SmartAccess für HDX™-Apps
Diese Funktion ermöglicht es Ihnen, den Zugriff auf HDX-Apps basierend auf Geräteeigenschaften, Benutzereigenschaften eines Geräts oder auf einem Gerät installierten Anwendungen zu steuern. Sie nutzen diese Funktion, indem Sie automatisierte Aktionen festlegen, um das Gerät als nicht konform zu markieren und diesem Gerät den Zugriff zu verweigern. HDX-Apps, die mit dieser Funktion verwendet werden, werden in Virtual Apps and Desktops mithilfe einer SmartAccess-Richtlinie konfiguriert, die den Zugriff auf nicht konforme Geräte verweigert. XenMobile kommuniziert den Status des Geräts über ein signiertes, verschlüsseltes Tag an StoreFront™. StoreFront erlaubt oder verweigert dann den Zugriff basierend auf der Zugriffssteuerungsrichtlinie der App.
Um diese Funktion zu nutzen, erfordert Ihre Bereitstellung:
- Virtual Apps and Desktops 7.6
- StoreFront 3.7 oder 3.8
- XenMobile® Server, der für die Aggregation von HDX-Apps von einem StoreFront-Server konfiguriert ist
- XenMobile Server, der mit einem SAML-Zertifikat für das Signieren und Verschlüsseln von Tags konfiguriert ist. Dasselbe Zertifikat ohne privaten Schlüssel wird auf den StoreFront-Server hochgeladen.
Um diese Funktion zu nutzen, gehen Sie wie folgt vor:
- Konfigurieren Sie das XenMobile Server-Zertifikat für den StoreFront-Store
- Konfigurieren Sie mindestens eine Virtual Apps and Desktops-Bereitstellungsgruppe mit der erforderlichen SmartAccess-Richtlinie
- Legen Sie die automatisierte Aktion in XenMobile fest
Exportieren und Konfigurieren des XenMobile Server-Zertifikats und Hochladen in den StoreFront-Store
SmartAccess verwendet signierte und verschlüsselte Tags für die Kommunikation zwischen den XenMobile- und StoreFront-Servern. Um diese Kommunikation zu ermöglichen, fügen Sie das XenMobile Server-Zertifikat zum StoreFront-Store hinzu.
Weitere Informationen zur Integration von StoreFront und XenMobile, wenn XenMobile mit domänen- und zertifikatbasierter Authentifizierung aktiviert ist, finden Sie im Support Knowledge Center.
Exportieren des SAML-Zertifikats vom XenMobile Server
-
Klicken Sie in der XenMobile-Konsole auf das Zahnradsymbol in der oberen rechten Ecke. Die Seite Einstellungen wird angezeigt. Klicken Sie auf Zertifikate.
-
Suchen Sie das SAML-Zertifikat für den XenMobile Server.
-
Stellen Sie sicher, dass Privaten Schlüssel exportieren auf Aus eingestellt ist. Klicken Sie auf Exportieren, um das Zertifikat in Ihr Download-Verzeichnis zu exportieren.
-
Suchen Sie das Zertifikat in Ihrem Download-Verzeichnis. Das Zertifikat liegt im PEM-Format vor.
Konvertieren des Zertifikats von PEM nach CER
-
Öffnen Sie die Microsoft Management Console (MMC) und klicken Sie mit der rechten Maustaste auf Zertifikate > Alle Aufgaben > Importieren.
-
Wenn der Zertifikatimport-Assistent angezeigt wird, klicken Sie auf Weiter.
-
Navigieren Sie zu dem Zertifikat im Download-Verzeichnis.
-
Wählen Sie Alle Zertifikate im folgenden Speicher ablegen und wählen Sie Persönlich als Zertifikatspeicher aus. Klicken Sie auf Weiter.
-
Überprüfen Sie Ihre Auswahl und klicken Sie auf Fertig stellen. Klicken Sie auf OK, um das Bestätigungsfenster zu schließen.
-
Klicken Sie in der MMC mit der rechten Maustaste auf das Zertifikat und wählen Sie dann Alle Aufgaben > Exportieren.
-
Wenn der Zertifikatexport-Assistent angezeigt wird, klicken Sie auf Weiter.
-
Wählen Sie das Format DER-codiertes binäres X.509 (.CER). Klicken Sie auf Weiter.
-
Navigieren Sie zu dem Zertifikat. Geben Sie einen Namen für das Zertifikat ein und klicken Sie dann auf Weiter.
-
Speichern Sie das Zertifikat.
-
Navigieren Sie zu dem Zertifikat und klicken Sie auf Weiter.
-
Überprüfen Sie Ihre Auswahl und klicken Sie auf Fertig stellen. Klicken Sie auf OK, um das Bestätigungsfenster zu schließen.
-
Suchen Sie das Zertifikat in Ihrem Download-Verzeichnis. Das Zertifikat liegt im CER-Format vor.
Kopieren des Zertifikats auf den StoreFront-Server
-
Erstellen Sie auf dem StoreFront-Server einen Ordner namens SmartCert.
-
Kopieren Sie das Zertifikat in den Ordner SmartCert.
Konfigurieren des Zertifikats im StoreFront-Store
Führen Sie auf dem StoreFront-Server diesen PowerShell-Befehl aus, um das konvertierte XenMobile Server-Zertifikat im Store zu konfigurieren:
Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath “C:\xms\xms.cer” –ServerName “XMS server”
<!--NeedCopy-->
Wenn im StoreFront-Store vorhandene Zertifikate vorhanden sind, führen Sie diesen PowerShell-Befehl aus, um sie zu widerrufen:
Revoke-STFStorePnaSmartAccess –StoreService $store –All
<!--NeedCopy-->
Alternativ können Sie einen der folgenden PowerShell-Befehle auf dem StoreFront-Server ausführen, um vorhandene Zertifikate im StoreFront-Store zu widerrufen:
- Nach Name widerrufen:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
<!--NeedCopy-->
- Nach Fingerabdruck widerrufen:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint “ReplaceWithThumbprint”
<!--NeedCopy-->
- Nach Serverobjekt widerrufen:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
$access = Get-STFStorePnaSmartAccess –StoreService $store
Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]
<!--NeedCopy-->
Konfigurieren der SmartAccess-Richtlinie für Virtual Apps and Desktops
Um die erforderliche SmartAccess-Richtlinie zur Bereitstellungsgruppe hinzuzufügen, die die HDX-App bereitstellt:
-
Öffnen Sie auf dem Virtual Apps and Desktops-Server Citrix Studio.
-
Wählen Sie Bereitstellungsgruppen im Navigationsbereich von Studio aus.
-
Wählen Sie eine Gruppe aus, die die App oder Apps bereitstellt, deren Zugriff Sie steuern möchten. Wählen Sie dann Bereitstellungsgruppe bearbeiten im Bereich Aktionen aus.
-
Wählen Sie auf der Seite Zugriffsrichtlinie die Optionen Verbindungen über NetScaler® Gateway und Verbindung, die eine der folgenden Bedingungen erfüllt aus.
-
Klicken Sie auf Hinzufügen.
-
Fügen Sie eine Zugriffsrichtlinie hinzu, bei der Farm XM und Filter XMCompliantDevice ist.
-
Klicken Sie auf Anwenden, um vorgenommene Änderungen zu übernehmen und das Fenster geöffnet zu lassen, oder klicken Sie auf OK, um Änderungen zu übernehmen und das Fenster zu schließen.
Festlegen automatisierter Aktionen in XenMobile
Die SmartAccess-Richtlinie, die Sie in der Bereitstellungsgruppe für eine HDX-App festlegen, verweigert einem Gerät den Zugriff, wenn das Gerät nicht konform ist. Verwenden Sie automatisierte Aktionen, um das Gerät als nicht konform zu markieren.
-
Klicken Sie in der XenMobile-Konsole auf Konfigurieren > Aktionen. Die Seite Aktionen wird angezeigt.
-
Klicken Sie auf Hinzufügen, um eine Aktion hinzuzufügen. Die Seite Aktionsinformationen wird angezeigt.
-
Geben Sie auf der Seite Aktionsinformationen einen Namen und eine Beschreibung für die Aktion ein.
-
Klicken Sie auf Weiter. Die Seite Aktionsdetails wird angezeigt. Im folgenden Beispiel wird ein Trigger erstellt, der Geräte sofort als nicht konform markiert, wenn sie den Benutzereigenschaftsnamen eng5 oder eng6 haben.
-
Wählen Sie in der Liste Trigger die Option Geräteeigenschaft, Benutzereigenschaft oder Name der installierten App. SmartAccess unterstützt keine Ereignistrigger.
- In der Liste Aktion:
- Wählen Sie Gerät als nicht konform markieren.
- Wählen Sie Ist.
- Wählen Sie Wahr.
- Um die Aktion so einzustellen, dass das Gerät sofort als nicht konform markiert wird, wenn die Triggerbedingung erfüllt ist, setzen Sie den Zeitrahmen auf 0.
-
Wählen Sie die XenMobile-Bereitstellungsgruppe oder -gruppen aus, auf die diese Aktion angewendet werden soll.
-
Überprüfen Sie die Zusammenfassung der Aktion.
- Klicken Sie auf Weiter und dann auf Speichern.
Wenn das Gerät als nicht konform markiert ist, werden die HDX-Apps nicht mehr im Secure Hub-Store angezeigt. Der Benutzer ist nicht mehr für die App abonniert. Es wird keine Benachrichtigung an das Gerät gesendet, und nichts im Secure Hub-Store weist darauf hin, dass die HDX-Apps zuvor verfügbar waren.
Wenn Sie möchten, dass Benutzer benachrichtigt werden, wenn ein Gerät als nicht konform markiert wird, erstellen Sie eine Benachrichtigung und dann eine automatisierte Aktion, um diese Benachrichtigung zu senden.
Dieses Beispiel erstellt und sendet diese Benachrichtigung, wenn ein Gerät als nicht konform markiert wird: “Geräteseriennummer oder Telefonnummer entspricht nicht mehr der Geräterichtlinie und HDX-Anwendungen sind blockiert.”
Erstellen der Benachrichtigung, die Benutzer sehen, wenn ein Gerät als nicht konform markiert wird
-
Klicken Sie in der XenMobile-Konsole auf das Zahnradsymbol in der oberen rechten Ecke der Konsole. Die Seite Einstellungen wird angezeigt.
-
Klicken Sie auf Benachrichtigungsvorlagen. Die Seite Benachrichtigungsvorlagen wird angezeigt.
-
Klicken Sie auf Hinzufügen auf der Seite Benachrichtigungsvorlagen.
-
Wenn Sie aufgefordert werden, zuerst den SMS-Server einzurichten, klicken Sie auf Nein, später einrichten.
-
Konfigurieren Sie diese Einstellungen:
- Name: HDX-Anwendungsblockierung
- Beschreibung: Agent-Benachrichtigung, wenn ein Gerät nicht konform ist
- Typ: Ad-hoc-Benachrichtigung
- Secure Hub: Aktiviert
- Nachricht: Gerät ${firstnotnull(device.TEL_NUMBER,device.serialNumber)} entspricht nicht mehr der Geräterichtlinie und HDX-Anwendungen sind blockiert.
-
Klicken Sie auf Speichern.
Erstellen der Aktion, die die Benachrichtigung sendet, wenn ein Gerät als nicht konform markiert wird
-
Klicken Sie in der XenMobile-Konsole auf Konfigurieren > Aktionen. Die Seite Aktionen wird angezeigt.
-
Klicken Sie auf Hinzufügen, um eine Aktion hinzuzufügen. Die Seite Aktionsinformationen wird angezeigt.
-
Geben Sie auf der Seite Aktionsinformationen einen Namen und eine Beschreibung für die Aktion ein:
- Name: HDX-Blockierungsbenachrichtigung
- Beschreibung: HDX-Blockierungsbenachrichtigung, da Gerät nicht konform ist
-
Klicken Sie auf Weiter. Die Seite Aktionsdetails wird angezeigt.
-
In der Liste Trigger:
- Wählen Sie Geräteeigenschaft.
- Wählen Sie Nicht konform.
- Wählen Sie Ist.
- Wählen Sie Wahr.
-
Geben Sie in der Liste Aktion die Aktionen an, die ausgeführt werden, wenn der Trigger erfüllt ist:
- Wählen Sie Benachrichtigung senden
- Wählen Sie HDX-Anwendungsblockierung, die von Ihnen erstellte Benachrichtigung.
- Wählen Sie 0. Das Setzen dieses Wertes auf 0 bewirkt, dass die Benachrichtigung gesendet wird, wenn die Triggerbedingung erfüllt ist.
-
Wählen Sie die XenMobile-Bereitstellungsgruppe oder -gruppen aus, auf die diese Aktion angewendet werden soll. In diesem Beispiel wählen Sie AllUsers.
-
Überprüfen Sie die Zusammenfassung der Aktion.
-
Klicken Sie auf Weiter und dann auf Speichern.
Weitere Informationen zum Festlegen automatisierter Aktionen finden Sie unter Automatisierte Aktionen.
Wie Benutzer den Zugriff auf HDX-Apps wiedererlangen
Benutzer können den Zugriff auf HDX-Apps wiedererlangen, nachdem das Gerät wieder konform ist:
-
Gehen Sie auf dem Gerät zum Secure Hub-Store, um die Apps im Store zu aktualisieren.
-
Gehen Sie zur App und tippen Sie auf Hinzufügen zur App.
Nachdem die App hinzugefügt wurde, erscheint sie in “Meine Apps” mit einem blauen Punkt daneben, da es sich um eine neu installierte App handelt.
In diesem Artikel
- Exportieren und Konfigurieren des XenMobile Server-Zertifikats und Hochladen in den StoreFront-Store
- Konfigurieren der SmartAccess-Richtlinie für Virtual Apps and Desktops
- Festlegen automatisierter Aktionen in XenMobile
- Erstellen der Aktion, die die Benachrichtigung sendet, wenn ein Gerät als nicht konform markiert wird