Accès adaptatif basé sur l’emplacement réseau de l’utilisateur
La fonctionnalité d’accès adaptatif de Citrix Workspace™ utilise une infrastructure de stratégie avancée pour permettre l’accès à Citrix DaaS™ en fonction de l’emplacement réseau de l’utilisateur. L’emplacement est défini à l’aide de la plage d’adresses IP ou des adresses de sous-réseau.
-
Les administrateurs peuvent définir des stratégies pour énumérer ou non les applications et bureaux virtuels en fonction de l’emplacement réseau de l’utilisateur. Les administrateurs peuvent également contrôler les actions de l’utilisateur en activant ou désactivant l’accès au presse-papiers, aux imprimantes, au mappage de lecteurs clients, etc., en fonction de l’emplacement réseau de l’utilisateur. Par exemple, les administrateurs peuvent configurer des stratégies de manière à ce que les utilisateurs accédant aux ressources depuis leur domicile aient un accès limité aux applications et que les utilisateurs accédant aux ressources depuis les succursales aient un accès complet.
-
Un administrateur peut implémenter les stratégies suivantes pour accéder aux applications :
- Énumérer quelques applications sensibles uniquement depuis l’emplacement de l’entreprise ou depuis ses succursales.
- Ne pas énumérer les applications sensibles si les employés accèdent à l’espace de travail depuis un réseau externe.
- Désactiver l’accès aux imprimantes depuis les succursales.
- Désactiver l’accès au presse-papiers et l’accès aux imprimantes lorsque les utilisateurs sont en dehors du réseau de l’entreprise.
Droits
La fonctionnalité d’accès adaptatif est disponible dans le cadre de la licence Universal Hybrid Multi Cloud (UHMC) et de la licence de plateforme (CPL). Pour plus d’informations, consultez https://www.citrix.com/buy/licensing/product.html.
Conditions préalables
-
Assurez-vous que la fonctionnalité Accès adaptatif est activée (Citrix Workspace > Accès > Accès adaptatif). Pour plus de détails, consultez Activer la fonctionnalité d’accès adaptatif.
-
Lorsque l’accès adaptatif est activé, les stratégies d’accès DaaS sont mises à jour pour utiliser l’option Connexions via Citrix Gateway.
-
Remarque :
-
-
NetScaler® Gateway est requis pour ajouter des balises d’accès intelligent dans les stratégies d’accès DaaS. Cependant, étant donné que DaaS consomme des balises des services Device Posture, Adaptive Access et Adaptive Authentication, il n’est pas nécessaire d’avoir un NetScaler Gateway configuré dans votre configuration.
-
-
Compréhension des balises d’emplacement. Pour plus de détails, consultez Balises d’emplacement réseau.
Points à noter
Les points suivants ne sont applicables que si vous souhaitez restreindre l’énumération des applications en fonction de l’emplacement. Si vous prévoyez d’utiliser l’accès adaptatif pour restreindre les contrôles utilisateur tels que la désactivation de l’accès au presse-papiers, la redirection d’imprimante, le mappage de lecteurs clients, en fonction de l’emplacement réseau, vous pouvez ignorer ces directives.
- Si vous prévoyez d'énumérer sélectivement Citrix DaaS en fonction de l'emplacement réseau, la gestion des utilisateurs doit être effectuée pour ces groupes de mise à disposition à l'aide des stratégies Citrix Studio au lieu de l'espace de travail. Lors de la création d'un groupe de mise à disposition, dans le **paramètre Utilisateurs**, choisissez soit **Restreindre l'utilisation de ce groupe de mise à disposition** aux utilisateurs, soit **Autoriser tout utilisateur authentifié à utiliser ce groupe de mise à disposition**. Cela vous permet de configurer l'accès adaptatif dans l'onglet **Stratégie d'accès** sous **Groupe de mise à disposition**.
- Modifications apportées à la connexion directe de charge de travail lorsque l'accès adaptatif est activé.
- Le champ **Balises d'emplacement** est visible dans **Citrix Cloud™ > Emplacements réseau > Ajouter un emplacement réseau > Balises d'emplacement**.
- Les stratégies de connexion directe de charge de travail existantes fonctionnent comme prévu.
- De nouvelles stratégies doivent être créées dans le service Emplacements réseau (sans définir de balises) et également sur le groupe de mise à disposition. De plus, le type de connectivité réseau doit être **Interne**.
- Pour les nouvelles stratégies de connexion directe de charge de travail avec des balises, les balises doivent être définies dans le service Emplacements réseau et les mêmes balises doivent également être définies sur le groupe de mise à disposition ou la stratégie d'accès dans DaaS Studio. De plus, le type de connectivité réseau doit être **Interne**. Les balises d'emplacement ne sont pas pertinentes pour la connexion directe de charge de travail.
-
Il est recommandé de tester votre déploiement Citrix DaaS comme suit.
- Identifiez un groupe de mise à disposition de test ou créez un groupe de mise à disposition pour implémenter cette fonctionnalité.
- Créez une stratégie ou identifiez une stratégie pouvant être utilisée avec un groupe de mise à disposition de test.
Activer la fonctionnalité d’accès adaptatif
- Connectez-vous à Citrix Cloud.
- Sélectionnez Configuration de l’espace de travail dans le menu hamburger.
-
- Le bouton bascule Accès adaptatif est désactivé par défaut. Activez le bouton bascule Accès adaptatif.
-
- Cliquez sur Oui, activer l’accès adaptatif dans le message de confirmation.
-
Lorsque l’accès adaptatif est activé, vous pouvez définir les balises d’emplacement pour l’accès adaptatif (Citrix Cloud > Emplacements réseau > Ajouter un emplacement réseau > Balises d’emplacement).
Lorsque l’accès adaptatif est désactivé, vous ne pouvez pas ajouter d’emplacement réseau. Les balises d’emplacement ne sont pas applicables dans ce cas.
Important : - > Lorsque vous tentez de désactiver la fonctionnalité d’accès adaptatif, le message suivant s’affiche. Notez que Workspace n’envoie pas les balises au DaaS pour l’accès adaptatif lorsque la fonctionnalité est désactivée.
Configurer l’accès adaptatif
Prenons un scénario dans lequel un administrateur doit appliquer un contrôle d’accès basé sur les emplacements réseau des utilisateurs (par exemple, bureau et domicile). L’administrateur doit également appliquer des contrôles intelligents tels que des restrictions de presse-papiers pour les utilisateurs travaillant à domicile. Pour réaliser ce scénario avec l’accès adaptatif, l’administrateur doit créer 2 groupes de mise à disposition basés sur le réseau de l’utilisateur :
- Groupe de mise à disposition Accès adaptatif pour les agences avec des applications pertinentes pour les utilisateurs des agences.
- Groupe de mise à disposition WFH (télétravail) avec des applications pertinentes pour les utilisateurs à domicile/à distance.
Une fois les groupes de mise à disposition créés, les étapes générales suivantes sont impliquées dans la configuration de l’accès adaptatif basé sur les emplacements réseau :
- Définir les balises et configurer les stratégies d’emplacement réseau.
- Utiliser les balises définies dans les groupes de mise à disposition pour l’énumération des applications et/ou appliquer des contrôles intelligents sur les applications.
Définir les balises d’emplacement réseau pour l’accès basé sur l’emplacement
La première étape consiste à définir des balises pour les utilisateurs en fonction de leur emplacement : bureau ou domicile.
- **BRANCHOFFICE :** Cette balise doit être attribuée aux utilisateurs se connectant depuis le réseau du bureau. Ces utilisateurs ont un accès complet à toutes les applications qui leur sont disponibles.
- **WORKFROMHOME :** Cette balise doit être attribuée aux utilisateurs travaillant à distance. Ces utilisateurs ont un accès limité aux applications et à certaines fonctionnalités (comme la fonctionnalité du presse-papiers).
Pour plus d’informations sur les balises, consultez Balises d’emplacement réseau.
Maintenant que vous avez créé les groupes de mise à disposition et les balises respectives basées sur l’emplacement de l’utilisateur, vous pouvez passer à la configuration de la stratégie d’emplacement réseau.
Configurer les stratégies d’emplacement réseau
Définissez les règles de stratégie d’emplacement réseau pour l’emplacement de votre utilisateur en fournissant l’adresse IP source publique et la balise d’emplacement.
- Connectez-vous à Citrix Cloud.
- Sélectionnez Emplacements réseau dans le menu hamburger. Assurez-vous que le bouton d’accès adaptatif est activé. Sinon, l’interface utilisateur pour la connexion directe de la charge de travail s’affiche.
-
Cliquez sur Ajouter un emplacement réseau.
-
Nom de l’emplacement : Saisissez un nom approprié pour la stratégie.
Exemple : BRANCHOFFICE ou WORKFROMHOME
-
Plage d’adresses IP publiques : Définissez la plage d’adresses IP publiques pour votre réseau.
- Exemple : 192.0.2.10 - 192.0.2.30
-
Balises d’emplacement : Définissez des balises pour votre emplacement. Il peut s’agir d’un nom faisant référence à votre emplacement. Ces balises sont utilisées pour configurer les stratégies d’accès adaptatif dans Citrix Studio. Pour plus de détails, consultez Définir les balises dans Citrix Studio.
Exemple : BRANCHOFFICE ou WORKFROMHOME
- Type de connectivité : Définissez le type de lancement d’application.
Interne – Contourner la passerelle pour le lancement de l’application. Externe – Utiliser le service Citrix Gateway ou une passerelle traditionnelle pour le lancement de l’application.
-
-
- Cliquez sur Enregistrer.
- Vous pouvez maintenant utiliser ces balises dans DaaS Studio pour activer l’accès adaptatif.
Remarque :
- Si les balises d’emplacement réseau ne sont pas attribuées aux groupes de mise à disposition, les utilisateurs bénéficient d’un accès illimité à toutes les applications dans les groupes de mise à disposition Accès adaptatif et WFH. Cela peut entraîner des scénarios où les utilisateurs pourraient accéder par inadvertance à certaines applications auxquelles ils ne sont pas autorisés. L’attribution de balises d’emplacement aux groupes de mise à disposition garantit que l’accès est contrôlé en fonction de l’emplacement réseau des utilisateurs.
- Lors de la définition des balises d’emplacement, assurez-vous de n’entrer que le nom de balise préféré sans le préfixe « LOCATION_TAG », par exemple BRANCHOFFICE. Cependant, lors de la définition des balises dans Citrix Studio, vous devez préfixer le nom de la balise avec « LOCATION_TAG ». Par exemple, « LOCATION_TAG_BRANCHOFFICE ».
Utiliser les balises définies dans les groupes de mise à disposition pour l’énumération des applications
- Connectez-vous à Citrix Cloud.
- Sur la vignette Citrix DaaS, cliquez sur Gérer.
- Créez un groupe de mise à disposition. Pour plus de détails, consultez Créer des groupes de mise à disposition.
- Sélectionnez le groupe de mise à disposition que vous avez créé, puis cliquez sur Modifier le groupe de mise à disposition.
- Cliquez sur Stratégie d’accès.
-
Pour les clients utilisant l’accès adaptatif au sein de la plateforme Citrix Workspace, effectuez les étapes suivantes pour restreindre l’accès d’un groupe de mise à disposition aux réseaux internes uniquement :
- Cliquez avec le bouton droit sur le groupe de mise à disposition et sélectionnez Modifier.
- Sélectionnez la stratégie d’accès dans le volet gauche.
-
Cliquez sur l’icône de modification pour modifier la stratégie de connexions Citrix Gateway par défaut.
-
Sur la page Modifier la stratégie, sélectionnez Connexions répondant aux critères suivants, sélectionnez Correspondre à n’importe lequel, puis ajoutez les critères.
Pour les utilisateurs WorkFromHome, saisissez les valeurs suivantes dans le contrôleur de livraison respectif.
Filtre : Workspace
Valeur : LOCATION_TAG_WORKFROMHOME
Pour les utilisateurs BranchOffice, saisissez les valeurs suivantes dans le contrôleur de livraison respectif.
Filtre : Workspace
Valeur : LOCATION_TAG_BRANCHOFFICE
Remarque :
- Assurez-vous que dans le champ Valeur, vous saisissez le nom de balise d’emplacement correct tel que vous l’avez défini lors de la création des stratégies d’emplacement réseau, préfixé par « LOCATION_TAG ». Par exemple, si vous avez défini la balise d’emplacement comme « BRANCHOFFICE », vous devez saisir « LOCATION_TAG_BRANCHOFFICE » dans le champ Valeur. Les balises d’emplacement réseau dans les groupes de mise à disposition doivent être saisies en majuscules, quelle que soit la manière dont elles ont été définies dans la stratégie d’emplacement réseau. Pour plus de détails sur la configuration des balises d’emplacement, consultez Configurer les stratégies d’emplacement réseau.
- Les balises d’emplacement réseau dans les groupes de mise à disposition doivent être saisies en majuscules, quelle que soit la manière dont elles ont été définies dans la stratégie d’emplacement réseau. Pour plus de détails sur la configuration des balises d’emplacement, consultez Configurer les stratégies d’emplacement réseau.
(Facultatif) Appliquer des contrôles intelligents aux applications
En plus de restreindre l’accès à l’aide de balises d’emplacement réseau, les administrateurs peuvent également appliquer des contrôles intelligents aux applications. Dans cet exemple, la redirection du presse-papiers client est désactivée pour les utilisateurs de l’emplacement WorkFromHome.
- Connectez-vous à Citrix DaaS.
- Accédez à Stratégies et cliquez sur Créer une stratégie.
- Sélectionnez Redirection du presse-papiers client, puis cliquez sur Interdire.
- Cliquez sur Suivant.
- Sur la page Attribuer la stratégie à, sélectionnez Contrôle d’accès.
-
Définissez les valeurs suivantes pour la stratégie :
- Mode : Autoriser
- Type de connexion : Avec Citrix Gateway
- Nom de la batterie de passerelles : Workspace
- Condition d’accès : LOCATION_TAG_WORKFROMHOME (tout en majuscules)
- Cliquez sur Suivant.
- Saisissez un nom pour la stratégie et ajoutez une description de la stratégie.
- Cliquez sur Terminer.
Les utilisateurs de l’emplacement WORKFROMHOME ne peuvent pas accéder au presse-papiers pour leurs ressources lancées.
Balises d’emplacement réseau
Le service Emplacements réseau fournit les balises suivantes.
-
Balises par défaut : Ces balises sont définies sur le service Emplacements réseau. Les balises par défaut suivantes sont disponibles.
- LOCATION_internal : Balise envoyée par défaut lorsque le type de connectivité réseau est défini sur Interne lors de la définition d’un emplacement réseau.
- LOCATION_external : Balise envoyée par défaut lorsque le type de connectivité réseau est défini sur Externe lors de la définition d’un emplacement réseau.
- LOCATION_undefined : Balise envoyée pour une adresse IP qui n’est pas définie dans la stratégie mais qui passe par le service Emplacements réseau. Le lancement pour ces utilisateurs est le même que celui défini dans le groupe de ressources.
- Balises personnalisées : Les administrateurs peuvent définir des noms de balises personnalisées dans les stratégies. Exemple : home, Office, BRANCH
Remarque :
Lors de la définition de balises pour le service Emplacement réseau, assurez-vous des points suivants :
Les balises par défaut commencent toujours par le préfixe « LOCATION_
<nom_balise>. Par exemple, LOCATION_INTERNAL.Les balises personnalisées commencent toujours par le préfixe « LOCATION_TAG
<nom_balise>. Par exemple, LOCATION_TAG_OFFICE.Lors de la définition de balises dans les groupes de mise à disposition, les balises doivent être saisies en majuscules.
Balises par défaut : LOCATION_INTERNAL, LOCATION_EXTERNAL, LOCATION_UNDEFINED
Balises personnalisées : LOCATION_TAG_OFFICE, LOCATION_TAG_HOME
Le tableau suivant récapitule les stratégies et les balises pour le scénario mentionné précédemment.
| Emplacement | Stratégie | Balise personnalisée | Balise par défaut | Balise à utiliser dans le groupe de mise à disposition DaaS | Balises à utiliser dans la stratégie d’accès intelligent |
|---|---|---|---|---|---|
| Télétravail | WFH | WORKFROMHOME | LOCATION_EXTERNAL | LOCATION_WORKFROMHOME et/ou LOCATION_EXTERNAL | LOCATION_WORKFROMHOME et/ou LOCATION_EXTERNAL |
| Bureau distant | BranchOffice | BRANCHOFFICE | LOCATION_EXTERNAL | LOCATION_BRANCHOFFICE et/ou LOCATION_EXTERNAL | LOCATION_BRANCHOFFICE et/ou LOCATION_EXTERNAL |
| Autre | Non défini | Non défini | LOCATION_UNDEFINED | LOCATION_UNDEFINED | LOCATION_UNDEFINED |
Problèmes connus
Si vous désactivez la fonctionnalité d’accès adaptatif après qu’elle a été activée et que les règles ont été définies (balises et type de connectivité), cela ne supprime pas les emplacements de la page Emplacements réseau, bien que les colonnes des balises d’emplacement et du type de connectivité soient masquées. Mais ces emplacements sont désactivés en arrière-plan. Il s’agit d’un problème d’affichage.
Configurer les stratégies d’enregistrement de session basées sur des balises
Enregistrement de session permet aux organisations d’enregistrer l’activité des utilisateurs à l’écran dans les sessions virtuelles. Vous pouvez spécifier des balises, y compris des balises d’emplacement réseau, lors de la création d’une stratégie d’enregistrement de session personnalisée, d’une stratégie de détection d’événements ou d’une stratégie de réponse aux événements. Pour un exemple, consultez Créer une stratégie d’enregistrement personnalisée.