Integration von Citrix Endpoint Management
-
Dieser Artikel behandelt, was bei der Planung der Integration von Citrix Endpoint Management in Ihr bestehendes Netzwerk und Ihre Lösungen zu beachten ist. Zum Beispiel, wenn Sie bereits NetScaler Gateway für Citrix Virtual Apps and Desktops verwenden:
- Möchten Sie die vorhandene NetScaler Gateway-Instanz oder eine neue, dedizierte Instanz verwenden?
- Möchten Sie die über StoreFront veröffentlichten HDX-Apps in Citrix Endpoint Management integrieren?
- Planen Sie, Citrix Files mit Citrix Endpoint Management zu verwenden?
- Verfügen Sie über eine Network Access Control-Lösung, die Sie in Citrix Endpoint Management integrieren möchten?
NetScaler Gateway
-
NetScaler Gateway ist für Citrix Endpoint Management erforderlich. NetScaler Gateway bietet einen Micro-VPN-Pfad für den Zugriff auf alle Unternehmensressourcen und unterstützt eine starke Multi-Faktor-Authentifizierung.
-
Sie können vorhandene NetScaler Gateway-Instanzen verwenden oder neue für Citrix Endpoint Management einrichten. Die folgenden Abschnitte beschreiben die Vor- und Nachteile der Verwendung vorhandener oder neuer, dedizierter NetScaler Gateway-Instanzen.
-
Gemeinsames NetScaler Gateway MPX mit einem für Citrix Endpoint Management erstellten NetScaler Gateway VIP
-
Vorteile:
- Verwendet eine gemeinsame NetScaler Gateway-Instanz für alle Citrix-Remoteverbindungen: Citrix Virtual Apps, Full VPN und Clientless VPN.
- Verwendet die vorhandenen NetScaler Gateway-Konfigurationen, z. B. für die Zertifikatsauthentifizierung und für den Zugriff auf Dienste wie DNS, LDAP und NTP.
-
Verwendet eine einzige NetScaler Gateway-Plattformlizenz.
-
Nachteile:
- Es ist schwieriger, die Skalierung zu planen, wenn Sie zwei verschiedene Anwendungsfälle auf demselben NetScaler Gateway handhaben.
- Manchmal benötigen Sie eine bestimmte NetScaler Gateway-Version für einen Citrix Virtual Apps-Anwendungsfall. Dieselbe Version könnte bekannte Probleme für Citrix Endpoint Management aufweisen. Oder Citrix Endpoint Management könnte bekannte Probleme für die NetScaler Gateway-Version aufweisen.
- Wenn ein NetScaler Gateway vorhanden ist, können Sie den NetScaler für XenMobile-Assistenten nicht ein zweites Mal ausführen, um die NetScaler Gateway-Konfiguration für Citrix Endpoint Management zu erstellen.
- Außer wenn Platinum-Lizenzen für NetScaler Gateway 11.1 oder höher verwendet werden: Benutzerzugriffslizenzen, die auf NetScaler Gateway installiert und für die VPN-Konnektivität erforderlich sind, werden gepoolt. Da diese Lizenzen allen virtuellen NetScaler Gateway-Servern zur Verfügung stehen, können Dienste, die nicht Citrix Endpoint Management sind, diese potenziell verbrauchen.
Dedizierte NetScaler Gateway VPX/MPX-Instanz
-
Vorteile:
-
Citrix empfiehlt die Verwendung einer dedizierten NetScaler Gateway-Instanz.
- Einfachere Planung der Skalierung und Trennung des Citrix Endpoint Management-Datenverkehrs von einer NetScaler Gateway-Instanz, die möglicherweise bereits ressourcenbeschränkt ist.
- Vermeidet Probleme, wenn Citrix Endpoint Management und Citrix Virtual Apps unterschiedliche NetScaler Gateway-Softwareversionen benötigen. Die Empfehlung ist im Allgemeinen, die neueste kompatible NetScaler Gateway-Version und den neuesten Build für Citrix Endpoint Management zu verwenden.
- Ermöglicht die Citrix Endpoint Management-Konfiguration von NetScaler Gateway über den integrierten NetScaler für XenMobile-Assistenten.
- Virtuelle und physische Trennung von Diensten.
Nachteile:
- Erfordert die Einrichtung zusätzlicher Dienste auf NetScaler Gateway zur Unterstützung der Citrix Endpoint Management-Konfiguration.
- Erfordert eine weitere NetScaler Gateway-Plattformlizenz. Lizenzieren Sie jede NetScaler Gateway-Instanz für NetScaler Gateway.
Informationen dazu, was bei der Integration von NetScaler Gateway und Citrix ADC für die Citrix Endpoint Management-Verwaltungsmodi zu beachten ist, finden Sie unter Integration mit NetScaler Gateway und Citrix ADC.
-
StoreFront
Wenn Sie eine Citrix Virtual Apps and Desktops-Umgebung haben, können Sie HDX-Anwendungen mithilfe von StoreFront in Citrix Endpoint Management integrieren. Wenn Sie HDX-Apps in Citrix Endpoint Management integrieren:
- Die Apps stehen Benutzern zur Verfügung, die bei Citrix Endpoint Management registriert sind.
- Die Apps werden im App Store zusammen mit anderen mobilen Apps angezeigt.
- Citrix Endpoint Management verwendet Citrix Receiver auf StoreFront.
- Wenn die Citrix Workspace-App auf einem Gerät installiert ist, starten HDX-Apps diese App.
StoreFront hat eine Beschränkung auf eine Dienstseite pro StoreFront-Instanz. Angenommen, Sie haben viele Stores und möchten diese von anderen Produktionsnutzungen segmentieren. In diesem Fall empfiehlt Citrix im Allgemeinen, eine neue StoreFront-Instanz und Dienstseite für Citrix Endpoint Management in Betracht zu ziehen.
Zu berücksichtigende Punkte:
- Gibt es unterschiedliche Authentifizierungsanforderungen für StoreFront? Die StoreFront-Dienstseite erfordert Active Directory-Anmeldeinformationen für die Anmeldung. Kunden, die nur zertifikatbasierte Authentifizierung verwenden, können Anwendungen nicht über Citrix Endpoint Management mit demselben NetScaler Gateway aufzählen.
- Denselben Store verwenden oder einen Store erstellen?
-
Denselben oder einen anderen StoreFront-Server verwenden?
- Die folgenden Abschnitte beschreiben die Vor- und Nachteile der Verwendung separater oder kombinierter StoreFronts für Citrix Workspace und Citrix mobile Produktivitäts-Apps.
Integrieren Sie Ihre vorhandene StoreFront-Instanz in Citrix Endpoint Management
-
Vorteile:
- Derselbe Store: Es ist keine zusätzliche Konfiguration von StoreFront für Citrix Endpoint Management erforderlich, vorausgesetzt, Sie verwenden denselben NetScaler Gateway VIP für den HDX-Zugriff. Angenommen, Sie entscheiden sich für denselben Store und möchten den Citrix Workspace-Zugriff auf einen neuen NetScaler Gateway VIP leiten. In diesem Fall fügen Sie die entsprechende NetScaler Gateway-Konfiguration zu StoreFront hinzu.
- Derselbe StoreFront-Server: Verwendet die vorhandene StoreFront-Installation und -Konfiguration.
Nachteile:
- Derselbe Store: Jede Neukonfiguration von StoreFront zur Unterstützung von Citrix Virtual Apps and Desktops-Workloads könnte Citrix Endpoint Management nachteilig beeinflussen.
-
Derselbe StoreFront-Server: In großen Umgebungen ist die zusätzliche Last durch die Nutzung von Citrix Receiver durch Citrix Endpoint Management für die App-Aufzählung und den Start zu berücksichtigen.
-
Verwenden Sie eine neue, dedizierte StoreFront-Instanz für die Integration mit Citrix Endpoint Management
Vorteile:
- Neuer Store: Jegliche Konfigurationsänderungen des StoreFront-Stores für Citrix Endpoint Management wirken sich nicht auf bestehende Virtual Apps and Desktops-Workloads aus.
-
Neuer StoreFront-Server: Serverkonfigurationsänderungen wirken sich nicht auf Virtual Apps and Desktops-Workflows aus. Auch die Last außerhalb der Citrix Endpoint Management-Nutzung von Citrix Receiver für die App-Aufzählung und den Start beeinträchtigt die Skalierbarkeit nicht.
-
Nachteile:
- Neuer Store: StoreFront-Store-Konfiguration.
-
Neuer StoreFront-Server: Erfordert eine neue StoreFront-Installation und -Konfiguration.
-
Weitere Informationen finden Sie unter Citrix Virtual Apps and Desktops über den App Store.
-
ShareFile und Citrix Files
Haftungsausschluss:
Diese Funktion wird eingestellt, wenn ShareFile (jetzt Progress) den Support einstellt.
-
ShareFile ermöglicht Ihnen den einfachen und sicheren Austausch von Dokumenten, den Versand großer Dokumente per E-Mail und die sichere Abwicklung von Dokumentenübertragungen an Dritte. Die Citrix Files-App ermöglicht Benutzern den Zugriff auf und die Synchronisierung all ihrer Daten von jedem Gerät aus. Mit Citrix Files können Benutzer Daten sicher mit Personen innerhalb und außerhalb der Organisation teilen.
-
Citrix Endpoint Management bietet Citrix Files mit:
- Single Sign-On-Authentifizierung für Benutzer mobiler Produktivitäts-Apps.
- Active Directory-basierte Benutzerkontenbereitstellung.
- Umfassende Zugriffssteuerungsrichtlinien.
Mobile Benutzer können den vollen Funktionsumfang des Enterprise-Kontos nutzen.
-
Alternativ können Sie Citrix Endpoint Management so konfigurieren, dass es nur mit Storage Zone Connectors integriert wird. Über Storage Zone Connectors bietet Citrix Files Zugriff auf:
- Dokumente und Ordner
- Netzwerkdateifreigaben
-
In SharePoint-Sites: Site Collections und Dokumentbibliotheken.
-
Verbundene Dateifreigaben können dieselben Netzwerk-Home-Laufwerke umfassen, die in Citrix Virtual Apps and Desktops-Umgebungen verwendet werden. Sie verwenden die Citrix Endpoint Management-Konsole, um die Integration mit Enterprise-Konten oder Storage Zone Connectors zu konfigurieren. Weitere Informationen finden Sie unter Citrix Files für Citrix Endpoint Management.
-
Die folgenden Abschnitte enthalten Fragen, die bei Designentscheidungen für Citrix Files zu stellen sind.
-
Integration mit Citrix Files oder nur Storage Zone Connectors
Zu stellende Fragen:
- Möchten Sie Daten in von Citrix verwalteten Storage Zones speichern?
- Möchten Sie Benutzern Funktionen zum Teilen und Synchronisieren von Dateien bereitstellen?
-
Möchten Sie Benutzern den Zugriff auf Dateien auf der Citrix Files-Website ermöglichen? Oder den Zugriff auf Office 365-Inhalte und Personal Cloud Connectors von mobilen Geräten aus?
-
Designentscheidung:
- Wenn die Antwort auf eine dieser Fragen „Ja“ lautet, integrieren Sie ein Enterprise-Konto.
-
Eine Integration nur mit Storage Zone Connectors bietet iOS-Benutzern sicheren mobilen Zugriff auf vorhandene lokale Speicher-Repositorys, wie SharePoint-Sites und Netzwerkdateifreigaben. In dieser Konfiguration richten Sie keine Citrix Files-Subdomain ein, stellen keine Benutzer für Citrix Files bereit und hosten keine Citrix Files-Daten. Die Verwendung von Storage Zone Connectors mit Citrix Endpoint Management folgt Sicherheitsbeschränkungen gegen das Durchsickern von Benutzerinformationen außerhalb des Unternehmensnetzwerks.
-
Speicherort des Storage Zones Controller-Servers
Zu stellende Fragen:
- Benötigen Sie lokalen Speicher oder Funktionen wie Storage Zone Connectors?
- Wenn Sie lokale Funktionen von Citrix Files verwenden, wo werden die Storage Zones Controller im Netzwerk platziert?
Designentscheidung:
- Legen Sie fest, ob die Storage Zones Controller-Server in der Citrix Files-Cloud, in Ihrem lokalen Single-Tenant-Speichersystem oder in unterstütztem Cloud-Speicher von Drittanbietern platziert werden sollen.
- Storage Zones Controller benötigen einen gewissen Internetzugang, um mit der Citrix Files Control Plane zu kommunizieren. Sie können auf verschiedene Arten eine Verbindung herstellen, einschließlich direktem Zugriff oder NAT/PAT-Konfigurationen.
Storage Zone Connectors
-
Zu stellende Fragen:
- Wie lauten die CIFS-Freigabepfade?
- Wie lauten die SharePoint-URLs?
Designentscheidung:
- Legen Sie fest, ob lokale Storage Zones Controller erforderlich sind, um auf diese Speicherorte zuzugreifen.
- Aufgrund der Kommunikation des Storage Zone Connectors mit internen Ressourcen wie Dateirepositorys, CIFS-Freigaben und SharePoint empfiehlt Citrix, dass die Storage Zones Controller im internen Netzwerk hinter DMZ-Firewalls platziert und durch NetScaler Gateway geschützt werden.
SAML-Integration mit Citrix Endpoint Management
Zu stellende Fragen:
- Ist eine Active Directory-Authentifizierung für Citrix Files erforderlich?
- Erfordert die erstmalige Verwendung der Citrix Files-App für Citrix Endpoint Management SSO?
- Gibt es in Ihrer aktuellen Umgebung einen Standard-IdP?
- Wie viele Domänen sind für die Verwendung von SAML erforderlich?
- Gibt es viele E-Mail-Aliase für Active Directory-Benutzer?
- Gibt es Active Directory-Domänenmigrationen, die gerade laufen oder bald geplant sind?
Designentscheidung:
Sie können SAML als Authentifizierungsmechanismus für Citrix Files verwenden. Die Authentifizierungsoptionen sind:
-
Verwenden Sie den Citrix Endpoint Management-Server als Identity Provider (IdP) für SAML
Diese Option bietet eine hervorragende Benutzererfahrung, automatisiert die Erstellung von Citrix Files-Konten und ermöglicht SSO-Funktionen für mobile Apps.
Der Citrix Endpoint Management-Server ist für diesen Prozess optimiert: Er erfordert keine Synchronisierung des Active Directory.
Verwenden Sie das Citrix Files User Management Tool für die Benutzerbereitstellung.
-
Verwenden Sie einen unterstützten Drittanbieter als IdP für SAML
Wenn Sie einen bestehenden und unterstützten IdP haben und keine SSO-Funktionen für mobile Apps benötigen, ist diese Option möglicherweise die beste Wahl für Sie. Diese Option erfordert auch die Verwendung des Citrix Files User Management Tools für die Kontobereitstellung.
Die Verwendung von IdP-Lösungen von Drittanbietern wie ADFS kann auch SSO-Funktionen auf der Windows-Clientseite bieten. Stellen Sie sicher, dass Sie Anwendungsfälle bewerten, bevor Sie Ihren Citrix Files SAML IdP auswählen.
-
Oder, um beide Anwendungsfälle abzudecken, siehe ShareFile-Konfigurationshandbuch für Single Sign-On mit dualen Identitätsanbietern.
Mobile Apps
Zu stellende Fragen:
- Welche Citrix Files-Mobil-App möchten Sie verwenden (öffentlich, MDM, MDX)?
Entscheidung für das Design:
- Sie verteilen mobile Produktivitäts-Apps von Citrix über den Apple App Store und den Google Play Store. Mit dieser öffentlichen App Store-Verteilung erhalten Sie umhüllte Apps von der Citrix Download-Seite.
- Wenn Ihre Sicherheitsanforderungen gering sind und Sie keine Containerisierung benötigen, ist die öffentliche Citrix Files-App möglicherweise nicht geeignet.
- Weitere Informationen finden Sie unter Apps und Citrix Files für Citrix Endpoint Management.
Sicherheit, Richtlinien und Zugriffssteuerung
Zu stellende Fragen:
- Welche Einschränkungen benötigen Sie für Desktop-, Web- und mobile Benutzer?
- Welche Standardeinstellungen für die Zugriffssteuerung wünschen Sie für Benutzer?
- Welche Dateiaufbewahrungsrichtlinie möchten Sie verwenden?
Entscheidung für das Design:
- Mit Citrix Files können Sie Mitarbeiterberechtigungen verwalten. Weitere Informationen finden Sie unter Mitarbeiterberechtigungen.
- Einige Citrix Files-Gerätesicherheitseinstellungen und MDX-Richtlinien steuern dieselben Funktionen. In diesen Fällen haben die Citrix Endpoint Management-Richtlinien Vorrang, gefolgt von den Citrix Files-Gerätesicherheitseinstellungen. Beispiele: Wenn Sie externe Apps in Citrix Files deaktivieren, diese aber in Citrix Endpoint Management aktivieren, werden die externen Apps in Citrix Files deaktiviert. Sie können die Apps so konfigurieren, dass Citrix Endpoint Management keinen PIN/Passcode erfordert, die Citrix Files-App jedoch einen PIN/Passcode benötigt.
Standard- versus eingeschränkte Speicherzonen
Zu stellende Fragen:
- Benötigen Sie eingeschränkte Speicherzonen?
Entscheidung für das Design:
- Eine Standard-Speicherzone ist für nicht-sensible Daten vorgesehen und ermöglicht es Mitarbeitern, Daten mit Nicht-Mitarbeitern zu teilen. Diese Option unterstützt Workflows, die das Teilen von Daten außerhalb Ihrer Domäne beinhalten.
- Eine eingeschränkte Speicherzone schützt sensible Daten: Nur authentifizierte Domänenbenutzer können auf die in der Zone gespeicherten Daten zugreifen.
Zugriffssteuerung
Unternehmen können mobile Geräte innerhalb und außerhalb von Netzwerken verwalten. Enterprise Mobility Management-Lösungen wie Citrix Endpoint Management eignen sich hervorragend, um Sicherheit und Kontrollen für mobile Geräte unabhängig vom Standort bereitzustellen. Wenn Sie diese jedoch mit einer Network Access Control (NAC)-Lösung kombinieren, können Sie QoS und eine feinere Kontrolle für Geräte hinzufügen, die sich innerhalb Ihres Netzwerks befinden. Diese Kombination ermöglicht es Ihnen, die Sicherheitsbewertung von Citrix Endpoint Management-Geräten über Ihre NAC-Lösung zu erweitern. Ihre NAC-Lösung kann dann die Sicherheitsbewertung von Citrix Endpoint Management nutzen, um Authentifizierungsentscheidungen zu erleichtern und zu handhaben.
Sie können jede dieser Lösungen verwenden, um NAC-Richtlinien durchzusetzen:
- NetScaler Gateway
- ForeScout
Citrix garantiert keine Integration für andere NAC-Lösungen.
Vorteile einer NAC-Lösungsintegration mit Citrix Endpoint Management sind unter anderem:
- Bessere Sicherheit, Compliance und Kontrolle für alle Endpunkte in einem Unternehmensnetzwerk.
- Eine NAC-Lösung kann:
- Geräte in dem Moment erkennen, in dem sie versuchen, sich mit Ihrem Netzwerk zu verbinden.
- Citrix Endpoint Management nach Geräteattributen abfragen.
- Diese Geräteinformationen verwenden, um zu bestimmen, ob diese Geräte zugelassen, blockiert, eingeschränkt oder umgeleitet werden sollen. Diese Entscheidungen hängen von den Sicherheitsrichtlinien ab, die Sie durchsetzen möchten.
- Eine NAC-Lösung bietet IT-Administratoren einen Überblick über nicht verwaltete und nicht konforme Geräte.
Eine Beschreibung der von Citrix Endpoint Management unterstützten NAC-Compliance-Filter und eine Konfigurationsübersicht finden Sie unter Network Access Control.