SmartAccess para aplicaciones HDX™
Esta función te permite controlar el acceso a las aplicaciones HDX en función de las propiedades del dispositivo, las propiedades de usuario de un dispositivo o las aplicaciones instaladas en un dispositivo. Para usar esta función, debes configurar acciones automatizadas para marcar el dispositivo como no conforme y denegarle el acceso. Las aplicaciones HDX que usan esta función se configuran en Virtual Apps and Desktops mediante una directiva de SmartAccess que deniega el acceso a los dispositivos no conformes. XenMobile comunica el estado del dispositivo a StoreFront™ mediante una etiqueta firmada y cifrada. A continuación, StoreFront permite o deniega el acceso en función de la directiva de control de acceso de la aplicación.
Para usar esta función, tu implementación requiere:
- Virtual Apps and Desktops 7.6
- StoreFront 3.7 o 3.8
- XenMobile® Server configurado para agregar aplicaciones HDX desde un servidor StoreFront
- XenMobile Server configurado con un certificado SAML para firmar y cifrar etiquetas. El mismo certificado, sin clave privada, se carga en el servidor StoreFront.
Para empezar a usar esta función:
- Configura el certificado de XenMobile Server en el almacén de StoreFront.
- Configura al menos un grupo de entrega de Virtual Apps and Desktops con la directiva de SmartAccess requerida.
- Establece la acción automatizada en XenMobile.
Exportar y configurar el certificado de XenMobile Server y cargarlo en el almacén de StoreFront
SmartAccess usa etiquetas firmadas y cifradas para comunicarse entre los servidores XenMobile y StoreFront. Para habilitar esa comunicación, agrega el certificado de XenMobile Server al almacén de StoreFront.
Para obtener más información sobre cómo integrar StoreFront y XenMobile cuando XenMobile está habilitado con autenticación basada en dominio y certificado, consulta el Centro de conocimiento de asistencia.
Exportar el certificado SAML desde XenMobile Server
-
En la consola de XenMobile, haz clic en el icono de engranaje de la esquina superior derecha. Aparecerá la página Settings. Haz clic en Certificates.
-
Busca el certificado SAML para XenMobile Server.
-
Asegúrate de que Export private key esté establecido en Off. Haz clic en Export para exportar el certificado a tu directorio de descargas.
-
Busca el certificado en tu directorio de descargas. El certificado está en formato PEM.
Convertir el certificado de PEM a CER
-
Abre la Consola de administración de Microsoft (MMC) y haz clic con el botón derecho en Certificates > All Tasks > Import.
-
Cuando aparezca el asistente para importar certificados, haz clic en Next.
-
Explora hasta el certificado en el directorio de descargas.
-
Selecciona Place all certificates in the following store y selecciona Personal como almacén de certificados. Haz clic en Next.
-
Revisa tus selecciones y haz clic en Finish. Haz clic en OK para cerrar la ventana de confirmación.
-
En la MMC, haz clic con el botón derecho en el certificado y, a continuación, elige All Tasks > Export.
-
Cuando aparezca el asistente para exportar certificados, haz clic en Next.
-
Elige el formato DER encoded binary X.509 (.CER). Haz clic en Next.
-
Explora hasta el certificado. Escribe un nombre para el certificado y, a continuación, haz clic en Next.
-
Guarda el certificado.
-
Explora hasta el certificado y haz clic en Next.
-
Revisa tus selecciones y haz clic en Finish. Haz clic en OK para cerrar la ventana de confirmación.
-
Busca el certificado en tu directorio de descargas. El certificado está en formato CER.
Copiar el certificado al servidor StoreFront
-
En el servidor StoreFront, crea una carpeta llamada SmartCert.
-
Copia el certificado a la carpeta SmartCert.
Configurar el certificado en el almacén de StoreFront
En el servidor StoreFront, ejecuta este comando de PowerShell para configurar el certificado convertido de XenMobile Server en el almacén:
Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath “C:\xms\xms.cer” –ServerName “XMS server”
<!--NeedCopy-->
Si hay certificados existentes en el almacén de StoreFront, ejecuta este comando de PowerShell para revocarlos:
Revoke-STFStorePnaSmartAccess –StoreService $store –All
<!--NeedCopy-->
Alternativamente, puedes ejecutar cualquiera de estos comandos de PowerShell en el servidor StoreFront para revocar los certificados existentes en el almacén de StoreFront:
- Revocar por nombre:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
<!--NeedCopy-->
- Revocar por huella digital:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint “ReplaceWithThumbprint”
<!--NeedCopy-->
- Revocar por objeto de servidor:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
$access = Get-STFStorePnaSmartAccess –StoreService $store
Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]
<!--NeedCopy-->
Configurar la directiva de SmartAccess para Virtual Apps and Desktops
Para agregar la directiva de SmartAccess requerida al grupo de entrega que distribuye la aplicación HDX:
-
En el servidor Virtual Apps and Desktops, abre Citrix Studio.
-
Selecciona Delivery Groups en el panel de navegación de Studio.
-
Selecciona un grupo que distribuya la aplicación o las aplicaciones a las que quieres controlar el acceso. A continuación, selecciona Edit Delivery Group en el panel Actions.
-
En la página Access Policy, selecciona Connections through NetScaler® Gateway y Connection meeting any of the following.
-
Haz clic en Add.
-
Agrega una directiva de acceso donde Farm sea XM y Filter sea XMCompliantDevice.
-
Haz clic en Apply para aplicar los cambios que hayas realizado y mantener la ventana abierta, o haz clic en OK para aplicar los cambios y cerrar la ventana.
Establecer acciones automatizadas en XenMobile
La directiva de SmartAccess que estableces en el grupo de entrega para una aplicación HDX deniega el acceso a un dispositivo cuando este no es conforme. Usa acciones automatizadas para marcar el dispositivo como no conforme.
-
Desde la consola de XenMobile, haz clic en Configure > Actions. Aparecerá la página Actions.
-
Haz clic en Add para agregar una acción. Aparecerá la página Action Information.
-
En la página Action Information, escribe un nombre y una descripción para la acción.
-
Haz clic en Next. Aparecerá la página Action details. En el siguiente ejemplo, se crea un desencadenador que marca inmediatamente los dispositivos como no conformes si tienen el nombre de propiedad de usuario eng5 o eng6.
-
En la lista Trigger, elige Device property, User property o Installed app name. SmartAccess no admite desencadenadores de eventos.
-
En la lista Action:
- Elige Mark the device as out of compliance.
- Elige Is.
- Elige True.
- Para configurar la acción para marcar el dispositivo como no conforme inmediatamente cuando se cumpla la condición del desencadenador, establece el período de tiempo en 0.
-
Elige el grupo o los grupos de entrega de XenMobile a los que aplicar esta acción.
-
Revisa el resumen de la acción.
-
Haz clic en Next y, a continuación, en Save.
Cuando el dispositivo se marca como no conforme, las aplicaciones HDX ya no aparecen en el almacén de Secure Hub. El usuario ya no está suscrito a la aplicación. No se envía ninguna notificación al dispositivo y nada en el almacén de Secure Hub indica que las aplicaciones HDX estaban disponibles anteriormente.
Si quieres que los usuarios reciban una notificación cuando un dispositivo se marque como no conforme, crea una notificación y, a continuación, crea una acción automatizada para enviar esa notificación.
Este ejemplo crea y envía esta notificación cuando un dispositivo se marca como no conforme: “El número de serie o el número de teléfono del dispositivo ya no cumple con la directiva del dispositivo y las aplicaciones HDX están bloqueadas.”
Crear la notificación que ven los usuarios cuando un dispositivo se marca como no conforme
-
En la consola de XenMobile, haz clic en el icono de engranaje de la esquina superior derecha de la consola. Aparecerá la página Settings.
-
Haz clic en Notification Templates. Aparecerá la página Notification Templates.
-
Haz clic en Add para agregar en la página Notification Templates.
-
Cuando se te pida que configures primero el servidor SMS, haz clic en No, set up later.
-
Configura estos ajustes:
- Name: Bloqueo de aplicación HDX
- Description: Notificación del agente cuando un dispositivo no es conforme
- Type: Notificación ad hoc
- Secure Hub: Activado
- Message: El dispositivo ${firstnotnull(device.TEL_NUMBER,device.serialNumber)} ya no cumple con la directiva del dispositivo y las aplicaciones HDX están bloqueadas.
-
Haz clic en Save.
Crear la acción que envía la notificación cuando un dispositivo se marca como no conforme
-
Desde la consola de XenMobile, haz clic en Configure > Actions. Aparecerá la página Actions.
-
Haz clic en Add para agregar una acción. Aparecerá la página Action Information.
-
En la página Action Information, introduce un nombre y una descripción para la acción:
- Name: Notificación de bloqueo de HDX
- Description: Notificación de bloqueo de HDX porque el dispositivo no es conforme
-
Haz clic en Next. Aparecerá la página Action details.
-
En la lista Trigger:
- Elige Device property.
- Elige Out of compliance.
- Elige Is.
- Elige True.
-
En la lista Action, especifica las acciones que se producen cuando se cumple el desencadenador:
- Elige Send notification
- Elige Bloqueo de aplicación HDX, la notificación que creaste.
- Elige 0. Establecer este valor en 0 hace que la notificación se envíe cuando se cumpla la condición del desencadenador.
-
Selecciona el grupo o los grupos de entrega de XenMobile a los que aplicar esta acción. En este ejemplo, elige AllUsers.
-
Revisa el resumen de la acción.
-
Haz clic en Next y, a continuación, en Save.
Para obtener más información sobre cómo establecer acciones automatizadas, consulta Acciones automatizadas.
Cómo los usuarios recuperan el acceso a las aplicaciones HDX
Los usuarios pueden volver a acceder a las aplicaciones HDX una vez que el dispositivo vuelve a ser conforme:
-
En el dispositivo, ve al almacén de Secure Hub para actualizar las aplicaciones del almacén.
-
Ve a la aplicación y pulsa Agregar en la aplicación.
Una vez agregada la aplicación, aparece en Mis aplicaciones con un punto azul al lado, porque es una aplicación recién instalada.
