Agentenloser Zugriff auf Unternehmens-Webanwendungen

Funktionsweise

• Fügen Sie einen neuen DNS-Eintrag hinzu oder ändern Sie einen vorhandenen DNS-Eintrag für die konfigurierten Unternehmens-Webanwendungen.
• Ein IT-Administrator fügt einen neuen öffentlichen DNS-Eintrag hinzu oder ändert einen vorhandenen öffentlichen DNS-Eintrag für den konfigurierten FQDN der Unternehmens-Webanwendung, um den Benutzer zum Citrix Secure Private Access™-Dienst umzuleiten.
• Wenn der Endbenutzer den Zugriff auf die konfigurierte Unternehmens-Webanwendung initiiert, wird der Anwendungsdatenverkehr an den Citrix Secure Private Access-Dienst geleitet, der dann den Zugriff auf die Anwendung als Proxy bereitstellt.
• Sobald die Anfrage beim Citrix Secure Private Access-Dienst eingeht, überprüft dieser die Benutzerauthentifizierung und Anwendungsautorisierung, einschließlich kontextbezogener Zugriffsrichtlinienprüfungen.
• Nach erfolgreicher Validierung kommuniziert der Citrix Secure Private Access-Dienst mit den Citrix Cloud Connector™ Appliances, die in der Umgebung des Kunden (entweder On-Premises oder in der Cloud) bereitgestellt werden, um den Zugriff auf die konfigurierte Unternehmens-Webanwendung zu ermöglichen.

Konfigurieren von Citrix Secure Private Access für den agentenlosen Zugriff auf Unternehmens-Webanwendungen

• Anwendungs-FQDN
• SSL-Zertifikat – Öffentliches Zertifikat für die zu konfigurierende App
• Ressourcenstandort – Installieren Sie Citrix Cloud™ Connector Appliances
• Zugriff auf den öffentlichen DNS-Eintrag, um ihn mit dem von Citrix® während der App-Konfiguration bereitgestellten kanonischen Namen (CNAME) zu aktualisieren.

1. Melden Sie sich bei Citrix Cloud an und wählen Sie Secure Private Access aus.
2. Klicken Sie auf Anwendungen > App-Konfiguration und dann auf App hinzufügen.
3. Klicken Sie im Abschnitt Vorlage auswählen auf Überspringen. Vorlagen sind nur für SaaS-Apps verfügbar.
4. Wählen Sie unter Wo befindet sich der Anwendungsstandort? die Option Innerhalb meines Unternehmensnetzwerks aus.
   • Wählen Sie Innerhalb meines Unternehmensnetzwerks für Anwendungen, die innerhalb der privaten Netzwerkinfrastruktur Ihres Unternehmens gehostet werden, sich hinter Firewalls befinden und nur über eine interne Netzwerkverbindung zugänglich sind.
   • Wählen Sie Außerhalb meines Unternehmensnetzwerks (Google Connector): Für Anwendungen, die außerhalb der privaten Netzwerkinfrastruktur Ihres Unternehmens gehostet werden. Die Datenverkehrsweiterleitung erfolgt direkt von den Benutzern zur externen Anwendung über den Google Cloud Connector.
5. Geben Sie die folgenden Details im Abschnitt App-Details ein und klicken Sie auf Weiter.
   
   • App-Typ – Wählen Sie den App-Typ (HTTP oder HTTPS) aus.
     Hinweis:
     Für Chrome Enterprise Premium (CEP) werden nur HTTPS-Unternehmens-Web- und SaaS-Apps unterstützt. HTTP-Unternehmens-Web- und SaaS-Apps werden nicht unterstützt.

   • App-Name – Name der Anwendung.
   • App-Beschreibung – Eine kurze Beschreibung der App. Diese Beschreibung wird Ihren Benutzern im Store angezeigt.
   • App-Symbol – Klicken Sie auf Symbol ändern, um das App-Symbol zu ändern. Die Symbol-Dateigröße muss 128x128 Pixel betragen. Wenn Sie das Symbol nicht ändern, wird das Standardsymbol angezeigt.
     Wenn Sie das App-Symbol nicht anzeigen möchten, wählen Sie Anwendungssymbol für Benutzer nicht anzeigen.
6. Wählen Sie Agentless Access, damit Benutzer direkt über einen Client-Browser auf die App zugreifen können. Geben Sie die folgenden Details ein.
   Die Option Agentless Access ist nur für Unternehmens-Web-Apps verfügbar.
   
   • URL – URL für die Backend-Anwendung. Die URL muss im HTTPS-Format vorliegen und ein entsprechender DNS-Eintrag muss vom Administrator hinzugefügt werden.
   • SSL-Zertifikat – Wählen Sie ein vorhandenes SSL-Zertifikat aus dem Dropdown-Menü aus oder fügen Sie ein neues SSL-Zertifikat hinzu, indem Sie auf Neues SSL-Zertifikat hinzufügen klicken.
     • Es wird nur ein öffentliches oder ein vertrauenswürdiges CA-Zertifikat unterstützt.
     • Eine vollständige Zertifikatskette muss hochgeladen werden.
     Wichtig:
     • Administratoren müssen Zertifikate direkt in die Secure Private Access-Konsole hochladen, da Secure Private Access einen eigenen Zertifikatsspeicher verwaltet. Weitere Informationen finden Sie unter Zertifikate in der Secure Private Access-Konsole verwalten.
     • Zertifikate, die der NetScaler®-Konsole hinzugefügt wurden, können in Secure Private Access nicht mehr verwendet werden, da die Zertifikate zwischen den beiden Systemen nicht synchronisiert werden.

   • Verwandte Domänen – Die verwandte Domäne wird automatisch basierend auf der von Ihnen angegebenen URL ausgefüllt. Die verwandte Domäne hilft dem Dienst, die URL als Teil der App zu identifizieren und den Datenverkehr entsprechend weiterzuleiten. Sie können mehr als eine verwandte Domäne hinzufügen. Sie können jeder verwandten Domäne ein SSL-Zertifikat zuweisen, dies ist optional.
     Hinweis:
     Eine Warnmeldung wird angezeigt, wenn doppelte verwandte Domänen hinzugefügt werden oder wenn eine verwandte Domäne auch als URL für eine andere App hinzugefügt wird. Um diese Probleme zu vermeiden, lesen Sie Best Practices für Web- und SaaS-Anwendungskonfigurationen.

   • HAR importieren – Sie können eine HAR-Datei hochladen, um die Domänen, auf die eine Anwendung zugreift, automatisch zu ermitteln. Überprüfen Sie die ermittelten Domänen und wählen Sie diejenigen aus, die Sie der Konfiguration der verwandten Domänen der Anwendung hinzufügen möchten. Dies vereinfacht das Onboarding von Anwendungen, da die manuelle Identifizierung und Konfiguration verwandter Domänen reduziert wird. Weitere Informationen finden Sie unter Verwandte Domänen mithilfe einer HAR-Datei ermitteln.
   • CName-Eintrag – Automatisch von Secure Private Access generiert. Dies ist der Wert, der im DNS eingegeben werden muss, um den agentenlosen Zugriff auf die Anwendung zu ermöglichen.
7. Im Abschnitt App-Konnektivität definieren Sie das Routing für die zugehörigen Domänen von Anwendungen, falls die Domänen extern oder intern über die Citrix Connector™ Appliance geroutet werden müssen.
   
   • Routing-Typ – Wählen Sie eine der folgenden Optionen aus:
     • Intern – Proxy umgehen – Der Domänenverkehr wird über die Connector Appliance™ geleitet, wobei der auf der Connector Appliance konfigurierte Web-Proxy des Kunden umgangen wird.
     • Intern über Connector – Die Apps können extern sein, aber der Datenverkehr muss über die Connector Appliance zum externen Netzwerk fließen.
     • Extern – Der Datenverkehr fließt direkt ins Internet.
   • Primäre und sekundäre Ressourcenstandorte – Administratoren können die Hochverfügbarkeit von Anwendungen auch bei Unterbrechungen sicherstellen, indem sie einen sekundären Ressourcenstandort konfigurieren oder die Option Erster verfügbarer verwenden.
     • Primärer Ressourcenstandort: Wählen Sie den primären Ressourcenstandort aus, an dem die Anwendung gehostet wird. Alternativ können Administratoren die Option Erster verfügbarer unter Primärer Ressourcenstandort auswählen.
     • Erster verfügbarer: Die Option Erster verfügbarer stellt sicher, dass ein funktionierender Ressourcenstandort verwendet wird. Wenn Erster verfügbarer ausgewählt ist, leitet das System den Datenverkehr automatisch zum ersten verfügbaren Standort weiter. Dies gewährleistet einen kontinuierlichen Anwendungszugriff ohne manuelles Eingreifen. Wenn beispielsweise ResourceLocation1 nicht verfügbar ist, ResourceLocation2 aber erreichbar ist, wird ResourceLocation2 standardmäßig ausgewählt, um die Anwendung bereitzustellen.
     • Sekundärer Ressourcenstandort – Die Option Sekundärer Ressourcenstandort wird nur verfügbar, wenn ein primärer Ressourcenstandort explizit angegeben ist. Wenn der primäre Ressourcenstandort aus Gründen wie einem Ausfall der Connector Appliance oder des Rechenzentrums nicht verfügbar wird, fällt die Anwendung auf den angegebenen sekundären Ressourcenstandort aus. Der sekundäre Ressourcenstandort kann auch als Failover fungieren, selbst wenn die Anwendung in einem anderen Rechenzentrum gehostet wird.
     Sie können auch einen primären und sekundären Ressourcenstandort festlegen oder die Option Erster verfügbarer für jede der zugehörigen Domänen auswählen.
     1. Klicken Sie auf das Bearbeitungssymbol in der Spalte Aktionen der Tabelle „Zugehörige Domänen“.
     2. Legen Sie den primären und sekundären Ressourcenstandort fest oder wählen Sie die Option Erster verfügbarer.
     
     Hinweis:
     • Das Festlegen des Sicherungsressourcenstandorts und die Verwendung der Option Erster verfügbarer befinden sich in der Vorschauphase.
     • Wenn Sie eine Anwendung löschen, werden ihre Routing-Einträge automatisch entfernt. Weitere Informationen finden Sie unter Automatische Bereinigung von Routing-Einträgen beim Löschen von Anwendungen.

8. Im Abschnitt App-Konnektivität definieren Sie das Routing für die zugehörigen Domänen von Anwendungen, wenn die Domänen extern oder intern über die Citrix Connector™ Appliance geroutet werden müssen.
   
9. Konsistente Verbindung beibehalten – Aktivieren Sie dieses Kontrollkästchen, um eine konsistente Verbindung zur selben Connector Appliance zu ermöglichen. Details zu konsistenten Verbindungen finden Sie unter Konsistente Verbindung beibehalten.
   Hinweis:
   Wenn die Option Konsistente Verbindung beibehalten ausgewählt ist, muss der Routing-Typ für die Anwendung im Abschnitt App-Konnektivität auf Intern über Connector festgelegt werden.

10. Legen Sie die bevorzugte Anmeldemethode fest.
    Hinweis:
    Die Single Sign-On-Option ist für Citrix Secure Access mit Chrome Enterprise (CEP) nicht anwendbar.
    1. Wählen Sie im Abschnitt Single Sign-On Ihren bevorzugten Single Sign-On-Typ aus, der für Ihre Anwendung verwendet werden soll, und klicken Sie auf Speichern. Die folgenden Single Sign-On-Typen sind verfügbar.
       
       • Basic – Wenn Ihr Back-End-Server eine Basic-401-Challenge präsentiert, wählen Sie Basic SSO. Sie müssen keine Konfigurationsdetails für den Basic SSO-Typ angeben.
       • Kerberos – Wenn Ihr Back-End-Server die Negotiate-401-Challenge präsentiert, wählen Sie Kerberos. Sie müssen keine Konfigurationsdetails für den Kerberos SSO-Typ angeben.
       • Formularbasiert – Wenn Ihr Back-End-Server Ihnen ein HTML-Formular zur Authentifizierung präsentiert, wählen Sie Formularbasiert. Geben Sie die Konfigurationsdetails für den Formularbasierten SSO-Typ ein.
       • SAML – Wählen Sie SAML für SAML-basiertes SSO in Webanwendungen. Geben Sie die Konfigurationsdetails für den SAML-SSO-Typ ein.
       • SSO nicht verwenden – Verwenden Sie die Option SSO nicht verwenden, wenn Sie einen Benutzer auf dem Back-End-Server nicht authentifizieren müssen. Wenn die Option SSO nicht verwenden ausgewählt ist, wird der Benutzer zu der unter dem Abschnitt App-Details konfigurierten URL weitergeleitet.
       Formularbasierte Details:
       Geben Sie die folgenden formularbasierten Konfigurationsdetails im Abschnitt „Single Sign-On“ ein und klicken Sie auf Speichern.
       
       • Aktions-URL – Geben Sie die URL ein, an die das ausgefüllte Formular übermittelt wird.
       • Anmeldeformular-URL – Geben Sie die URL ein, auf der das Anmeldeformular angezeigt wird.
       • Benutzername-Format – Wählen Sie ein Format für den Benutzernamen aus.
       • Benutzername-Formularfeld – Geben Sie ein Benutzername-Attribut ein.
       • Passwort-Formularfeld – Geben Sie ein Passwort-Attribut ein.
       SAML:
       Geben Sie die folgenden Details im Abschnitt „Single Sign-On“ ein und klicken Sie auf Speichern.**
       
       • Assertion signieren – Das Signieren der Assertion oder Antwort gewährleistet die Nachrichtenintegrität, wenn die Antwort oder Assertion an die vertrauende Partei (SP) übermittelt wird. Sie können Assertion, Antwort, Beides oder Keine auswählen.
       • Assertions-URL – Die Assertions-URL wird vom Anwendungsanbieter bereitgestellt. Die SAML-Assertion wird an diese URL gesendet.
       • Relay State – Der Parameter Relay State wird verwendet, um die spezifische Ressource zu identifizieren, auf die Benutzer zugreifen, nachdem sie angemeldet und an den Federation-Server der vertrauenden Partei weitergeleitet wurden. Relay State generiert eine einzige URL für die Benutzer. Benutzer können auf diese URL klicken, um sich bei der Zielanwendung anzumelden.
       • Zielgruppe – Die Zielgruppe wird vom Anwendungsanbieter bereitgestellt. Dieser Wert bestätigt, dass die SAML-Assertion für die richtige Anwendung generiert wurde.
       • Name-ID-Format – Wählen Sie das unterstützte Name-ID-Format aus.
       • Name-ID – Wählen Sie die unterstützte Name-ID aus.
       1. Fügen Sie unter Erweiterte Attribute (optional) zusätzliche Informationen über den Benutzer hinzu, die zur Anwendung für Zugriffssteuerungsentscheidungen gesendet werden.
       2. Laden Sie die Metadatendatei herunter, indem Sie auf den Link unter SAML-Metadaten klicken. Verwenden Sie die heruntergeladene Metadatendatei, um SSO auf dem SaaS-Anwendungsserver zu konfigurieren.
          • Sie können die SSO-Anmelde-URL unter Anmelde-URL kopieren und diese URL bei der Konfiguration von SSO auf dem SaaS-Anwendungsserver verwenden.
          • Sie können das Zertifikat auch aus der Liste Zertifikat herunterladen und das Zertifikat bei der Konfiguration von SSO auf dem SaaS-Anwendungsserver verwenden.
11. Klicken Sie auf Speichern und dann auf Fertig stellen. Die App wird der Seite „Anwendungen“ hinzugefügt. Sie können eine App auf der Seite „Anwendungen“ bearbeiten oder löschen, nachdem Sie die Anwendung konfiguriert haben. Klicken Sie dazu auf die Schaltfläche mit den Auslassungspunkten bei einer App und wählen Sie die entsprechenden Aktionen aus.
    • Anwendung bearbeiten
    • Löschen

Automatische Bereinigung von Routing-Einträgen bei Anwendungs-Löschung

• Nicht referenzierte Einträge werden entfernt – Wenn ein Routing-Eintrag (FQDN oder Anwendungsdomäne), der mit der gelöschten Anwendung verknüpft ist, von keiner anderen Anwendung referenziert wird, entfernt Secure Private Access ihn automatisch aus der Routing-Tabelle.
• Gemeinsame Einträge bleiben erhalten – Wenn ein Routing-Eintrag von mehr als einer Anwendung verwendet wird, führt das Löschen einer dieser Anwendungen nicht zur Entfernung des gemeinsamen Eintrags. Der Eintrag bleibt so lange in der Routing-Tabelle, wie mindestens eine aktive Anwendung darauf verweist.
• Keine rückwirkende Entfernung – Routing-Einträge werden nur im Rahmen einer Anwendungs-Löschung evaluiert und entfernt. Bestehende Einträge werden nicht rückwirkend entfernt, es sei denn, es wird bestätigt, dass sie von keiner Anwendung verwendet werden.

Device Posture-Dienst mit agentenlosen Zugriffs-Apps