Richtlinie für verwaltete Konfigurationen
Die Geräterichtlinie für verwaltete Konfigurationen steuert verschiedene App-Konfigurationsoptionen und App-Einschränkungen. Sie erstellen diese Richtlinie für jede Android Enterprise-App, die Sie steuern möchten.
Der App-Entwickler definiert die für eine App verfügbaren Optionen und QuickInfos. Wenn eine QuickInfo die Verwendung eines „Vorlagenwerts“ erwähnt, verwenden Sie stattdessen das entsprechende Citrix Endpoint Management-Makro. Weitere Informationen finden Sie unter Remote configuration overview (auf der Android-Entwicklerseite) und Macros.
Die App-Konfigurationseinstellungen können Elemente wie die folgenden umfassen:
-
E-Mail-App-Einstellungen
-
URLs für einen Webbrowser zulassen oder blockieren
-
Option zur Steuerung der App-Inhaltssynchronisierung über eine Mobilfunkverbindung oder nur über eine Wi-Fi-Verbindung
Informationen zu den Einstellungen, die für Ihre Apps angezeigt werden, erhalten Sie vom App-Entwickler.
Hinweis:
Citrix SSO für Android heißt jetzt Citrix Secure Access. Wir aktualisieren unsere Dokumentation, um dieser Namensänderung Rechnung zu tragen.
Voraussetzungen
-
Schließen Sie die Android Enterprise-Setup-Aufgaben bei Google ab und verbinden Sie Android Enterprise mit Managed Google Play. Weitere Informationen finden Sie unter Android Enterprise.
-
Fügen Sie Android Enterprise-Apps zu Citrix Endpoint Management hinzu. Weitere Informationen finden Sie unter Adding Apps to Citrix Endpoint Management.
Um diese Richtlinie hinzuzufügen oder zu konfigurieren, wechseln Sie zu Konfigurieren > Geräterichtlinien. Weitere Informationen finden Sie unter Device policies.
Anforderungen für Per-App-VPNs
Um ein Per-App-VPN für AE zu erstellen, müssen Sie zusätzlich zur Konfiguration der Geräterichtlinie für verwaltete Konfigurationen zusätzliche Schritte ausführen. Außerdem müssen Sie überprüfen, ob die folgenden Voraussetzungen erfüllt sind:
-
On-Premises NetScaler Gateway
-
Die folgenden Anwendungen sind auf dem Gerät installiert:
-
Citrix SSO
-
Citrix Secure Hub
-
Ein allgemeiner Workflow zum Konfigurieren eines Pro-App-VPN für AE-Geräte ist wie folgt:
-
Konfigurieren Sie ein VPN-Profil, wie in diesem Artikel beschrieben.
-
Konfigurieren Sie Citrix ADC so, dass es Datenverkehr vom Pro-App-VPN akzeptiert. Weitere Informationen finden Sie unter Vollständige VPN-Einrichtung auf NetScaler Gateway.
Einschränkungen
Die folgenden Einschränkungen gelten für Pro-App-VPN in der Android Enterprise-Umgebung auf Android 11+-Geräten aufgrund der in Android 11 eingeführten Einschränkungen der Pakettransparenz:
-
Wenn eine App, die Teil der Zulassungs-/Sperrliste ist, auf einem Gerät bereitgestellt wird, nachdem die VPN-Sitzung gestartet wurde, muss der Endbenutzer die VPN-Sitzung neu starten, damit die App ihren Datenverkehr über die VPN-Sitzung leiten kann.
-
Wenn ein Pro-App-VPN über eine Always-On-VPN-Sitzung verwendet wird, muss der Endbenutzer nach der Installation einer neuen App auf dem Gerät das Arbeitsprofil neu starten oder das Gerät neu starten, damit der Datenverkehr der App über die VPN-Sitzung geleitet wird.
Hinweis:
Diese Einschränkungen gelten nicht, wenn Sie Citrix SSO für Android 23.8.1 oder höhere Versionen verwenden. Weitere Informationen finden Sie unter Automatischer Neustart von Always On VPN.
Android Enterprise-Einstellungen
Nachdem Sie sich entschieden haben, eine Geräterichtlinie für verwaltete Konfigurationen hinzuzufügen, wird eine Aufforderung zur Auswahl einer App angezeigt. Wenn keine Android Enterprise-Apps zu Citrix Endpoint Management hinzugefügt wurden, können Sie nicht fortfahren.
Nachdem Sie eine App ausgewählt haben, konfigurieren Sie die Richtlinieneinstellungen. Die Einstellungen sind für jede App spezifisch.
VPN-Profile für Android Enterprise konfigurieren
Stellen Sie VPN-Profile für Android Enterprise-Geräte bereit, indem Sie die Citrix SSO-App mit der Geräterichtlinie für verwaltete Konfigurationen verwenden.
Fügen Sie zunächst Citrix SSO als Google Play Store-App zur Citrix Endpoint Management-Konsole hinzu. Siehe Öffentliche App Store-App hinzufügen.
Sehen Sie sich dieses Video an, um mehr zu erfahren:
Erstellen einer verwalteten Android Enterprise-Konfiguration für Citrix SSO
Konfigurieren Sie die Geräterichtlinie für verwaltete Konfigurationen für Citrix SSO, um VPN-Profile zu erstellen. Geräte, auf denen die Citrix SSO-App installiert und die Richtlinie bereitgestellt ist, können auf die von Ihnen erstellten VPN-Profile zugreifen.
Citrix Endpoint Management verwendet das Benutzerzertifikat im Geräteschlüsselspeicher, wenn:
-
NetScaler Gateway für die zertifikatbasierte Authentifizierung konfiguriert ist.
-
Benutzerzertifikat zur Authentifizierung bereitstellen auf der Citrix Endpoint Management-Seite Einstellungen > NetScaler Gateway aktiviert ist.
Sie benötigen den FQDN und den Port Ihres NetScaler Gateways.
-
Klicken Sie in der Citrix Endpoint Management-Konsole auf Konfigurieren > Geräterichtlinien. Klicken Sie auf Hinzufügen.
-
Wählen Sie Android Enterprise aus. Klicken Sie auf Verwaltete Konfigurationen.
-
Wenn das Fenster Anwendungs-ID auswählen angezeigt wird, wählen Sie Citrix SSO aus der Liste aus und klicken Sie auf OK.
-
Geben Sie einen Namen und eine Beschreibung für Ihre Citrix SSO VPN-Konfiguration ein. Klicken Sie auf Weiter.
-
Konfigurieren Sie die Parameter des VPN-Profils.
-
VPN-Profilname: Geben Sie einen Namen für das VPN-Profil ein. Wenn Sie mehrere VPN-Profile erstellen, verwenden Sie für jedes einen eindeutigen Namen. Wenn Sie keinen Namen angeben, wird die Adresse, die Sie in das Feld Serveradresse eingegeben haben, als VPN-Profilname verwendet.
-
Serveradresse(*): Geben Sie den FQDN Ihres NetScaler Gateways ein. Wenn der Port Ihres NetScaler Gateways nicht 443 ist, geben Sie auch Ihren Port ein. Verwenden Sie das URL-Format. Beispiel:
https://gateway.mycompany.com:8443. -
Benutzername (optional): Geben Sie den Benutzernamen an, den Endbenutzer zur Authentifizierung am NetScaler Gateway verwenden. Sie können das Citrix Endpoint Management-Makro {user.username} für dieses Feld verwenden. (Siehe Makros.) Wenn Sie keinen Benutzernamen angeben, werden Benutzer aufgefordert, einen Benutzernamen einzugeben, wenn sie sich mit dem NetScaler Gateway verbinden.
-
Kennwort (optional): Geben Sie das Kennwort an, das Endbenutzer zur Authentifizierung am NetScaler Gateway verwenden. Wenn Sie kein Kennwort angeben, werden Benutzer aufgefordert, ein Kennwort einzugeben, wenn sie sich mit dem NetScaler Gateway verbinden.
-
Zertifikatsalias (optional): Geben Sie einen Zertifikatsalias ein. Der Zertifikatsalias erleichtert der App den Zugriff auf das Zertifikat. Wenn derselbe Zertifikatsalias mit der Geräte-Richtlinie für Anmeldeinformationen verwendet wird, ruft die App das Zertifikat ab und authentifiziert das VPN ohne Zutun der Benutzer.
-
Gateway-Zertifikat-Pins (optional): JSON-Objekt, das die für NetScaler Gateway verwendeten Zertifikat-Pins beschreibt. Beispielwert:
{"hash-alg" : "sha256", "pinset" : ["AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=", "BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB="]}. Weitere Informationen finden Sie unter NetScaler Gateway-Zertifikat-Pinning mit Android Citrix SSO. -
VPN-Typ pro App (optional): Wenn Sie ein VPN pro App verwenden, um einzuschränken, welche Apps dieses VPN nutzen, können Sie diese Einstellung konfigurieren. Wenn Sie Zulassen auswählen, wird der Netzwerkverkehr für die in der PerAppVPN-App-Liste aufgeführten App-Paketnamen über das VPN geleitet. Der Netzwerkverkehr aller anderen Apps wird außerhalb des VPNs geleitet. Wenn Sie Nicht zulassen auswählen, wird der Netzwerkverkehr für die in der PerAppVPN-App-Liste aufgeführten App-Paketnamen außerhalb des VPNs geleitet. Der Netzwerkverkehr aller anderen Apps wird über das VPN geleitet. Standard ist Zulassen.
-
PerAppVPN-App-Liste: Eine Liste von Apps, deren Datenverkehr im VPN zugelassen oder blockiert wird, abhängig vom Wert des VPN-Typs pro App. Listen Sie die App-Paketnamen durch Kommas oder Semikolons getrennt auf. App-Paketnamen sind Groß- und Kleinschreibung-sensitiv und müssen in dieser Liste genau so erscheinen, wie sie im Google Play Store aufgeführt sind. Diese Liste ist optional. Lassen Sie diese Liste leer, um ein geräteweites VPN bereitzustellen.
-
Standard-VPN-Profil: Geben Sie den Namen des VPN-Profils ein, das verwendet werden soll, wenn Benutzer in der Citrix SSO-App den Verbindungsschalter anstelle eines bestimmten Profils antippen. Wenn dieses Feld leer gelassen wird, wird das Hauptprofil für die Verbindung verwendet. Wenn nur ein Profil konfiguriert ist, wird es als Standardprofil markiert. Für Always-On-VPN muss dieses Feld auf den Namen des VPN-Profils gesetzt werden, das für die Einrichtung eines Always-On-VPN verwendet werden soll.
-
Always-On-VPN (optional): Dieses Attribut gibt an, ob das VPN-Profil als Always-On-VPN-Profil konfiguriert ist. Wenn es auf true gesetzt ist, bedeutet dies, dass das VPN-Profil ein Always-On-VPN-Profil ist. Der Standardwert ist false. Diese Eigenschaft kann nur dem Haupt-VPN-Profil zugewiesen werden. Das Aktivieren dieser Eigenschaft ist unerlässlich, um die zuverlässige Funktion von Always-On-VPN zu gewährleisten.
-
Benutzerprofile deaktivieren: Wenn diese Einstellung auf „Ein“ steht, können Benutzer keine eigenen VPNs auf ihren Geräten erstellen. Wenn diese Einstellung auf „Aus“ steht, können Benutzer eigene VPNs auf ihren Geräten erstellen. Standard ist „Aus“.
-
Nicht vertrauenswürdige Server blockieren: Diese Einstellung ist in einem der folgenden Szenarien deaktiviert:
-
Wenn Sie ein selbstsigniertes Zertifikat für NetScaler Gateway verwenden
-
Wenn das Stammzertifikat der Zertifizierungsstelle, die das NetScaler Gateway-Zertifikat ausstellt, nicht in der System-CA-Liste enthalten ist.
Wenn diese Einstellung aktiviert ist, validiert das Android-Betriebssystem das NetScaler Gateway-Zertifikat. Schlägt die Validierung fehl, wird die Verbindung nicht zugelassen. Der Standardwert ist „Ein“. -
-
-
Erstellen Sie optional benutzerdefinierte Parameter. Die benutzerdefinierten Parameter XenMobileDeviceId und UserAgent werden unterstützt. Wählen Sie die aktuelle VPN-Konfiguration aus und klicken Sie auf Hinzufügen.
Parametername Beschreibung Wert XenMobileDeviceId Dieses Feld ist die Geräte-ID, die für die Netzwerkzugriffsprüfung basierend auf der Geräteregistrierung in Citrix Endpoint Management verwendet wird. Wenn Citrix Endpoint Management das Gerät registriert und verwaltet, ist die VPN-Verbindung zulässig. Andernfalls wird die Authentifizierung zum Zeitpunkt des VPN-Aufbaus verweigert. Damit Citrix Endpoint Management den Registrierungs- und Verwaltungsstatus der Geräte bestimmen kann, wird der Wert von XenMobileDeviceID auf DeviceID_${device.id}festgelegt.UserAgent Dieser Text wird an den HTTP-Header „User-Agent“ angehängt, um eine zusätzliche Überprüfung auf dem NetScaler Gateway durchzuführen. Der Wert dieses Texts wird von der Citrix SSO-App beim Kommunizieren mit dem NetScaler Gateway an den HTTP-Header „User-Agent“ angehängt. Geben Sie den Text ein, den Sie an den HTTP-Header „User-Agent“ anhängen möchten. Dieser Text muss den HTTP-User-Agent-Spezifikationen entsprechen. EnableDebugLogging Aktivieren Sie die Debug-Protokollierung in der Citrix SSO-App, um VPN-Konnektivitätsprobleme im Falle von Always On VPN zu beheben. Sie können sie in jeder der verwalteten VPN-Konfigurationen aktivieren. Die Debug-Protokollierung wird wirksam, wenn die verwalteten Konfigurationen verarbeitet werden. True: Aktiviert die Debug-Protokollierung. Standardwert: False DisableLogoutFromStoreOnExplicitDisconnect Steuert die Abmeldung vom Store, wenn der Endbenutzer die VPN-Sitzung explizit über die App-Benutzeroberfläche trennt. Gilt nur für Citrix Secure Private Access-Bereitstellungen. True: Deaktiviert die Abmeldung vom Secure Private Access Store und lässt die Secure Private Access-Sitzung intakt, trennt lediglich die Citrix Secure Access App-Sitzung. Standardwert: False. 
Um einen weiteren benutzerdefinierten Parameter zu erstellen, klicken Sie erneut auf Hinzufügen. -
Erstellen Sie optional weitere VPN-Profilkonfigurationen. Klicken Sie unter der Liste der Konfigurationen auf Hinzufügen. Eine neue Konfiguration wird in der Liste angezeigt. Wählen Sie die neue Konfiguration aus und wiederholen Sie Schritt 5 und optional Schritt 6.
-
Wenn Sie alle gewünschten VPN-Profile erstellt haben, klicken Sie auf Weiter.
-
Konfigurieren Sie Bereitstellungsregeln für diese verwaltete Konfiguration für Citrix SSO.
-
Klicken Sie auf Speichern.
Diese verwaltete Konfiguration für Citrix SSO wird nun in Ihrer Liste der konfigurierten Geräterichtlinien angezeigt.
Um Always-On für die von Ihnen konfigurierten VPN-Profile zu aktivieren, legen Sie die Geräterichtlinie für Citrix Endpoint Management-Optionen fest.
Hinweis:
Citrix Secure Hub 19.5.5 oder höher ist für Always-On-VPN für Android Enterprise erforderlich.
Zugriff auf VPN-Profile vom Gerät aus
Um auf die von Ihnen erstellten VPN-Profile zuzugreifen, installieren Android Enterprise-Benutzer Citrix SSO aus dem verwalteten Google Play Store.
Das oder die von Ihnen konfigurierten VPN-Profile werden im Bereich Verwaltete Verbindungen der App angezeigt. Benutzer tippen auf das VPN-Profil, um sich über dieses VPN-Profil zu verbinden.
Nachdem sich Benutzer authentifiziert und verbunden haben, erscheint ein Häkchen neben dem VPN-Profil. Das Schlüsselsymbol zeigt an, dass das VPN verbunden ist.
Zebra Android-Geräte mit Zebra OEMConfig verwalten
Verwalten Sie Zebra Android-Geräte mit dem Verwaltungstool Zebra Technologies OEMConfig. Informationen zur Zebra OEMConfig-App finden Sie auf der Zebra Technologies-Website.
Citrix Endpoint Management unterstützt Zebra OEMConfig Version 9.2 und höher. Informationen zu den Systemanforderungen für die Installation von Zebra OEMConfig auf Geräten finden Sie unter OEMConfig Setup auf der Zebra Technologies-Website.
Wir unterstützen derzeit die folgenden Zebra-Geräte:
-
EC50, EC55, ET56
-
TC52x, TC52x-HC
-
TC52ax, TC52ax-HC
-
TC57x
So geht's: Fügen Sie in der Citrix Endpoint Management-Konsole die Zebra OEMConfig-App als Google Play Store-App hinzu. Siehe Öffentliche App Store-App hinzufügen.
Eine verwaltete Android Enterprise-Konfiguration für die Zebra OEMConfig-App erstellen
Konfigurieren Sie die Geräterichtlinie für verwaltete Konfigurationen für die Zebra OEMConfig-App. Die Richtlinie gilt für Zebra-Geräte, auf denen die Zebra OEMConfig-App installiert und die Richtlinie bereitgestellt wurde.
-
Klicken Sie in der Citrix Endpoint Management-Konsole auf Konfigurieren > Geräterichtlinien. Klicken Sie auf Hinzufügen.
-
Wählen Sie Android Enterprise aus. Klicken Sie auf Verwaltete Konfigurationen.
-
Wenn das Fenster Anwendungs-ID auswählen angezeigt wird, wählen Sie ZebraOEMConfig powered by MX aus der Liste aus und klicken Sie auf OK.
-
Geben Sie einen Namen und eine Beschreibung für Ihre Zebra OEMConfig-Konfiguration ein. Klicken Sie auf Weiter.
-
Geben Sie einen Namen für die Zebra OEMConfig-Konfiguration ein.
-
Konfigurieren Sie die verfügbaren Parameter. Zum Beispiel:
-
Um die Kamera an der Vorderseite des Geräts zu deaktivieren, wählen Sie Kamerakonfiguration und stellen Sie Verwendung der Frontkamera auf Aus ein.
-
Um das Zeitformat des Geräts zu ändern, wählen Sie Uhrkonfiguration und stellen Sie Zeitformat auf 12 (12-Stunden) oder 24 (24-Stunden) ein.
-
Eine Liste und Beschreibungen aller verfügbaren Konfigurationen finden Sie unter Zebra Managed Configurations auf der Zebra Technologies-Website.
-
Erstellen Sie optional weitere Zebra OEMConfig-Konfigurationen. Klicken Sie unter der Liste der Konfigurationen auf Hinzufügen. Eine neue Konfiguration wird in der Liste angezeigt. Wählen Sie die neue Konfiguration aus und konfigurieren Sie die Parameter.
-
Wenn Sie alle gewünschten Zebra OEMConfig-Konfigurationen erstellt haben, klicken Sie auf Weiter.
-
Konfigurieren Sie Bereitstellungsregeln für diese verwaltete Konfiguration für Zebra OEMConfig.
-
Klicken Sie auf Speichern.
Chrome-Browser mit vordefinierten Lesezeichen verwalten
Hier ist ein Beispiel, wie Sie den Chrome-Browser mit vordefinierten Lesezeichen verwalten können:
[
{ "toplevel_name": "My managed bookmarks folder" }
,
{ "name": "Google", "url": "[google.com|http://google.com/]" }
,
{ "name": "Youtube", "url": "[youtube.com|http://youtube.com/]" }
,
{
"nested_links": [
{ "name": "Chromium", "url": "[chromium.org|http://chromium.org/]" }
,
{ "name": "Chromium Developers", "url": "[dev.chromium.org|http://dev.chromium.org/]" }
],
"name": "Chrome links"
}
]
Unterstützung für verwaltete Konfigurationen-Feedback (Technische Vorschau)
Weitere Informationen zur Funktion 'Unterstützung für verwaltete Konfigurationen-Feedback' finden Sie unter Support managed configurations feedback.