Intégration de Citrix Endpoint Management
-
Cet article aborde les éléments à prendre en compte lors de la planification de l’intégration de Citrix Endpoint Management à votre réseau et à vos solutions existants. Par exemple, si vous utilisez déjà NetScaler Gateway pour Citrix Virtual Apps and Desktops :
- Souhaitez-vous utiliser l’instance NetScaler Gateway existante ou une nouvelle instance dédiée ?
- Souhaitez-vous intégrer à Citrix Endpoint Management les applications HDX publiées à l’aide de StoreFront ?
- Prévoyez-vous d’utiliser Citrix Files avec Citrix Endpoint Management ?
- Disposez-vous d’une solution de contrôle d’accès réseau que vous souhaitez intégrer à Citrix Endpoint Management ?
NetScaler Gateway
-
NetScaler Gateway est requis pour Citrix Endpoint Management. NetScaler Gateway fournit un chemin micro-VPN pour l’accès à toutes les ressources d’entreprise et prend en charge une authentification multifacteur robuste.
-
Vous pouvez utiliser des instances NetScaler Gateway existantes ou en configurer de nouvelles pour Citrix Endpoint Management. Les sections suivantes décrivent les avantages et les inconvénients de l’utilisation d’instances NetScaler Gateway existantes ou nouvelles et dédiées.
-
NetScaler Gateway MPX partagé avec un VIP NetScaler Gateway créé pour Citrix Endpoint Management
-
Avantages :
- Utilise une instance NetScaler Gateway commune pour toutes les connexions à distance Citrix : Citrix Virtual Apps, VPN complet et VPN sans client.
- Utilise les configurations NetScaler Gateway existantes, par exemple pour l’authentification par certificat et pour l’accès à des services tels que DNS, LDAP et NTP.
-
Utilise une seule licence de plateforme NetScaler Gateway.
-
Inconvénients :
- Il est plus difficile de planifier la mise à l’échelle lorsque vous gérez deux cas d’utilisation différents sur le même NetScaler Gateway.
- Parfois, vous avez besoin d’une version spécifique de NetScaler Gateway pour un cas d’utilisation de Citrix Virtual Apps. Cette même version peut présenter des problèmes connus pour Citrix Endpoint Management. Ou Citrix Endpoint Management peut présenter des problèmes connus pour la version de NetScaler Gateway.
- Si un NetScaler Gateway existe, vous ne pouvez pas exécuter l’assistant NetScaler pour XenMobile une deuxième fois pour créer la configuration NetScaler Gateway pour Citrix Endpoint Management.
- Sauf lorsque des licences Platinum sont utilisées pour NetScaler Gateway 11.1 ou version ultérieure : les licences d’accès utilisateur installées sur NetScaler Gateway et requises pour la connectivité VPN sont mises en commun. Étant donné que ces licences sont disponibles pour tous les serveurs virtuels NetScaler Gateway, d’autres services que Citrix Endpoint Management peuvent potentiellement les consommer.
Instance NetScaler Gateway VPX/MPX dédiée
-
Avantages :
-
Citrix recommande d’utiliser une instance dédiée de NetScaler Gateway.
- Plus facile de planifier la mise à l’échelle et de séparer le trafic Citrix Endpoint Management d’une instance NetScaler Gateway qui pourrait déjà être limitée en ressources.
- Évite les problèmes lorsque Citrix Endpoint Management et Citrix Virtual Apps nécessitent des versions logicielles NetScaler Gateway différentes. La recommandation générale est d’utiliser la dernière version et build compatible de NetScaler Gateway pour Citrix Endpoint Management.
- Permet la configuration de NetScaler Gateway par Citrix Endpoint Management via l’assistant NetScaler pour XenMobile intégré.
- Séparation virtuelle et physique des services.
Inconvénients :
- Nécessite la configuration de services supplémentaires sur NetScaler Gateway pour prendre en charge la configuration de Citrix Endpoint Management.
- Nécessite une autre licence de plateforme NetScaler Gateway. Chaque instance NetScaler Gateway doit être licenciée pour NetScaler Gateway.
Pour plus d’informations sur les éléments à prendre en compte lors de l’intégration de NetScaler Gateway et de Citrix ADC pour les modes de gestion de Citrix Endpoint Management, consultez Intégration avec NetScaler Gateway et Citrix ADC.
-
StoreFront
Si vous disposez d’un environnement Citrix Virtual Apps and Desktops, vous pouvez intégrer des applications HDX à Citrix Endpoint Management à l’aide de StoreFront. Lorsque vous intégrez des applications HDX à Citrix Endpoint Management :
- Les applications sont disponibles pour les utilisateurs inscrits à Citrix Endpoint Management.
- Les applications s’affichent dans le magasin d’applications avec d’autres applications mobiles.
- Citrix Endpoint Management utilise Citrix Receiver sur StoreFront.
- Lorsque l’application Citrix Workspace est installée sur un appareil, les applications HDX démarrent à l’aide de cette application.
StoreFront a une limitation d’un site de service par instance StoreFront. Supposons que vous ayez de nombreux magasins et que vous souhaitiez le segmenter des autres utilisations de production. Dans ce cas, Citrix recommande généralement d’envisager un nouveau site d’instance et de services StoreFront pour Citrix Endpoint Management.
Les considérations incluent :
- Existe-t-il des exigences d’authentification différentes pour StoreFront ? Le site de services StoreFront nécessite des informations d’identification Active Directory pour la connexion. Les clients utilisant uniquement l’authentification par certificat ne peuvent pas énumérer les applications via Citrix Endpoint Management en utilisant le même NetScaler Gateway.
- Utiliser le même magasin ou créer un magasin ?
-
Utiliser le même serveur StoreFront ou un serveur différent ?
- Les sections suivantes décrivent les avantages et les inconvénients de l’utilisation de StoreFronts séparés ou combinés pour Citrix Workspace et les applications de productivité mobile Citrix.
Intégrer votre instance StoreFront existante à Citrix Endpoint Management
-
Avantages :
- Même magasin : aucune configuration supplémentaire de StoreFront n’est requise pour Citrix Endpoint Management, en supposant que vous utilisez le même VIP NetScaler Gateway pour l’accès HDX. Supposons que vous choisissiez d’utiliser le même magasin et que vous souhaitiez diriger l’accès à Citrix Workspace vers un nouveau VIP NetScaler Gateway. Dans ce cas, ajoutez la configuration NetScaler Gateway appropriée à StoreFront.
- Même serveur StoreFront : utilise l’installation et la configuration StoreFront existantes.
Inconvénients :
- Même magasin : toute reconfiguration de StoreFront pour prendre en charge les charges de travail Citrix Virtual Apps and Desktops pourrait affecter négativement Citrix Endpoint Management.
-
Même serveur StoreFront : dans les grands environnements, tenez compte de la charge supplémentaire due à l’utilisation de Citrix Receiver par Citrix Endpoint Management pour l’énumération et le démarrage des applications.
-
Utiliser une nouvelle instance StoreFront dédiée pour l’intégration avec Citrix Endpoint Management
Avantages :
- Nouveau magasin : les modifications de configuration du magasin StoreFront pour Citrix Endpoint Management n’affectent pas les charges de travail Virtual Apps and Desktops existantes.
-
Nouveau serveur StoreFront : les modifications de configuration du serveur n’affectent pas les flux de travail Virtual Apps and Desktops. De plus, la charge en dehors de l’utilisation de Citrix Receiver par Citrix Endpoint Management pour l’énumération et le lancement des applications n’affecte pas l’évolutivité.
-
Inconvénients :
- Nouveau magasin : configuration du magasin StoreFront.
-
Nouveau serveur StoreFront : nécessite une nouvelle installation et configuration de StoreFront.
-
Pour plus d’informations, consultez Citrix Virtual Apps and Desktops via l’App Store.
-
ShareFile et Citrix Files
Avertissement :
Cette fonctionnalité sera obsolète si ShareFile (désormais Progress) cesse de la prendre en charge.
-
ShareFile vous permet d’échanger des documents facilement et en toute sécurité, d’envoyer des documents volumineux par e-mail et de gérer en toute sécurité les transferts de documents vers des tiers. L’application Citrix Files permet aux utilisateurs d’accéder à toutes leurs données et de les synchroniser depuis n’importe quel appareil. Avec Citrix Files, les utilisateurs peuvent partager des données en toute sécurité avec des personnes à l’intérieur comme à l’extérieur de l’organisation.
-
Citrix Endpoint Management fournit Citrix Files avec :
- Authentification par authentification unique pour les utilisateurs d’applications de productivité mobiles.
- Provisionnement de comptes utilisateur basé sur Active Directory.
- Stratégies de contrôle d’accès complètes.
Les utilisateurs mobiles peuvent bénéficier de l’ensemble complet des fonctionnalités du compte Enterprise.
-
Vous pouvez également configurer Citrix Endpoint Management pour qu’il s’intègre uniquement aux connecteurs de zones de stockage. Grâce aux connecteurs de zones de stockage, Citrix Files donne accès à :
- Documents et dossiers
- Partages de fichiers réseau
-
Dans les sites SharePoint : collections de sites et bibliothèques de documents.
-
Les partages de fichiers connectés peuvent inclure les mêmes lecteurs réseau personnels utilisés dans les environnements Citrix Virtual Apps and Desktops. Vous utilisez la console Citrix Endpoint Management pour configurer l’intégration avec les comptes Enterprise ou les connecteurs de zones de stockage. Pour plus d’informations, consultez Citrix Files pour Citrix Endpoint Management.
-
Les sections suivantes présentent les questions à poser lors de la prise de décisions de conception pour Citrix Files.
-
Intégrer avec Citrix Files ou uniquement les connecteurs de zones de stockage
Questions à poser :
- Souhaitez-vous stocker des données dans des zones de stockage gérées par Citrix ?
- Souhaitez-vous offrir aux utilisateurs des capacités de partage et de synchronisation de fichiers ?
-
Souhaitez-vous permettre aux utilisateurs d’accéder aux fichiers sur le site web Citrix Files ? Ou d’accéder au contenu Office 365 et aux connecteurs de cloud personnel depuis des appareils mobiles ?
-
Décision de conception :
- Si la réponse à l’une de ces questions est « oui », intégrez-vous à un compte Enterprise.
-
Une intégration avec uniquement des connecteurs de zones de stockage offre aux utilisateurs iOS un accès mobile sécurisé aux référentiels de stockage sur site existants, tels que les sites SharePoint et les partages de fichiers réseau. Dans cette configuration, vous ne configurez pas de sous-domaine Citrix Files, ne provisionnez pas d’utilisateurs pour Citrix Files et n’hébergez pas de données Citrix Files. L’utilisation de connecteurs de zones de stockage avec Citrix Endpoint Management respecte les restrictions de sécurité contre la fuite d’informations utilisateur en dehors du réseau d’entreprise.
-
Emplacement du serveur du contrôleur de zones de stockage
Questions à poser :
- Avez-vous besoin d’un stockage sur site ou de fonctionnalités telles que les connecteurs de zones de stockage ?
- Si vous utilisez les fonctionnalités sur site de Citrix Files, où les contrôleurs de zones de stockage seront-ils situés dans le réseau ?
Décision de conception :
- Déterminez si les serveurs du contrôleur de zones de stockage doivent être situés dans le cloud Citrix Files, dans votre système de stockage sur site à locataire unique, ou dans un stockage cloud tiers pris en charge.
- Les contrôleurs de zones de stockage nécessitent un certain accès à Internet pour communiquer avec le plan de contrôle Citrix Files. Vous pouvez vous connecter de plusieurs manières, y compris l’accès direct ou les configurations NAT/PAT.
Connecteurs de zones de stockage
-
Questions à poser :
- Quels sont les chemins de partage CIFS ?
- Quelles sont les URL SharePoint ?
Décision de conception :
- Déterminez si des contrôleurs de zones de stockage sur site sont nécessaires pour accéder à ces emplacements.
- En raison de la communication des connecteurs de zones de stockage avec des ressources internes telles que les référentiels de fichiers, les partages CIFS et SharePoint : Citrix recommande que les contrôleurs de zones de stockage soient situés dans le réseau interne derrière les pare-feu de la DMZ et devant le NetScaler Gateway.
Intégration SAML avec Citrix Endpoint Management
Questions à poser :
- L'authentification Active Directory est-elle requise pour Citrix Files ?
- La première utilisation de l'application Citrix Files pour Citrix Endpoint Management nécessite-t-elle une authentification unique (SSO) ?
- Existe-t-il un IdP standard dans votre environnement actuel ?
- Combien de domaines sont nécessaires pour utiliser SAML ?
- Existe-t-il de nombreux alias d’e-mail pour les utilisateurs Active Directory ?
- Des migrations de domaine Active Directory sont-elles en cours ou prévues prochainement ?
Décision de conception :
Vous pouvez choisir d’utiliser SAML comme mécanisme d’authentification pour Citrix Files. Les options d’authentification sont :
-
Utilisez le serveur Citrix Endpoint Management comme fournisseur d’identité (IdP) pour SAML
Cette option peut offrir une excellente expérience utilisateur, automatiser la création de comptes Citrix Files et activer les fonctionnalités SSO des applications mobiles.
Le serveur Citrix Endpoint Management est amélioré pour ce processus : il ne nécessite pas la synchronisation d’Active Directory.
Utilisez l’outil de gestion des utilisateurs Citrix Files pour le provisionnement des utilisateurs.
-
Utilisez un fournisseur tiers pris en charge comme IdP pour SAML
Si vous disposez d’un IdP existant et pris en charge et que vous n’avez pas besoin des fonctionnalités SSO des applications mobiles, cette option pourrait être la plus adaptée pour vous. Cette option nécessite également l’utilisation de l’outil de gestion des utilisateurs Citrix Files pour le provisionnement des comptes.
L’utilisation de solutions IdP tierces telles qu’ADFS peut également fournir des capacités SSO côté client Windows. Assurez-vous d’évaluer les cas d’utilisation avant de choisir votre IdP SAML Citrix Files.
-
Ou, pour satisfaire les deux cas d’utilisation, consultez le guide de configuration de l’authentification unique ShareFile pour les fournisseurs d’identité doubles.
Applications mobiles
Questions à poser :
- Quelle application mobile Citrix Files prévoyez-vous d’utiliser (publique, MDM, MDX) ?
Décision de conception :
- Vous distribuez les applications de productivité mobile Citrix depuis l’Apple App Store et le Google Play Store. Avec cette distribution via les magasins d’applications publics, vous obtenez des applications encapsulées depuis la page de téléchargements Citrix.
- Si vos exigences de sécurité sont faibles et que vous n’avez pas besoin de conteneurisation, l’application publique Citrix Files pourrait ne pas être adaptée.
- Pour plus d’informations, consultez Applications et Citrix Files pour Citrix Endpoint Management.
Sécurité, stratégies et contrôle d’accès
Questions à poser :
- Quelles restrictions exigez-vous pour les utilisateurs de bureau, web et mobiles ?
- Quels paramètres de contrôle d’accès standard souhaitez-vous pour les utilisateurs ?
- Quelle politique de rétention des fichiers prévoyez-vous d’utiliser ?
Décision de conception :
- Citrix Files vous permet de gérer les autorisations des employés. Pour plus d’informations, consultez Autorisations des employés.
- Certains paramètres de sécurité des appareils Citrix Files et les stratégies MDX contrôlent les mêmes fonctionnalités. Dans ces cas, les stratégies Citrix Endpoint Management priment, suivies des paramètres de sécurité des appareils Citrix Files. Exemples : Si vous désactivez les applications externes dans Citrix Files, mais les activez dans Citrix Endpoint Management, les applications externes sont désactivées dans Citrix Files. Vous pouvez configurer les applications de sorte que Citrix Endpoint Management ne nécessite pas de code PIN/mot de passe, mais que l’application Citrix Files en exige un.
Zones de stockage standard ou restreintes
Questions à poser :
- Avez-vous besoin de zones de stockage restreintes ?
Décision de conception :
- Une zone de stockage standard est destinée aux données non sensibles et permet aux employés de partager des données avec des non-employés. Cette option prend en charge les flux de travail impliquant le partage de données en dehors de votre domaine.
- Une zone de stockage restreinte protège les données sensibles : seuls les utilisateurs de domaine authentifiés peuvent accéder aux données stockées dans la zone.
Contrôle d’accès
Les entreprises peuvent gérer les appareils mobiles à l’intérieur et à l’extérieur des réseaux. Les solutions de gestion de la mobilité d’entreprise (EMM) telles que Citrix Endpoint Management sont excellentes pour fournir la sécurité et les contrôles pour les appareils mobiles, indépendamment de l’emplacement. Cependant, lorsque vous les combinez avec une solution de contrôle d’accès réseau (NAC), vous pouvez ajouter de la QoS et un contrôle plus granulaire aux appareils qui sont internes à votre réseau. Cette combinaison vous permet d’étendre l’évaluation de la sécurité des appareils Citrix Endpoint Management via votre solution NAC. Votre solution NAC peut alors utiliser l’évaluation de la sécurité Citrix Endpoint Management pour faciliter et gérer les décisions d’authentification.
Vous pouvez utiliser l’une de ces solutions pour appliquer les stratégies NAC :
- NetScaler Gateway
- ForeScout
Citrix ne garantit pas l’intégration pour d’autres solutions NAC.
Les avantages de l’intégration d’une solution NAC avec Citrix Endpoint Management incluent les suivants :
- Meilleure sécurité, conformité et contrôle pour tous les points de terminaison sur un réseau d’entreprise.
- Une solution NAC peut :
- Détecter les appareils au moment où ils tentent de se connecter à votre réseau.
- Interroger Citrix Endpoint Management pour les attributs de l’appareil.
- Utiliser ces informations d’appareil pour déterminer s’il faut autoriser, bloquer, limiter ou rediriger ces appareils. Ces décisions dépendent des politiques de sécurité que vous choisissez d’appliquer.
- Une solution NAC fournit aux administrateurs informatiques une vue des appareils non gérés et non conformes.
Pour une description des filtres de conformité NAC pris en charge par Citrix Endpoint Management et un aperçu de la configuration, consultez Contrôle d’accès réseau.