Certificats et authentification

Dernière publication : Oct 24, 2026
Plusieurs composants jouent un rôle dans l'authentification lors des opérations Citrix Endpoint Management :
  • Citrix Endpoint Management : Le serveur Citrix Endpoint Management est l'endroit où vous définissez la sécurité de l'inscription et l'expérience d'inscription. Les options pour l'intégration des utilisateurs incluent :
    • Si l'inscription doit être ouverte à tous ou uniquement sur invitation.
    • S'il faut exiger une authentification à deux facteurs ou à trois facteurs. Les propriétés du client Citrix Endpoint Management vous permettent d'activer l'authentification par code PIN Citrix et de configurer la complexité et l'expiration du code PIN.
  • NetScaler Gateway : NetScaler Gateway assure la terminaison des sessions SSL micro VPN. NetScaler Gateway offre également une sécurité réseau en transit et vous permet de définir l'expérience d'authentification utilisée chaque fois qu'un utilisateur accède à une application.
  • Citrix Secure Hub : Citrix Secure Hub et Citrix Endpoint Management collaborent dans les opérations d'inscription. Citrix Secure Hub est l'entité sur un appareil qui communique avec NetScaler Gateway : lorsqu'une session expire, Citrix Secure Hub obtient un ticket d'authentification de NetScaler Gateway et le transmet aux applications MDX. Citrix recommande l'épinglage de certificat, qui empêche les attaques de l'homme du milieu. Pour plus d'informations, consultez cette section de l'article Citrix Secure Hub : Épinglage de certificat.
    Citrix Secure Hub facilite également le conteneur de sécurité MDX : Citrix Secure Hub déploie des stratégies, crée une session avec NetScaler Gateway lorsqu'une application expire, et définit le délai d'expiration MDX et l'expérience d'authentification. Citrix Secure Hub est également responsable de la détection de jailbreak, des vérifications de géolocalisation et de toutes les stratégies que vous appliquez.
  • Stratégies MDX : Les stratégies MDX créent le coffre-fort de données sur l'appareil. Les stratégies MDX dirigent les connexions micro VPN vers NetScaler Gateway, appliquent les restrictions du mode hors ligne et appliquent les stratégies client, telles que les délais d'expiration.
Citrix Endpoint Management authentifie les utilisateurs à leurs ressources en utilisant les méthodes d'authentification suivantes :
  • Gestion des appareils mobiles (MDM)
    • Fournisseurs d'identité hébergés dans le cloud (IdP)
    • Protocole d'accès aux annuaires léger (LDAP)
      • URL d'invitation + code PIN
      • Authentification à deux facteurs
  • Gestion des applications mobiles (MAM)
    • LDAP
    • Certificat
    • Jeton de sécurité L'authentification MAM nécessite NetScaler Gateway.
Pour d'autres détails de configuration, consultez les articles suivants :
Related information
Télécharger, mettre à jour et renouveler les certificatsNetScaler Gateway et Citrix Endpoint ManagementAuthentification par domaine ou par domaine plus jeton de sécuritéAuthentification par certificat client ou par certificat et domaineEntités PKIFournisseurs d'informations d'identificationCertificats APNsSAML pour l'authentification unique avec Citrix FilesAuthentification avec Azure Active Directory via Citrix CloudAuthentification avec l'administration basée sur les groupes Azure Active DirectoryAuthentification avec Azure Active Directory via NetScaler Gateway pour l'inscription MAMAuthentification avec Okta via Citrix CloudAuthentification avec Okta via NetScaler Gateway pour l'inscription MAMAuthentification avec une passerelle NetScaler locale via Citrix CloudAuthentification nFactor

Certificats

Citrix Endpoint Management génère un certificat SSL (Secure Sockets Layer) auto-signé lors de l’installation pour sécuriser les flux de communication vers le serveur. Remplacez le certificat SSL par un certificat SSL approuvé provenant d’une autorité de certification reconnue.
Citrix Endpoint Management utilise également son propre service d’infrastructure à clé publique (PKI) ou obtient des certificats de l’autorité de certification pour les certificats clients. Tous les produits Citrix prennent en charge les certificats génériques et SAN (Subject Alternative Name). Pour la plupart des déploiements, vous n’avez besoin que de deux certificats génériques ou SAN.
L’authentification par certificat client offre une couche de sécurité supplémentaire pour les applications mobiles et permet aux utilisateurs d’accéder de manière transparente aux applications HDX. Lorsque l’authentification par certificat client est configurée, les utilisateurs saisissent leur code PIN Citrix pour un accès par authentification unique (SSO) aux applications compatibles avec Citrix Endpoint Management. Le code PIN Citrix simplifie également l’expérience d’authentification de l’utilisateur. Le code PIN Citrix est utilisé pour sécuriser un certificat client ou enregistrer les informations d’identification Active Directory localement sur l’appareil.
Pour inscrire et gérer des appareils iOS avec Citrix Endpoint Management, configurez et créez un certificat APNs (Apple Push Notification Service) auprès d’Apple. Pour connaître les étapes, consultez Certificats APNs.
Le tableau suivant présente le format et le type de certificat pour chaque composant Citrix Endpoint Management :
Composant Citrix Endpoint Management Format du certificat Type de certificat requis
NetScaler Gateway PEM (BASE64), PFX (PKCS #12) SSL, racine (NetScaler Gateway convertit automatiquement PFX en PEM.
Citrix Endpoint Management .p12 (.pfx sur les ordinateurs Windows) SSL, SAML, APNs (Citrix Endpoint Management génère également une PKI complète pendant le processus d'installation.) Important : Citrix Endpoint Management ne prend pas en charge les certificats avec une extension .pem. Pour utiliser un certificat .pem, divisez le fichier .pem en un certificat et une clé, puis importez chacun d'eux dans Citrix Endpoint Management.
StoreFront PFX (PKCS #12) SSL, Root
Citrix Endpoint Management prend en charge les certificats clients avec des longueurs de clé de 4096 et 2048 bits.
Pour NetScaler Gateway et Citrix Endpoint Management, il est recommandé d'obtenir des certificats de serveur auprès d'une autorité de certification publique, telle que Verisign, DigiCert ou Thawte. Vous pouvez créer une demande de signature de certificat (CSR) à partir de l'utilitaire de configuration de NetScaler Gateway ou de Citrix Endpoint Management. Après avoir créé la CSR, vous la soumettez à l'autorité de certification pour signature. Lorsque l'autorité de certification renvoie le certificat signé, vous pouvez installer le certificat sur NetScaler Gateway ou Citrix Endpoint Management.
Important :
Exigences pour les certificats approuvés dans iOS, iPadOS et macOS
Apple a de nouvelles exigences pour les certificats de serveur TLS. Vérifiez que tous les certificats respectent les exigences d'Apple. Consultez la publication d'Apple, <https://support.apple.com/fr-fr/HT210176>.
Apple réduit la durée de vie maximale autorisée des certificats de serveur TLS. Ce changement n'affecte que les certificats de serveur émis après septembre 2020. Consultez la publication d'Apple, <https://support.apple.com/fr-fr/HT211025>.

Authentification LDAP

Citrix Endpoint Management prend en charge l'authentification basée sur le domaine pour un ou plusieurs annuaires conformes au protocole LDAP (Lightweight Directory Access Protocol). LDAP est un protocole logiciel qui fournit un accès aux informations sur les groupes, les comptes d'utilisateur et les propriétés associées. Pour plus d'informations, consultez Authentification par domaine ou par domaine plus jeton de sécurité.

Authentification du fournisseur d'identité

Vous pouvez configurer un fournisseur d'identité (IdP) via Citrix Cloud pour inscrire et gérer les appareils des utilisateurs.
Cas d'utilisation pris en charge pour les IdP :
  • Azure Active Directory via Citrix Cloud
    • L'intégration de Workspace est facultative
    • NetScaler Gateway configuré pour l'authentification basée sur certificat
    • Android Enterprise (Aperçu. Prend en charge les appareils BYOD, les appareils entièrement gérés et les profils d'inscription améliorés)
    • iOS pour les inscriptions MDM+MAM et MDM
    • iOS et macOS pour les inscriptions Apple Business Manager
    • Android hérité (DA)
    Les fonctionnalités d'inscription automatique telles que l'Apple School Manager ne sont actuellement pas prises en charge.
  • Okta via Citrix Cloud
    • L'intégration de Workspace est facultative
    • NetScaler Gateway configuré pour l'authentification basée sur certificat
    • Android Enterprise (Aperçu. Prend en charge les appareils BYOD, les appareils entièrement gérés et les profils d'inscription améliorés)
    • iOS pour les inscriptions MDM+MAM et MDM
    • iOS et macOS pour les inscriptions Apple Business Manager
    • Android hérité (DA)
    Les fonctionnalités d'inscription automatique telles que l'Apple School Manager ne sont actuellement pas prises en charge.
  • NetScaler Gateway sur site via Citrix Cloud
    • NetScaler Gateway configuré pour l'authentification par certificat
    • Android Enterprise (Préversion. Prend en charge le BYOD, les appareils entièrement gérés et les profils d'inscription améliorés)
    • iOS pour les inscriptions MDM+MAM et MDM
    • Android hérité (DA) Les fonctionnalités d'inscription automatique telles que l'Apple Deployment Program ne sont actuellement pas prises en charge.