Konfiguration und Verwaltung adaptiver Zugriffsrichtlinien

Last published : Oct 24, 2026
In den sich ständig ändernden Situationen von heute ist die Anwendungssicherheit für jedes Unternehmen von entscheidender Bedeutung. Kontextbezogene Sicherheitsentscheidungen zu treffen und dann den Zugriff auf Anwendungen zu ermöglichen, reduziert die damit verbundenen Risiken und ermöglicht gleichzeitig den Zugriff für Benutzer.
Die adaptive Zugriffsfunktion des Citrix Secure Private Access™ Dienstes bietet einen umfassenden Zero-Trust-Zugriffsansatz, der sicheren Zugriff auf Anwendungen ermöglicht. Adaptiver Zugriff ermöglicht es Administratoren, einen granularen Zugriff auf die Apps zu gewähren, auf die Benutzer basierend auf dem Kontext zugreifen können. Der Begriff „Kontext“ bezieht sich hier auf:
  • Benutzer und Gruppen (Benutzer und Benutzergruppen)
  • Geräte (Desktop- oder Mobilgeräte)
  • Standort (Geo-Standort oder Netwerkstandort)
  • Gerätestatus (Gerätestatusprüfung)
Die adaptive Zugriffsfunktion wendet adaptive Richtlinien auf die Anwendungen an, auf die zugegriffen wird. Diese Richtlinien bestimmen die Risiken basierend auf dem Kontext und treffen dynamische Zugriffsentscheidungen, um den Zugriff auf Enterprise Web-, SaaS-, TCP- und UDP-Apps zu gewähren oder zu verweigern.
Related information
Sitzungsrichtlinien

Funktionsweise

Um den Zugriff auf Anwendungen zu gewähren oder zu verweigern, erstellen Administratoren Richtlinien basierend auf den Benutzern, Benutzergruppen, den Geräten, von denen aus die Benutzer auf die Anwendungen zugreifen, und dem Standort (Land oder Netwerkstandort), von dem aus der Benutzer auf die Anwendung zugreift.
Die adaptiven Zugriffsrichtlinien werden in den folgenden Szenarien ausgewertet:
  • Während einer Web-, SaaS-, TCP- oder UDP-App-Aufzählung vom Secure Private Access-Dienst – Wenn der Anwendungszugriff für diesen Benutzer verweigert wird, kann der Benutzer diese Anwendung nicht im Store sehen.
  • Beim Starten der Anwendung – Nachdem Sie die App aufgelistet haben und die adaptive Richtlinie geändert wurde, um den Zugriff zu verweigern, können Benutzer die App nicht starten, obwohl die App zuvor aufgelistet wurde.

Zugriffsrichtlinie mit mehreren Regeln erstellen

Sie können mehrere Zugriffsregeln erstellen und innerhalb einer einzigen Richtlinie unterschiedliche Zugriffsbedingungen für verschiedene Benutzer oder Benutzergruppen konfigurieren. Diese Regeln können separat für HTTP/HTTPS- und TCP/UDP-Apps angewendet werden, alles innerhalb einer einzigen Richtlinie.
Zugriffsbeschränkungen müssen über die Google Admin-Konsole und nicht über die Secure Private Access-Oberfläche konfiguriert werden.
Regeln werden in der Google Admin-Konsole > Regeln konfiguriert. Diese Regeln sind erweiterte Einstellungen im Zusammenhang mit DLP, wie z. B. das Hinzufügen eines Wasserzeichens, das Blockieren des Downloads von Dateien mit Sozialversicherungsnummern und die URL-Filterung.
Einzelheiten zum Erstellen von Richtlinien und Regeln für Google Chrome in der Google Admin-Konsole finden Sie in den folgenden Themen:
  • Chrome Enterprise-Connector-Richtlinien für Chrome Enterprise festlegen
  • Datenschutzregeln

Voraussetzungen

Stellen Sie sicher, dass Sie die Anwendungen für Ihre Benutzer konfiguriert haben. Einzelheiten finden Sie unter Apps für Ihre Benutzer hinzufügen.
Schritte zum Erstellen einer Zugriffsrichtlinie:
  1. Öffnen Sie die Seite Zugriffsrichtlinien und klicken Sie dann auf Richtlinie erstellen.
  2. Geben Sie den Richtliniennamen und die Beschreibung der Richtlinie ein.
  3. Wählen Sie unter Anwendungen die App oder die Gruppe von Apps aus, auf die diese Richtlinie angewendet werden soll.
  4. Klicken Sie auf Regel erstellen, um Regeln für die Richtlinie zu erstellen.
    Regel erstellen
  5. Geben Sie den Regelnamen und eine kurze Beschreibung der Regel ein und klicken Sie dann auf Weiter.
    Regeldetails
  6. Wählen Sie die Bedingungen der Benutzer aus. Die Bedingung Benutzer ist eine obligatorische Bedingung, die erfüllt sein muss, um Benutzern den Zugriff auf die Apps zu gewähren. Sie können die Bedingung auswählen, gefolgt von der Domäne und dann den Benutzern.
    Regel erstellen
    Wählen Sie eine der folgenden Optionen aus:
    • Entspricht einem der folgenden – Nur die Benutzer oder Gruppen, die einem der im Feld aufgeführten Namen entsprechen und zur ausgewählten Domäne gehören, erhalten Zugriff.
    • Entspricht keinem – Alle Benutzer oder Gruppen, außer denen, die im Feld aufgeführt sind und zur ausgewählten Domäne gehören, erhalten Zugriff.
      Hinweis:
      • Sie können nach Benutzern oder Gruppen anhand des Anzeigenamens, der E-Mail-ID oder des Benutzerprinzipalnamens suchen. Dies hilft Ihnen, den richtigen Benutzer genau zu identifizieren und ihm Zugriff zu gewähren, selbst wenn derselbe Benutzer mehrere Konten hat. Weitere Informationen finden Sie unter Suchen nach Benutzern oder Gruppen.
      • Sie müssen auch synchronisierte Benutzer und Gruppen für Secure Private Access-Richtlinien verwenden, damit diese korrekt ausgewertet werden. Andernfalls werden Warnmeldungen angezeigt. Weitere Informationen finden Sie unter Benutzer- und Gruppensynchronisierung überprüfen.
  7. Fügen Sie eine Bedingung für den Zugriffsmodus hinzu, um den Anwendungszugriff basierend darauf einzuschränken, ob Benutzer über einen browserbasierten Client oder den Citrix Secure Access Client eine Verbindung herstellen. Weitere Informationen finden Sie unter Richtliniendurchsetzung basierend auf dem Zugriffsmodus.
    Hinweis:
    Sie können den Zugriffsmodus mit der obligatorischen Bedingung Benutzer und allen anderen Bedingungen kombinieren.
  8. (Optional) Klicken Sie auf +, um mehrere kontextbasierte Bedingungen hinzuzufügen.
    Wenn Sie kontextbasierte Bedingungen hinzufügen, wird eine UND-Operation auf die Bedingungen angewendet, und die Richtlinie wird nur ausgewertet, wenn die Bedingungen für Benutzer und die optionalen kontextbasierten Bedingungen erfüllt sind. Sie können die folgenden kontextbasierten Bedingungen anwenden.
    • Geografischer Standort – Wählen Sie die Bedingung und den geografischen Standort aus, von dem aus die Benutzer auf die Apps zugreifen.
      • Entspricht einem der folgenden: Nur Benutzer oder Benutzergruppen, die von einem der aufgeführten geografischen Standorte auf die Apps zugreifen, erhalten Zugriff auf die Apps.
      • Entspricht keinem: Alle Benutzer oder Benutzergruppen, die nicht aus den aufgeführten geografischen Standorten stammen, erhalten Zugriff.
    • Netwerkstandort – Wählen Sie die Bedingung und das Netzwerk aus, über das die Benutzer auf die Apps zugreifen.
      • Entspricht einem der folgenden: Nur Benutzer oder Benutzergruppen, die von einem der aufgeführten Netzwerkstandorte auf die Apps zugreifen, erhalten Zugriff auf die Apps.
      • Entspricht keinem: Alle Benutzer oder Benutzergruppen, die nicht von den aufgeführten Netzwerkstandorten stammen, erhalten Zugriff.
    • Geräte-Posture-Prüfung – Wählen Sie die Bedingungen aus, die das Benutzergerät erfüllen muss, um auf die Apps zugreifen zu können.
  9. Klicken Sie auf Weiter.
  10. Wählen Sie die Aktionen aus, die basierend auf der Bedingungsbewertung angewendet werden sollen.
    • Zugriff erlauben
    • Zugriff verweigern
    Regelaktion erstellen
  11. (Optional) Ändern Sie bei Bedarf den Routing-Typ oder den Ressourcenstandort für eine bestimmte Domäne. Mit der Umschaltfläche Routing-Ausnahmen können Sie die Ressourcenstandorte und Routing-Informationen für Domänen der in der Zugriffsrichtlinie hinzugefügten Apps bearbeiten.
    • Ändern Sie unter Routing-Typ den Routing-Typ:
      • Intern: Der Datenverkehr fließt über die Connector Appliance. Bei einer Web-App fließt der Datenverkehr innerhalb des Rechenzentrums. Bei einer SaaS-App wird der Datenverkehr über die Connector Appliance außerhalb des Netzwerks geleitet.
      • Intern – Proxy umgehen: Der Domänenverkehr wird über Citrix Cloud Connector™ Appliances geleitet, wobei der auf der Connector Appliance konfigurierte Web-Proxy des Kunden umgangen wird.
      • Extern: Der Datenverkehr fließt direkt ins Internet.
    • Unter Ressourcenstandort ändern Sie bei Bedarf den Ressourcenstandort. Diese Option gilt nur für intern weitergeleitete Domänen.
    Weitere Informationen zum kontextbezogenen Routing finden Sie unter Kontextbasiertes App-Routing und Auswahl von Ressourcenstandorten.
    Nachdem Sie die Richtlinien erstellt haben, werden sie auf der Seite Zugriffsrichtlinien aufgeführt.
    Erstellte Richtlinie

Suchen nach Benutzern oder Gruppen

Die von Ihnen ausgewählten Benutzer und Gruppen werden in einem Raster angezeigt. Jede Zeile im Raster zeigt die folgenden Identitätsdetails an, damit Sie gleichnamige Benutzer oder Gruppen über verschiedene Domänen, Gesamtstrukturen oder Identitätsanbieter (IdPs) hinweg eindeutig unterscheiden können:
  • Name – Der Anzeigename des Benutzers oder der Gruppe.
  • E-Mail – Die E-Mail-Adresse, die der Identität zugeordnet ist.
  • IdP-Typ – Der Identitätsanbieter, z. B. Azure AD, Active Directory, Okta oder Google.
  • OID – Die Objekt-ID oder Sicherheitskennung der Identität.
  • Domäne – Die Domäne, zu der der Benutzer oder die Gruppe gehört.
Sie können das Raster nach Namen filtern, einzelne Zeilen entfernen oder mehrere Einträge auswählen und diese gemeinsam mit Ausgewählte entfernen löschen.

Benutzer- und Gruppensynchronisierung überprüfen

Beim Auswählen von Benutzern oder Gruppen können Administratoren überprüfen, ob Einträge aus dem ausgewählten Benutzerverzeichnis mit Google Directory synchronisiert und dort korrekt konfiguriert sind. Secure Private Access-Richtlinien werden nur dann korrekt ausgewertet, wenn die Benutzer und Gruppen synchronisiert sind. Andernfalls können die folgenden Warnungen angezeigt werden:
  • Fehlende Mandantenkontoberechtigungen.
    Problemumgehung:
    Weisen Sie in der Google Admin-Konsole die Berechtigungen Benutzer > Lesen und Gruppen > Lesen dem Mandanten-Dienstkonto zu. SPA benötigt diese Berechtigungen, um zu überprüfen, ob ein Benutzer oder eine Gruppe existiert.
  • Benutzer oder Gruppe nicht synchronisiert.
    Problemumgehung:
    Der gesuchte oder ausgewählte Benutzer oder die Gruppe ist nicht mit Google Directory synchronisiert. Synchronisieren Sie die Verzeichnisentität mit Google Directory, bevor Sie sie in einer SPA-Richtlinie verwenden.
  • Unzureichende Gruppenzugriffseinstellungen.
    Problemumgehung:
    Öffnen Sie in der Google Admin-Konsole die Zugriffseinstellungen für die ausgewählte Gruppe und stellen Sie sicher, dass unter Wer kann Mitglieder anzeigen mindestens die Option Gruppenmitglieder ausgewählt ist.
Hinweis:
Diese Funktion ist erst verfügbar, nachdem die Google Chrome-Integration erfolgreich abgeschlossen wurde.

Wichtige Punkte nach der Erstellung einer Richtlinie

  • Die von Ihnen erstellte Richtlinie wird im Abschnitt „Richtlinienregeln“ angezeigt und ist standardmäßig aktiviert. Sie können die Regeln bei Bedarf deaktivieren. Stellen Sie jedoch sicher, dass mindestens eine Regel aktiviert ist, damit die Richtlinie aktiv ist.
  • Der Richtlinie wird standardmäßig eine Prioritätsreihenfolge zugewiesen. Die Priorität mit einem niedrigeren Wert hat die höchste Präferenz. Die Regel mit der niedrigsten Prioritätsnummer wird zuerst ausgewertet. Wenn die Regel (n) nicht den definierten Bedingungen entspricht, wird die nächste Regel (n+1) ausgewertet und so weiter.
Beispiel für die Auswertung von Regeln mit Prioritätsreihenfolge:
Angenommen, Sie haben zwei Regeln erstellt: Regel 1 und Regel 2. Regel 1 ist Benutzer A zugewiesen und Regel 2 ist Benutzer B zugewiesen, dann werden beide Regeln ausgewertet. Angenommen, beide Regeln, Regel 1 und Regel 2, sind Benutzer A zugewiesen. In diesem Fall hat Regel 1 die höhere Priorität. Wenn die Bedingung in Regel 1 erfüllt ist, wird Regel 1 angewendet und Regel 2 übersprungen. Andernfalls, wenn die Bedingung in Regel 1 nicht erfüllt ist, wird Regel 2 auf Benutzer A angewendet.

Adaptiver Zugriff basierend auf Geräten

Informationen zum Konfigurieren einer adaptiven Zugriffsrichtlinie basierend auf der Plattform (Mobilgerät oder Desktop-Computer), von der aus der Benutzer auf die Anwendung zugreift, finden Sie unter Konfiguration und Verwaltung adaptiver Zugriffsrichtlinien.
  • Klicken Sie auf der Seite Schritt 2: Bedingungen auf Bedingung hinzufügen.
  • Wählen Sie Desktop oder Mobilgerät aus.
  • Schließen Sie die Richtlinienkonfiguration ab.
Adaptive Zugriffsrichtlinie basierend auf dem Gerät

Adaptiver Zugriff basierend auf dem Standort

Ein Administrator kann die adaptive Zugriffsrichtlinie basierend auf dem Standort konfigurieren, von dem aus der Benutzer auf die Anwendung zugreift. Der Standort kann das Land sein, von dem aus der Benutzer auf die Anwendung zugreift, oder der Netwerkstandort des Benutzers. Der Netwerkstandort wird mithilfe eines IP-Adressbereichs oder von Subnetzadressen definiert.
Um eine adaptive Zugriffsrichtlinie basierend auf dem Standort zu konfigurieren, verwenden Sie das Verfahren Erstellen einer adaptiven Zugriffsrichtlinie mit mehreren Regeln mit den folgenden Änderungen.
  • Klicken Sie auf der Seite Schritt 2: Bedingungen auf Bedingung hinzufügen.
  • Wählen Sie Geo-Standort oder Netwerkstandort aus.
  • Wenn Sie mehrere Geo-Standorte oder Netzwerkstandorte konfiguriert haben, wählen Sie je nach Anforderung eine der folgenden Optionen aus.
    • Entspricht einem von – Die geografischen Standorte oder Netzwerkstandorte stimmen mit einem der in der Datenbank konfigurierten geografischen Standorte oder Netzwerkstandorte überein.
    • Entspricht keinem – Die geografischen Standorte oder Netzwerkstandorte stimmen nicht mit den in der Datenbank konfigurierten geografischen Standorten oder Netzwerkstandorten überein.
    Hinweis:
    • Wenn Sie Geo-Standort auswählen, wird die Quell-IP-Adresse des Benutzers mit der IP-Adresse der Länderdatenbank abgeglichen. Wenn die IP-Adresse des Benutzers dem Land in der Richtlinie zugeordnet ist, wird die Richtlinie angewendet. Wenn das Land nicht übereinstimmt, wird diese adaptive Richtlinie übersprungen und die nächste adaptive Richtlinie ausgewertet.
    • Für Netwerkstandort können Sie einen vorhandenen Netwerkstandort auswählen oder einen Netwerkstandort erstellen. Um einen neuen Netwerkstandort zu erstellen, klicken Sie auf Netwerkstandort erstellen.
    • Stellen Sie sicher, dass Sie den adaptiven Zugriff unter Citrix Cloud > StoreFront Cloud > Access > Adaptive Access aktiviert haben. Andernfalls können Sie die Standort-Tags nicht hinzufügen. Weitere Informationen finden Sie unter Adaptiven Zugriff aktivieren.
    • Sie können auch einen Netwerkstandort über die Citrix Cloud-Konsole erstellen. Weitere Informationen finden Sie unter Citrix Cloud Netwerkstandort Konfiguration.
    Adaptiver Zugriff Netwerkstandort
  • Schließen Sie die Richtlinienkonfiguration ab.

Adaptiver Zugriff basierend auf dem Gerätestatus

Sie können den Secure Private Access-Dienst so konfigurieren, dass er die Zugriffssteuerung mithilfe von Gerätestatus-Tags erzwingt. Nachdem einem Gerät nach der Gerätestatusprüfung die Anmeldung gestattet wurde, kann das Gerät als konform oder nicht konform klassifiziert werden. Diese Informationen stehen dem Citrix DaaS™-Dienst und dem Citrix Secure Private Access-Dienst als Tags zur Verfügung und werden verwendet, um kontextbezogenen Zugriff basierend auf dem Gerätestatus bereitzustellen.
Ausführliche Informationen zum Gerätestatusdienst finden Sie unter Gerätestatus.
Um eine adaptive Zugriffsrichtlinie basierend auf dem Gerätestatus zu konfigurieren, verwenden Sie das Verfahren Erstellen einer adaptiven Zugriffsrichtlinie mit mehreren Regeln mit den folgenden Änderungen.
  • Klicken Sie auf der Seite Schritt 2: Bedingungen auf Bedingung hinzufügen.
  • Wählen Sie Gerätestatusprüfung und den logischen Ausdruck aus dem Dropdown-Menü aus.
  • Geben Sie einen der folgenden Werte in benutzerdefinierten Tags ein:
    • Konform – Für konforme Geräte
    • Nicht konform – Für nicht konforme Geräte
    Hinweis:
    Die Syntax für die Gerätekategorisierungs-Tags muss auf die gleiche Weise eingegeben werden, wie zuvor erfasst, d.h. mit Großbuchstaben am Anfang (Compliant und Non-Compliant). Andernfalls funktionieren die Gerätestatusrichtlinien nicht wie beabsichtigt.
Adaptive Zugriffsrichtlinie basierend auf dem Gerät