Intégration avec NetScaler Gateway et Citrix ADC

Détails de la décision :

Conseils de conception :

La configuration par défaut de Citrix Endpoint Management est l'authentification par nom d'utilisateur et mot de passe. Pour ajouter une couche de sécurité supplémentaire pour l'enregistrement et l'accès à l'environnement Citrix Endpoint Management, envisagez d'utiliser l'authentification basée sur des certificats. Vous pouvez utiliser des certificats avec LDAP pour l'authentification à deux facteurs, offrant un degré de sécurité plus élevé sans avoir besoin d'un serveur RSA.

Si vous n'autorisez pas LDAP et utilisez des cartes à puce ou des méthodes similaires, la configuration des certificats vous permet de représenter une carte à puce à Citrix Endpoint Management. Les utilisateurs s'inscrivent ensuite à l'aide d'un code PIN unique que Citrix Endpoint Management génère pour eux. Une fois qu'un utilisateur a accès, Citrix Endpoint Management crée et déploie le certificat utilisé ultérieurement pour s'authentifier auprès de l'environnement Citrix Endpoint Management.

Citrix Endpoint Management prend en charge la liste de révocation de certificats (CRL) uniquement pour une autorité de certification tierce. Si vous avez configuré une autorité de certification Microsoft, Citrix Endpoint Management utilise NetScaler Gateway pour gérer la révocation. Lorsque vous configurez l'authentification basée sur des certificats clients, déterminez si vous devez configurer le paramètre de liste de révocation de certificats (CRL) de NetScaler Gateway Activer l'actualisation automatique de la CRL. Cette étape garantit que l'utilisateur d'un appareil enregistré uniquement dans MAM ne peut pas s'authentifier à l'aide d'un certificat existant sur l'appareil. Citrix Endpoint Management réémet un nouveau certificat, car il n'empêche pas un utilisateur de générer un certificat utilisateur si l'un est révoqué. Ce paramètre augmente la sécurité des entités PKI lorsque la CRL vérifie les entités PKI expirées.

Détails de la décision :

Conseils de conception :

Lorsque votre environnement Citrix inclut Citrix Endpoint Management, ainsi que Virtual Apps and Desktops, vous pouvez utiliser le même serveur virtuel NetScaler Gateway pour les deux. En raison des conflits de version potentiels et de l'isolation de l'environnement, un NetScaler Gateway dédié est recommandé pour chaque environnement Citrix Endpoint Management.

Si vous utilisez l'authentification LDAP, Citrix Secure Hub peut s'authentifier auprès du même NetScaler Gateway sans problème. Si vous utilisez l'authentification basée sur un certificat, Citrix Endpoint Management envoie un certificat dans le conteneur MDX et Citrix Secure Hub utilise ce certificat pour s'authentifier auprès de NetScaler Gateway.

Vous pourriez envisager cette solution de contournement, qui vous permet d'utiliser le même FQDN pour deux VIP NetScaler Gateway. Vous pouvez créer deux VIP NetScaler Gateway avec la même adresse IP. Celui pour Citrix Secure Hub utilise le port standard 443 et celui pour Citrix Virtual Apps and Desktops (qui déploie l'application Citrix Workspace) utilise le port 444. Ainsi, un seul FQDN se résout à la même adresse IP. Pour cette solution de contournement, vous devrez peut-être configurer StoreFront pour qu'il renvoie un fichier ICA pour le port 444, au lieu du port par défaut, le port 443. Cette solution de contournement ne nécessite pas que les utilisateurs saisissent un numéro de port.

Détails de la décision :

Conseils de conception :

NetScaler Gateway inclut les paramètres Délai d'expiration de session et Délai d'expiration forcé. Pour plus de détails, consultez Configurations recommandées. Gardez à l'esprit qu'il existe différentes valeurs de délai d'expiration pour les services d'arrière-plan, NetScaler Gateway et pour l'accès aux applications hors ligne.

Détails de la décision :

Conseils de conception :

Si vous prévoyez d'utiliser Citrix Secure Web uniquement pour la navigation web interne, la configuration de NetScaler Gateway est simple. Cependant, si Citrix Secure Web ne peut pas atteindre tous les sites internes par défaut, vous devrez peut-être configurer des pare-feu et des serveurs proxy.

Si vous prévoyez d'utiliser Citrix Secure Web pour la navigation interne et externe, vous devez activer le SNIP pour qu'il ait un accès Internet sortant. Le service informatique considère généralement les appareils inscrits (utilisant le conteneur MDX) comme une extension du réseau d'entreprise. Ainsi, le service informatique souhaite généralement que les connexions Citrix Secure Web reviennent à NetScaler Gateway, passent par un serveur proxy, puis accèdent à Internet. Par défaut, l'accès Citrix Secure Web s'effectue via des tunnels vers le réseau interne. Citrix Secure Web utilise un tunnel VPN par application vers le réseau interne pour tout accès réseau, et NetScaler Gateway utilise les paramètres de tunnel partagé.

Pour une discussion sur les connexions Citrix Secure Web, consultez Configuration des connexions utilisateur.

Détails de la décision :

Conseils de conception pour iOS :

Si votre configuration NetScaler Gateway inclut Secure Ticket Authority (STA) et que le tunneling fractionné est désactivé : NetScaler Gateway doit autoriser le trafic de Citrix Secure Mail vers les URL du service d'écoute Citrix. Ces URL sont spécifiées dans les notifications push pour Citrix Secure Mail pour iOS.

Conseils de conception pour Android :

Utilisez Firebase Cloud Messaging (FCM) pour contrôler comment et quand les appareils Android doivent se connecter à Citrix Endpoint Management. Avec FCM configuré, toute action de sécurité ou commande de déploiement déclenche une notification push vers Citrix Secure Hub pour inviter l'utilisateur à se reconnecter au serveur Citrix Endpoint Management.

Détails de la décision :

Conseils de conception :

Les STA HDX doivent correspondre aux STA de StoreFront et doivent être valides pour le site Virtual Apps and Desktops.

Détails de la décision :

Conseils de conception :

Si vous incluez un contrôleur de zones de stockage dans votre environnement, assurez-vous de configurer correctement les éléments suivants :

Pour plus d'informations, consultez la documentation de Storage zones controller.

Détail de la décision :

Conseils de conception :

La meilleure pratique recommandée consiste à intégrer Citrix Files à Citrix Endpoint Management, une alternative plus simple à la configuration de la fédération basée sur SAML. Citrix Endpoint Management fournit à Citrix Files :

La console Citrix Endpoint Management vous permet d'effectuer la configuration de Citrix Files et de surveiller les niveaux de service et l'utilisation des licences.

Il existe deux types de clients Citrix Files : Citrix Files pour Citrix Endpoint Management (également appelés Citrix Files encapsulés) et les clients mobiles Citrix Files (également appelés Citrix Files non encapsulés). Pour comprendre les différences, consultez Comment les clients Citrix Files pour Citrix Endpoint Management diffèrent des clients mobiles Citrix Files.

Vous pouvez configurer Citrix Endpoint Management et Citrix Files pour utiliser SAML afin de fournir un accès SSO à :

Si vous souhaitez utiliser Citrix Endpoint Management comme IdP SAML pour Citrix Files, assurez-vous que les configurations appropriées sont en place. Pour plus de détails, consultez SAML pour l'authentification unique avec Citrix Files.

Détail de la décision :

Conseils de conception :

ShareConnect permet aux utilisateurs de se connecter en toute sécurité à leurs ordinateurs via des iPad, des tablettes Android et des téléphones Android pour accéder à leurs fichiers et applications. Pour les connexions directes, Citrix Endpoint Management utilise NetScaler Gateway pour fournir un accès sécurisé aux ressources en dehors du réseau local. Pour plus de détails sur la configuration, consultez ShareConnect.

Citrix recommande généralement SSL Bridge pour les configurations de serveurs virtuels MDM de NetScaler Gateway. Pour l'utilisation de SSL Offload de NetScaler Gateway avec des serveurs virtuels MDM, Citrix Endpoint Management ne prend en charge que le port 80 comme service back-end.

Pour les diagrammes de NetScaler Gateway dans les déploiements Citrix Endpoint Management, voir Architecture.