Stratégie de configurations gérées
La stratégie d'appareil de configurations gérées contrôle diverses options de configuration d'applications et restrictions d'applications. Vous créez cette stratégie pour chaque application Android Enterprise que vous souhaitez contrôler.
Le développeur de l'application définit les options et les info-bulles disponibles pour une application. Si une info-bulle mentionne l'utilisation d'une « valeur de modèle », utilisez plutôt la macro Citrix Endpoint Management correspondante. Pour plus d'informations, consultez Présentation de la configuration à distance (sur le site du développeur Android) et Macros.
Les paramètres de configuration de l'application peuvent inclure des éléments tels que :
-
Paramètres de l'application de messagerie
-
Autoriser ou bloquer les URL pour un navigateur web
-
Option pour contrôler la synchronisation du contenu de l'application via une connexion cellulaire ou uniquement via une connexion Wi-Fi
Pour plus d'informations sur les paramètres qui apparaissent pour vos applications, contactez le développeur de l'application.
Remarque :
Citrix SSO pour Android s'appelle désormais Citrix Secure Access. Nous mettons à jour notre documentation pour refléter ce changement de nom.
Conditions préalables
-
Effectuez les tâches de configuration d'Android Enterprise sur Google et connectez Android Enterprise à Google Play géré. Pour plus d'informations, consultez Android Enterprise.
-
Ajoutez des applications Android Enterprise à Citrix Endpoint Management. Pour plus d'informations, consultez Ajout d'applications à Citrix Endpoint Management.
Pour ajouter ou configurer cette stratégie, accédez à Configurer > Stratégies d'appareil. Pour plus d'informations, consultez Stratégies d'appareil.
Exigences pour les VPN par application
Pour créer un VPN par application pour AE, vous devez effectuer des étapes supplémentaires en plus de la configuration de la stratégie de périphérique de configurations gérées. De plus, vous devez vérifier que les prérequis suivants sont remplis :
-
NetScaler Gateway sur site
-
Les applications suivantes sont installées sur l'appareil :
-
Citrix SSO
-
Citrix Secure Hub
-
Un workflow général pour configurer un VPN par application pour les appareils AE est le suivant :
-
Configurez un profil VPN comme décrit dans cet article.
-
Configurez Citrix ADC pour accepter le trafic du VPN par application. Pour plus de détails, consultez Configuration VPN complète sur NetScaler Gateway.
Limitations
Voici les limitations du VPN par application dans l'environnement Android Enterprise sur les appareils Android 11+ en raison des restrictions de visibilité des packages introduites dans Android 11 :
-
Si une application faisant partie de la liste autorisée/refusée est déployée sur un appareil après le démarrage de la session VPN, l'utilisateur final doit redémarrer la session VPN pour que l'application achemine son trafic via la session VPN.
-
Si un VPN par application est utilisé via une session VPN Always On, alors après l'installation d'une nouvelle application sur l'appareil, l'utilisateur final doit redémarrer le profil de travail ou redémarrer l'appareil pour que le trafic de l'application soit acheminé via la session VPN.
Remarque :
Ces limitations ne s'appliquent pas si vous utilisez Citrix SSO pour Android 23.8.1 ou des versions ultérieures. Pour plus d'informations, consultez Redémarrage automatique du VPN Always On.
Paramètres Android Enterprise
Après avoir choisi d'ajouter une politique de configuration gérée pour les appareils, une invite de sélection d'application apparaît. S'il n'y a pas d'applications Android Enterprise ajoutées à Citrix Endpoint Management, vous ne pouvez pas continuer.
Après avoir sélectionné une application, configurez les paramètres de la politique. Les paramètres sont spécifiques à chaque application.
Configurer les profils VPN pour Android Enterprise
Rendez les profils VPN disponibles pour les appareils Android Enterprise en utilisant l'application Citrix SSO avec la politique de configuration gérée pour les appareils.
Commencez par ajouter Citrix SSO à la console Citrix Endpoint Management en tant qu'application du Google Play Store. Consultez Ajouter une application de magasin d'applications public.
Regardez cette vidéo pour en savoir plus :
Créer une configuration gérée Android Enterprise pour Citrix SSO
Configurez la politique de configuration gérée pour les appareils pour Citrix SSO afin de créer des profils VPN. Les appareils sur lesquels l'application Citrix SSO est installée et la politique déployée peuvent accéder aux profils VPN que vous créez.
Citrix Endpoint Management utilise le certificat utilisateur dans le magasin de clés de l'appareil si :
-
NetScaler Gateway est configuré pour l'authentification basée sur les certificats.
-
Fournir le certificat utilisateur pour l'authentification est activé dans la page Citrix Endpoint Management Paramètres > NetScaler Gateway.
Vous avez besoin du FQDN et du port de votre NetScaler Gateway.
-
Dans la console Citrix Endpoint Management, cliquez sur Configurer > Stratégies d'appareil. Cliquez sur Ajouter.
-
Sélectionnez Android Enterprise. Cliquez sur Configurations gérées.
-
Lorsque la fenêtre Sélectionner l'ID d'application apparaît, choisissez Citrix SSO dans la liste et cliquez sur OK.
-
Saisissez un nom et une description pour votre configuration VPN Citrix SSO. Cliquez sur Suivant.
-
Configurez les paramètres du profil VPN.
-
Nom du profil VPN : Saisissez un nom pour le profil VPN. Si vous créez plusieurs profils VPN, utilisez un nom unique pour chacun. Si vous ne fournissez pas de nom, l'adresse que vous avez saisie dans le champ Adresse du serveur est utilisée comme nom du profil VPN.
-
Adresse du serveur(*) : Saisissez le FQDN de votre NetScaler Gateway. Si le port de votre NetScaler Gateway n'est pas 443, saisissez également votre port. Utilisez le format URL. Par exemple,
https://gateway.mycompany.com:8443. -
Nom d'utilisateur (facultatif) : Indiquez le nom d'utilisateur que les utilisateurs finaux utilisent pour s'authentifier auprès de NetScaler Gateway. Vous pouvez utiliser la macro Citrix Endpoint Management {user.username} pour ce champ. (Voir Macros.) Si vous ne fournissez pas de nom d'utilisateur, les utilisateurs sont invités à en fournir un lorsqu'ils se connectent à NetScaler Gateway.
-
Mot de passe (facultatif) : Indiquez le mot de passe que les utilisateurs finaux utilisent pour s'authentifier auprès de NetScaler Gateway. Si vous ne fournissez pas de mot de passe, les utilisateurs sont invités à en fournir un lorsqu'ils se connectent à NetScaler Gateway.
-
Alias de certificat (facultatif) : Saisissez un alias de certificat. L'alias de certificat facilite l'accès de l'application au certificat. Lorsque le même alias de certificat est utilisé avec la stratégie d'appareil Informations d'identification, l'application récupère le certificat et authentifie le VPN sans aucune action de la part des utilisateurs.
-
Épingles de certificat de passerelle (facultatif) : Objet JSON décrivant les épingles de certificat utilisées pour NetScaler Gateway. Valeur d'exemple :
{"hash-alg" : "sha256", "pinset" : ["AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=", "BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB="]}. Pour plus d'informations, consultez Épinglage de certificat NetScaler Gateway avec Android Citrix SSO. -
Type de VPN par application (facultatif) : Si vous utilisez un VPN par application pour restreindre les applications qui utilisent ce VPN, vous pouvez configurer ce paramètre. Si vous sélectionnez Autoriser, le trafic réseau pour les noms de package d'applications répertoriés dans la liste d'applications PerAppVPN est acheminé via le VPN. Le trafic réseau de toutes les autres applications est acheminé en dehors du VPN. Si vous sélectionnez Interdire, le trafic réseau pour les noms de package d'applications répertoriés dans la liste d'applications PerAppVPN est acheminé en dehors du VPN. Le trafic réseau de toutes les autres applications est acheminé via le VPN. La valeur par défaut est Autoriser.
-
Liste d'applications PerAppVPN : Une liste d'applications dont le trafic est autorisé ou bloqué sur le VPN, en fonction de la valeur de Type de VPN par application. Listez les noms de package d'application séparés par des virgules ou des points-virgules. Les noms de package d'application sont sensibles à la casse et doivent apparaître sur cette liste exactement tels qu'ils apparaissent dans le Google Play Store. Cette liste est facultative. Laissez cette liste vide pour le provisionnement d'un VPN à l'échelle de l'appareil.
-
Profil VPN par défaut : Saisissez le nom du profil VPN à utiliser lorsque les utilisateurs appuient sur le commutateur de connexion dans l'application Citrix SSO au lieu d'un profil spécifique. Si ce champ est laissé vide, le profil principal est utilisé pour la connexion. Si un seul profil est configuré, il est marqué comme profil par défaut. Pour un VPN toujours actif, ce champ doit être défini sur le nom du profil VPN à utiliser pour établir un VPN toujours actif.
-
VPN toujours actif (facultatif) : Cet attribut indique si le profil VPN est configuré comme un profil VPN toujours actif. Lorsqu'il est défini sur true, cela signifie que le profil VPN est un profil VPN toujours actif. La valeur par défaut est false. Cette propriété ne peut être attribuée qu'au profil VPN principal. L'activation de cette propriété est essentielle pour assurer le bon fonctionnement du VPN toujours actif.
-
Désactiver les profils utilisateur : Si ce paramètre est activé (On), les utilisateurs ne peuvent pas créer leurs propres VPN sur leurs appareils. Si ce paramètre est désactivé (Off), les utilisateurs peuvent créer leurs propres VPN sur leurs appareils. La valeur par défaut est Désactivé (Off).
-
Bloquer les serveurs non fiables : Ce paramètre est désactivé (Off) dans l'un des scénarios suivants :
-
Lorsque vous utilisez un certificat auto-signé pour NetScaler Gateway
-
Lorsque le certificat racine de l'autorité de certification émettrice du certificat NetScaler Gateway ne figure pas dans la liste des autorités de certification du système.
Si ce paramètre est activé (On), le système d'exploitation Android valide le certificat NetScaler Gateway. Si la validation échoue, la connexion n'est pas autorisée. La valeur par défaut est Activé (On). -
-
-
Vous pouvez éventuellement créer des paramètres personnalisés. Les paramètres personnalisés XenMobileDeviceId et UserAgent sont pris en charge. Sélectionnez la configuration VPN actuelle et cliquez sur Ajouter.
Nom du paramètre Description Valeur XenMobileDeviceId Ce champ est l'ID de l'appareil à utiliser pour la vérification de l'accès réseau basée sur l'enregistrement de l'appareil dans Citrix Endpoint Management. Si Citrix Endpoint Management enregistre et gère l'appareil, la connexion VPN est autorisée. Sinon, l'authentification est refusée au moment de l'établissement de la connexion VPN. Pour que Citrix Endpoint Management détermine l'état d'enregistrement et de gestion des appareils, la valeur de XenMobileDeviceID est définie sur DeviceID_${device.id}.UserAgent Ce texte est ajouté à l'en-tête HTTP User-Agent pour effectuer une vérification supplémentaire sur NetScaler Gateway. La valeur de ce texte est ajoutée à l'en-tête HTTP User-Agent par l'application Citrix SSO lors de la communication avec le NetScaler Gateway. Saisissez le texte que vous souhaitez ajouter à l'en-tête HTTP User-Agent. Ce texte doit être conforme aux spécifications HTTP User-Agent. EnableDebugLogging Activez la journalisation de débogage sur l'application Citrix SSO pour aider à résoudre les problèmes de connectivité VPN en cas de VPN Always On. Vous pouvez l'activer dans l'une des configurations VPN gérées. La journalisation de débogage prend effet lorsque les configurations gérées sont traitées. True : Active la journalisation de débogage. Valeur par défaut : False DisableLogoutFromStoreOnExplicitDisconnect Contrôle la déconnexion du magasin lorsque l'utilisateur final déconnecte explicitement la session VPN depuis l'interface utilisateur de l'application. Applicable uniquement aux déploiements Citrix Secure Private Access. True : Désactive la déconnexion du magasin Secure Private Access et laisse la session Secure Private Access intacte, déconnecte simplement la session de l'application Citrix Secure Access. Valeur par défaut : False. 
Pour créer un autre paramètre personnalisé, cliquez à nouveau sur Ajouter. -
Vous pouvez éventuellement créer d'autres configurations de profil VPN. Cliquez sur Ajouter sous la liste des configurations. Une nouvelle configuration apparaît dans la liste. Sélectionnez la nouvelle configuration et répétez l'étape 5 et, éventuellement, l'étape 6.
-
Lorsque vous avez créé tous les profils VPN souhaités, cliquez sur Suivant.
-
Configurez les règles de déploiement pour cette configuration gérée pour Citrix SSO.
-
Cliquez sur Enregistrer.
Cette configuration gérée pour Citrix SSO apparaît maintenant dans votre liste de stratégies d'appareil configurées.
Pour activer la connexion permanente pour les profils VPN que vous avez configurés, définissez la stratégie d'appareil des options Citrix Endpoint Management.
Remarque :
Citrix Secure Hub 19.5.5 ou version ultérieure est requis pour le VPN permanent pour Android Enterprise.
Accès aux profils VPN depuis l'appareil
Pour accéder aux profils VPN que vous avez créés, les utilisateurs d'Android Enterprise installent Citrix SSO depuis le Google Play Store géré.
Le ou les profils VPN que vous avez configurés apparaissent dans la zone Connexions gérées de l'application. Les utilisateurs appuient sur le profil VPN pour se connecter à l'aide de ce profil VPN.
Une fois que les utilisateurs se sont authentifiés et connectés, une coche apparaît à côté du profil VPN. L'icône de clé indique que le VPN est connecté.
Gérer les appareils Android Zebra à l'aide de Zebra OEMConfig
Gérez les appareils Android Zebra à l'aide de l'outil d'administration Zebra Technologies OEMConfig. Pour plus d'informations sur l'application Zebra OEMConfig, consultez le site Web de Zebra Technologies.
Citrix Endpoint Management prend en charge Zebra OEMConfig version 9.2 et ultérieure. Pour plus d'informations sur les exigences système pour l'installation de Zebra OEMConfig sur les appareils, consultez Configuration d'OEMConfig sur le site Web de Zebra Technologies.
Nous prenons actuellement en charge les appareils Zebra suivants :
-
EC50, EC55, ET56
-
TC52x, TC52x-HC
-
TC52ax, TC52ax-HC
-
TC57x
Pour commencer : Dans la console Citrix Endpoint Management, ajoutez l'application Zebra OEMConfig en tant qu'application du Google Play Store. Consultez Ajouter une application de magasin d'applications public.
Créer une configuration gérée Android Enterprise pour l'application Zebra OEMConfig
Configurez la stratégie d'appareil de configurations gérées pour l'application Zebra OEMConfig. La stratégie s'applique aux appareils Zebra sur lesquels l'application Zebra OEMConfig est installée et la stratégie déployée.
-
Dans la console Citrix Endpoint Management, cliquez sur Configurer > Stratégies d'appareil. Cliquez sur Ajouter.
-
Sélectionnez Android Enterprise. Cliquez sur Configurations gérées.
-
Lorsque la fenêtre Sélectionner l'ID d'application apparaît, choisissez ZebraOEMConfig powered by MX dans la liste et cliquez sur OK.
-
Saisissez un nom et une description pour votre configuration Zebra OEMConfig. Cliquez sur Suivant.
-
Saisissez un nom pour la configuration Zebra OEMConfig.
-
Configurez les paramètres disponibles. Par exemple :
-
Pour désactiver la caméra à l'avant de l'appareil, sélectionnez Configuration de la caméra et définissez Utilisation de la caméra frontale sur Désactivé.
-
Pour modifier le format de l'heure des appareils, sélectionnez Configuration de l'horloge et définissez Format de l'heure sur 12 (12 heures) ou 24 (24 heures).
-
Pour une liste et des descriptions de toutes les configurations disponibles, consultez Configurations gérées Zebra sur le site web de Zebra Technologies.
-
Si vous le souhaitez, créez d'autres configurations Zebra OEMConfig. Cliquez sur Ajouter sous la liste des configurations. Une nouvelle configuration apparaît dans la liste. Sélectionnez la nouvelle configuration et configurez les paramètres.
-
Lorsque vous avez créé toutes les configurations Zebra OEMConfig souhaitées, cliquez sur Suivant.
-
Configurez les règles de déploiement pour cette configuration gérée pour Zebra OEMConfig.
-
Cliquez sur Enregistrer.
Gérer le navigateur Chrome avec des signets prédéfinis
Voici un exemple de la façon de gérer le navigateur Chrome avec des signets prédéfinis :
[
{ "toplevel_name": "My managed bookmarks folder" }
,
{ "name": "Google", "url": "[google.com|http://google.com/]" }
,
{ "name": "Youtube", "url": "[youtube.com|http://youtube.com/]" }
,
{
"nested_links": [
{ "name": "Chromium", "url": "[chromium.org|http://chromium.org/]" }
,
{ "name": "Chromium Developers", "url": "[dev.chromium.org|http://dev.chromium.org/]" }
],
"name": "Chrome links"
}
]
Prise en charge des commentaires sur les configurations gérées (Aperçu technique)
Pour plus d'informations sur la fonctionnalité de prise en charge des commentaires sur les configurations gérées, consultez Prise en charge des commentaires sur les configurations gérées.