinden. Citrix konfiguriert die in die Domäne eingebundenen Cloud Connectors des Kunden für die folgenden Standardsicherheitseinstellungen auf dem Image:

• Betriebssystem-Updates und Sicherheitspatches
• Antivirus-Software
• Cloud Connector-Software-Updates

Kunden haben normalerweise keinen Zugriff auf die Cloud Connectors. Sie können jedoch Zugriff erhalten, indem sie die Schritte zur Fehlerbehebung im Katalog verwenden und sich mit Domänenanmeldeinformationen anmelden. Der Kunde ist für alle Änderungen verantwortlich, die er beim Anmelden über die Bastion vornimmt.

Kunden haben auch die Kontrolle über die in die Domäne eingebundenen Cloud Connectors über die Active Directory-Gruppenrichtlinie. Der Kunde ist dafür verantwortlich, dass die Gruppenrichtlinien, die für den Cloud Connector gelten, sicher und sinnvoll sind. Wenn der Kunde beispielsweise Betriebssystem-Updates mithilfe der Gruppenrichtlinie deaktiviert, ist der Kunde für die Durchführung von Betriebssystem-Updates auf den Cloud Connectors verantwortlich. Der Kunde kann auch die Gruppenrichtlinie verwenden, um strengere Sicherheitsmaßnahmen als die Cloud Connector-Standardeinstellungen zu erzwingen, z. B. durch die Installation einer anderen Antivirus-Software. Im Allgemeinen empfiehlt Citrix, dass Kunden Cloud Connectors in eine eigene Active Directory-Organisationseinheit ohne Richtlinien platzieren, da dies sicherstellt, dass die von Citrix verwendeten Standardeinstellungen problemlos angewendet werden können.

Fehlerbehebung

Falls der Kunde Probleme mit dem Katalog in Citrix DaaS für Azure hat, gibt es zwei Optionen zur Fehlerbehebung: die Verwendung von Bastionen und die Aktivierung des RDP-Zugriffs. Beide Optionen bergen Sicherheitsrisiken für den Kunden. Der Kunde muss dieses Risiko verstehen und der Übernahme zustimmen, bevor er diese Optionen nutzt.

Citrix ist für das Öffnen und Schließen der notwendigen Ports zur Durchführung von Fehlerbehebungsoperationen und für die Einschränkung des Zugriffs auf Maschinen während dieser Operationen verantwortlich.

Sowohl bei Bastionen als auch beim RDP-Zugriff ist der aktive Benutzer, der die Operation durchführt, für die Sicherheit der Maschinen verantwortlich, auf die zugegriffen wird. Wenn der Kunde über RDP auf den VDA oder Cloud Connector zugreift und versehentlich einen Virus einfängt, ist der Kunde verantwortlich. Wenn Citrix Support-Mitarbeiter auf diese Maschinen zugreifen, liegt es in der Verantwortung dieser Mitarbeiter, die Operationen sicher durchzuführen. Die Verantwortung für alle Schwachstellen, die durch Personen, die auf die Bastion oder andere Maschinen in der Bereitstellung zugreifen (z. B. die Verantwortung des Kunden, IP-Bereiche zur Zulassungsliste hinzuzufügen, die Verantwortung von Citrix, IP-Bereiche korrekt zu implementieren), wird an anderer Stelle in diesem Dokument behandelt.

In beiden Szenarien ist Citrix dafür verantwortlich, Firewall-Ausnahmen korrekt zu erstellen, um RDP-Datenverkehr zuzulassen. Citrix ist auch dafür verantwortlich, diese Ausnahmen zu widerrufen, nachdem der Kunde die Bastion entsorgt oder den RDP-Zugriff über Citrix DaaS für Azure beendet hat.

Bastionen

Citrix kann Bastionen im von Citrix verwalteten virtuellen Netzwerk des Kunden innerhalb des von Citrix verwalteten Abonnements des Kunden erstellen, um Probleme zu diagnostizieren und zu beheben, entweder proaktiv (ohne Kundenbenachrichtigung) oder als Reaktion auf ein vom Kunden gemeldetes Problem. Die Bastion ist eine Maschine, auf die der Kunde über RDP zugreifen und dann die VDAs und (für in die Domäne eingebundene Kataloge) Cloud Connectors über RDP erreichen kann, um Protokolle zu sammeln, Dienste neu zu starten oder andere administrative Aufgaben auszuführen. Standardmäßig öffnet das Erstellen einer Bastion eine externe Firewallregel, um RDP-Datenverkehr von einem vom Kunden angegebenen IP-Adressbereich zur Bastion-Maschine zuzulassen. Es öffnet auch eine interne Firewallregel, um den Zugriff auf die Cloud Connectors und VDAs über RDP zu ermöglichen. Das Öffnen dieser Regeln birgt ein großes Sicherheitsrisiko.

Der Kunde ist für die Bereitstellung eines starken Passworts für das lokale Windows-Konto verantwortlich. Der Kunde ist auch für die Bereitstellung eines externen IP-Adressbereichs verantwortlich, der den RDP-Zugriff auf die Bastion ermöglicht. Wenn der Kunde keinen IP-Bereich angibt (wodurch jeder RDP-Zugriff versuchen kann), ist der Kunde für jeden Zugriffsversuch von bösartigen IP-Adressen verantwortlich.

Der Kunde ist auch für das Löschen der Bastion nach Abschluss der Fehlerbehebung verantwortlich. Der Bastion-Host bietet zusätzliche Angriffsfläche, daher fährt Citrix die Maschine acht (8) Stunden nach dem Einschalten automatisch herunter. Citrix löscht jedoch niemals automatisch eine Bastion. Wenn der Kunde die Bastion über einen längeren Zeitraum nutzen möchte, ist er für deren Patching und Aktualisierung verantwortlich. Citrix empfiehlt, eine Bastion nur für einige Tage zu verwenden, bevor sie gelöscht wird. Wenn der Kunde eine aktuelle Bastion wünscht, kann er seine aktuelle löschen und dann eine neue Bastion erstellen, die eine frische Maschine mit den neuesten Sicherheitspatches bereitstellt.

RDP-Zugriff

Für in die Domäne eingebundene Kataloge kann der Kunde, wenn das VNet-Peering des Kunden funktioniert, den RDP-Zugriff von seinem gepeerten VNet auf sein von Citrix verwaltetes VNet aktivieren. Wenn der Kunde diese Option verwendet, ist der Kunde für den Zugriff auf die VDAs und Cloud Connectors über das VNet-Peering verantwortlich. Quell-IP-Adressbereiche können angegeben werden, sodass der RDP-Zugriff weiter eingeschränkt werden kann, selbst innerhalb des internen Netzwerks des Kunden. Der Kunde muss Domänenanmeldeinformationen verwenden, um sich bei diesen Maschinen anzumelden. Wenn der Kunde mit dem Citrix Support zusammenarbeitet, um ein Problem zu lösen, muss der Kunde diese Anmeldeinformationen möglicherweise mit dem Supportpersonal teilen. Nach Behebung des Problems ist der Kunde für die Deaktivierung des RDP-Zugriffs verantwortlich. Das Offenhalten des RDP-Zugriffs vom gepeerten oder lokalen Netzwerk des Kunden birgt ein Sicherheitsrisiko.

Domänenanmeldeinformationen

Wenn der Kunde einen in die Domäne eingebundenen Katalog verwenden möchte, ist der Kunde dafür verantwortlich, Citrix DaaS für Azure ein Domänenkonto (Benutzername und Passwort) mit Berechtigungen zum Beitritt von Maschinen zur Domäne bereitzustellen. Bei der Bereitstellung von Domänenanmeldeinformationen ist der Kunde dafür verantwortlich, die folgenden Sicherheitsprinzipien einzuhalten:

• Auditierbar: Das Konto sollte speziell für die Nutzung von Citrix DaaS für Azure erstellt werden, damit leicht nachvollziehbar ist, wofür das Konto verwendet wird.
• Eingeschränkt: Das Konto benötigt nur Berechtigungen zum Beitritt von Maschinen zu einer Domäne. Es sollte kein vollständiger Domänenadministrator sein.
• Sicher: Für das Konto sollte ein starkes Passwort festgelegt werden.

Citrix ist für die sichere Speicherung dieses Domänenkontos in einem Azure Key Vault im von Citrix verwalteten Azure-Abonnement des Kunden verantwortlich. Das Konto wird nur abgerufen, wenn eine Operation das Domänenkontopasswort erfordert.

Weitere Informationen

Weitere Informationen finden Sie unter:

• Sicherer Bereitstellungsleitfaden für die Citrix Cloud-Plattform: Sicherheitsinformationen für die Citrix Cloud-Plattform.
• Technischer Sicherheitsüberblick: Sicherheitsinformationen für Citrix DaaS
• Benachrichtigungen Dritter