Integración de Citrix Endpoint Management
-
Este artículo cubre lo que debes considerar al planificar cómo integrar Citrix Endpoint Management con tu red y soluciones existentes. Por ejemplo, si ya usas NetScaler Gateway para Citrix Virtual Apps and Desktops:
- ¿Quieres usar la instancia de NetScaler Gateway existente o una instancia nueva y dedicada?
- ¿Quieres integrar con Citrix Endpoint Management las aplicaciones HDX publicadas con StoreFront?
- ¿Piensas usar Citrix Files con Citrix Endpoint Management?
- ¿Tienes una solución de Control de acceso a la red que quieras integrar en Citrix Endpoint Management?
NetScaler Gateway
-
NetScaler Gateway es necesario para Citrix Endpoint Management. NetScaler Gateway proporciona una ruta de micro VPN para acceder a todos los recursos corporativos y ofrece una sólida compatibilidad con la autenticación multifactor.
-
Puedes usar instancias de NetScaler Gateway existentes o configurar otras nuevas para Citrix Endpoint Management. Las siguientes secciones describen las ventajas y desventajas de usar instancias de NetScaler Gateway existentes o nuevas y dedicadas.
-
NetScaler Gateway MPX compartido con una VIP de NetScaler Gateway creada para Citrix Endpoint Management
-
Ventajas:
- Usa una instancia común de NetScaler Gateway para todas las conexiones remotas de Citrix: Citrix Virtual Apps, VPN completa y VPN sin cliente.
- Usa las configuraciones existentes de NetScaler Gateway, como para la autenticación de certificados y para acceder a servicios como DNS, LDAP y NTP.
-
Usa una única licencia de plataforma de NetScaler Gateway.
-
Desventajas:
- Es más difícil planificar la escalabilidad cuando gestionas dos casos de uso diferentes en el mismo NetScaler Gateway.
- A veces necesitas una versión específica de NetScaler Gateway para un caso de uso de Citrix Virtual Apps. Esa misma versión podría tener problemas conocidos para Citrix Endpoint Management. O Citrix Endpoint Management podría tener problemas conocidos para la versión de NetScaler Gateway.
- Si ya existe un NetScaler Gateway, no puedes ejecutar el asistente de NetScaler para XenMobile una segunda vez para crear la configuración de NetScaler Gateway para Citrix Endpoint Management.
- Excepto cuando se usan licencias Platinum para NetScaler Gateway 11.1 o posterior: Las licencias de acceso de usuario instaladas en NetScaler Gateway y necesarias para la conectividad VPN se agrupan. Dado que esas licencias están disponibles para todos los servidores virtuales de NetScaler Gateway, otros servicios distintos de Citrix Endpoint Management pueden consumirlas.
Instancia dedicada de NetScaler Gateway VPX/MPX
-
Ventajas:
-
Citrix recomienda usar una instancia dedicada de NetScaler Gateway.
- Más fácil de planificar la escalabilidad y separar el tráfico de Citrix Endpoint Management de una instancia de NetScaler Gateway que ya podría tener recursos limitados.
- Evita problemas cuando Citrix Endpoint Management y Citrix Virtual Apps necesitan diferentes versiones de software de NetScaler Gateway. La recomendación general es usar la última versión y compilación compatible de NetScaler Gateway para Citrix Endpoint Management.
- Permite la configuración de NetScaler Gateway para Citrix Endpoint Management a través del asistente integrado de NetScaler para XenMobile.
- Separación virtual y física de los servicios.
Desventajas:
- Requiere la configuración de servicios adicionales en NetScaler Gateway para admitir la configuración de Citrix Endpoint Management.
- Requiere otra licencia de plataforma de NetScaler Gateway. Licencia cada instancia de NetScaler Gateway para NetScaler Gateway.
Para obtener información sobre qué considerar al integrar NetScaler Gateway y Citrix ADC para los modos de administración de Citrix Endpoint Management, consulta Integración con NetScaler Gateway y Citrix ADC.
-
StoreFront
Si tienes un entorno de Citrix Virtual Apps and Desktops, puedes integrar aplicaciones HDX con Citrix Endpoint Management usando StoreFront. Cuando integras aplicaciones HDX con Citrix Endpoint Management:
- Las aplicaciones están disponibles para los usuarios inscritos en Citrix Endpoint Management.
- Las aplicaciones se muestran en la tienda de aplicaciones junto con otras aplicaciones móviles.
- Citrix Endpoint Management usa Citrix Receiver en StoreFront.
- Cuando la aplicación Citrix Workspace está instalada en un dispositivo, las aplicaciones HDX se inician usando esa aplicación.
StoreFront tiene una limitación de un sitio de servicio por instancia de StoreFront. Supongamos que tienes muchas tiendas y quieres segmentarlas de otros usos de producción. En ese caso, Citrix generalmente recomienda que consideres una nueva instancia de StoreFront y un sitio de servicios para Citrix Endpoint Management.
Las consideraciones incluyen:
- ¿Existen requisitos de autenticación diferentes para StoreFront? El sitio de servicios de StoreFront requiere credenciales de Active Directory para iniciar sesión. Los clientes que solo usan autenticación basada en certificados no pueden enumerar aplicaciones a través de Citrix Endpoint Management usando el mismo NetScaler Gateway.
- ¿Usar la misma tienda o crear una tienda?
-
¿Usar el mismo servidor de StoreFront o uno diferente?
- Las siguientes secciones describen las ventajas y desventajas de usar StoreFronts separados o combinados para Citrix Workspace y las aplicaciones de productividad móvil de Citrix.
Integrar tu instancia existente de StoreFront con Citrix Endpoint Management
-
Ventajas:
- Misma tienda: No se requiere ninguna configuración adicional de StoreFront para Citrix Endpoint Management, suponiendo que uses la misma VIP de NetScaler Gateway para el acceso HDX. Supongamos que eliges usar la misma tienda y quieres dirigir el acceso a Citrix Workspace a una nueva VIP de NetScaler Gateway. En ese caso, agrega la configuración adecuada de NetScaler Gateway a StoreFront.
- Mismo servidor de StoreFront: Usa la instalación y configuración existentes de StoreFront.
Desventajas:
- Misma tienda: Cualquier reconfiguración de StoreFront para admitir cargas de trabajo de Citrix Virtual Apps and Desktops podría afectar negativamente a Citrix Endpoint Management.
-
Mismo servidor de StoreFront: En entornos grandes, considera la carga adicional del uso de Citrix Receiver por parte de Citrix Endpoint Management para la enumeración e inicio de aplicaciones.
-
Usar una instancia nueva y dedicada de StoreFront para la integración con Citrix Endpoint Management
Ventajas:
- Nueva tienda: Cualquier cambio de configuración de la tienda de StoreFront para Citrix Endpoint Management no afecta a las cargas de trabajo existentes de Virtual Apps and Desktops.
-
Nuevo servidor de StoreFront: Los cambios en la configuración del servidor no afectan a los flujos de trabajo de Virtual Apps and Desktops. Además, la carga ajena al uso de Citrix Receiver por parte de Citrix Endpoint Management para la enumeración e inicio de aplicaciones no afecta a la escalabilidad.
-
Desventajas:
- Nueva tienda: configuración de la tienda de StoreFront.
-
Nuevo servidor de StoreFront: requiere una nueva instalación y configuración de StoreFront.
-
Para obtener más información, consulta Citrix Virtual Apps and Desktops a través de la tienda de aplicaciones.
-
ShareFile y Citrix Files
Aviso legal:
Esta función quedará obsoleta si ShareFile (ahora Progress) deja de ofrecer asistencia.
-
ShareFile te permite intercambiar documentos de forma fácil y segura, enviar documentos grandes por correo electrónico y gestionar de forma segura las transferencias de documentos a terceros. La aplicación Citrix Files permite a los usuarios acceder y sincronizar todos sus datos desde cualquier dispositivo. Con Citrix Files, los usuarios pueden compartir datos de forma segura con personas tanto dentro como fuera de la organización.
-
Citrix Endpoint Management proporciona Citrix Files con:
- Autenticación de inicio de sesión único para los usuarios de aplicaciones de productividad móvil.
- Aprovisionamiento de cuentas de usuario basado en Active Directory.
- Políticas integrales de control de acceso.
Los usuarios móviles pueden beneficiarse de todas las funciones de la cuenta Enterprise.
-
Alternativamente, puedes configurar Citrix Endpoint Management para que se integre solo con los conectores de zona de almacenamiento. A través de los conectores de zona de almacenamiento, Citrix Files proporciona acceso a:
- Documentos y carpetas
- Recursos compartidos de red
-
En sitios de SharePoint: colecciones de sitios y bibliotecas de documentos.
-
Los recursos compartidos de archivos conectados pueden incluir las mismas unidades de inicio de red utilizadas en entornos de Citrix Virtual Apps and Desktops. Usas la consola de Citrix Endpoint Management para configurar la integración con cuentas Enterprise o conectores de zona de almacenamiento. Para obtener más información, consulta Citrix Files para Citrix Endpoint Management.
-
Las siguientes secciones recogen las preguntas que debes hacerte al tomar decisiones de diseño para Citrix Files.
-
Integrar con Citrix Files o solo con conectores de zona de almacenamiento
Preguntas que debes hacerte:
- ¿Quieres almacenar datos en zonas de almacenamiento gestionadas por Citrix?
- ¿Quieres proporcionar a los usuarios capacidades de sincronización y uso compartido de archivos?
-
¿Quieres permitir a los usuarios acceder a los archivos en el sitio web de Citrix Files? ¿O acceder al contenido de Office 365 y a los conectores de Personal Cloud desde dispositivos móviles?
-
Decisión de diseño:
- Si la respuesta a cualquiera de esas preguntas es “sí”, integra con una cuenta Enterprise.
-
Una integración solo con conectores de zona de almacenamiento proporciona a los usuarios de iOS acceso móvil seguro a los repositorios de almacenamiento locales existentes, como sitios de SharePoint y recursos compartidos de red. En esta configuración, no configuras un subdominio de Citrix Files, no aprovisionas usuarios en Citrix Files ni alojas datos de Citrix Files. El uso de conectores de zona de almacenamiento con Citrix Endpoint Management sigue las restricciones de seguridad contra la fuga de información del usuario fuera de la red corporativa.
-
Ubicación del servidor del controlador de zonas de almacenamiento
Preguntas que debes hacerte:
- ¿Necesitas almacenamiento local o funciones como los conectores de zona de almacenamiento?
- Si usas funciones locales de Citrix Files, ¿dónde se ubicarán los controladores de zonas de almacenamiento en la red?
Decisión de diseño:
- Determina si ubicar los servidores del controlador de zonas de almacenamiento en la nube de Citrix Files, en tu sistema de almacenamiento local de un solo inquilino o en un almacenamiento en la nube de terceros compatible.
- Los controladores de zonas de almacenamiento requieren cierto acceso a Internet para comunicarse con el plano de control de Citrix Files. Puedes conectarte de varias maneras, incluido el acceso directo o las configuraciones NAT/PAT.
Conectores de zona de almacenamiento
-
Preguntas que debes hacerte:
- ¿Cuáles son las rutas de los recursos compartidos CIFS?
- ¿Cuáles son las URL de SharePoint?
Decisión de diseño:
- Determina si se requieren controladores de zonas de almacenamiento locales para acceder a esas ubicaciones.
- Debido a la comunicación del conector de zona de almacenamiento con recursos internos como repositorios de archivos, recursos compartidos CIFS y SharePoint: Citrix recomienda que los controladores de zonas de almacenamiento estén en la red interna detrás de los firewalls de la DMZ y con NetScaler Gateway como interfaz.
Integración de SAML con Citrix Endpoint Management
Preguntas que debes hacerte:
- ¿Se requiere autenticación de Active Directory para Citrix Files?
- ¿El primer uso de la aplicación Citrix Files para Citrix Endpoint Management requiere SSO?
- ¿Hay un IdP estándar en tu entorno actual?
- ¿Cuántos dominios se requieren para usar SAML?
- ¿Hay muchos alias de correo electrónico para los usuarios de Active Directory?
- ¿Hay alguna migración de dominio de Active Directory en curso o programada pronto?
Decisión de diseño:
Puedes elegir usar SAML como mecanismo de autenticación para Citrix Files. Las opciones de autenticación son:
-
Usa el servidor de Citrix Endpoint Management como proveedor de identidades (IdP) para SAML
Esta opción puede proporcionar una excelente experiencia de usuario, automatizar la creación de cuentas de Citrix Files y habilitar las funciones de SSO para aplicaciones móviles.
El servidor de Citrix Endpoint Management está mejorado para este proceso: No requiere la sincronización de Active Directory.
Usa la herramienta de administración de usuarios de Citrix Files para el aprovisionamiento de usuarios.
-
Usa un proveedor externo compatible como IdP para SAML
Si tienes un IdP existente y compatible y no necesitas funciones de SSO para aplicaciones móviles, esta opción podría ser la mejor para ti. Esta opción también requiere el uso de la herramienta de administración de usuarios de Citrix Files para el aprovisionamiento de cuentas.
El uso de soluciones IdP de terceros como ADFS también podría proporcionar funciones de SSO en el lado del cliente de Windows. Asegúrate de evaluar los casos de uso antes de elegir tu IdP SAML de Citrix Files.
-
O, para satisfacer ambos casos de uso, consulta la guía de configuración de inicio de sesión único de ShareFile para proveedores de identidades duales.
Aplicaciones móviles
Preguntas que hacer:
- ¿Qué aplicación móvil de Citrix Files planeas usar (pública, MDM, MDX)?
Decisión de diseño:
- Distribuyes las aplicaciones de productividad móvil de Citrix desde Apple App Store y Google Play Store. Con esa distribución pública en la tienda de aplicaciones, obtienes aplicaciones encapsuladas desde la página de descargas de Citrix.
- Si tus requisitos de seguridad son bajos y no necesitas la contenerización, la aplicación pública de Citrix Files podría no ser adecuada.
- Para obtener más información, consulta Aplicaciones y Citrix Files para Citrix Endpoint Management.
Seguridad, políticas y control de acceso
Preguntas que hacer:
- ¿Qué restricciones necesitas para los usuarios de escritorio, web y móviles?
- ¿Qué configuraciones de control de acceso estándar quieres para los usuarios?
- ¿Qué política de retención de archivos planeas usar?
Decisión de diseño:
- Citrix Files te permite administrar los permisos de los empleados. Para obtener información, consulta Permisos de empleado.
- Algunas configuraciones de seguridad de dispositivos de Citrix Files y políticas MDX controlan las mismas funciones. En esos casos, las políticas de Citrix Endpoint Management tienen prioridad, seguidas de las configuraciones de seguridad de dispositivos de Citrix Files. Ejemplos: Si deshabilitas las aplicaciones externas en Citrix Files, pero las habilitas en Citrix Endpoint Management, las aplicaciones externas se deshabilitan en Citrix Files. Puedes configurar las aplicaciones para que Citrix Endpoint Management no requiera un PIN/código de acceso, pero la aplicación Citrix Files sí lo requiera.
Zonas de almacenamiento estándar frente a restringidas
Preguntas que hacer:
- ¿Necesitas zonas de almacenamiento restringidas?
Decisión de diseño:
- Una zona de almacenamiento estándar está destinada a datos no confidenciales y permite a los empleados compartir datos con no empleados. Esta opción admite flujos de trabajo que implican compartir datos fuera de tu dominio.
- Una zona de almacenamiento restringida protege los datos confidenciales: Solo los usuarios de dominio autenticados pueden acceder a los datos almacenados en la zona.
Control de acceso
Las empresas pueden administrar dispositivos móviles dentro y fuera de las redes. Las soluciones de administración de movilidad empresarial, como Citrix Endpoint Management, son excelentes para proporcionar seguridad y controles para dispositivos móviles, independientemente de la ubicación. Sin embargo, cuando las combinas con una solución de Control de Acceso a la Red (NAC), puedes agregar QoS y un control más granular a los dispositivos que son internos a tu red. Esa combinación te permite extender la evaluación de seguridad de dispositivos de Citrix Endpoint Management a través de tu solución NAC. Tu solución NAC puede usar entonces la evaluación de seguridad de Citrix Endpoint Management para facilitar y gestionar las decisiones de autenticación.
Puedes usar cualquiera de estas soluciones para aplicar políticas NAC:
- NetScaler Gateway
- ForeScout
Citrix no garantiza la integración para otras soluciones NAC.
Las ventajas de la integración de una solución NAC con Citrix Endpoint Management incluyen las siguientes:
- Mejor seguridad, cumplimiento y control para todos los puntos finales en una red empresarial.
- Una solución NAC puede:
- Detectar dispositivos en el instante en que intentan conectarse a tu red.
- Consultar Citrix Endpoint Management para obtener atributos de dispositivo.
- Usar esa información del dispositivo para determinar si permitir, bloquear, limitar o redirigir esos dispositivos. Esas decisiones dependen de las políticas de seguridad que elijas aplicar.
- Una solución NAC proporciona a los administradores de TI una vista de los dispositivos no administrados y no conformes.
Para obtener una descripción de los filtros de cumplimiento de NAC compatibles con Citrix Endpoint Management y una descripción general de la configuración, consulta Control de acceso a la red.