In Citrix Endpoint Management
In All products
Documentation produit
In Citrix Endpoint Management
In All products
Citrix Endpoint Management
Voir PDF

Préparation à l’inscription d’appareils et à la mise à disposition de ressources

April 15, 2021
Contribution de: 
C G

Important :

Avant de commencer, assurez-vous de terminer toutes les tâches décrites dans la section Intégration et configuration des ressources.

Tenez vos utilisateurs informés des changements à venir. Consultez Bienvenue dans votre kit d’adoption utilisateur Citrix Endpoint Management.

Endpoint Management prend en charge diverses options d’inscription. Cet article traite de la configuration de base requise pour permettre l’inscription de tous les appareils pris en charge. Le diagramme suivant résume la configuration de base.

Diagramme du workflow de préparation d'un environnement pour l'inscription d'appareils

Pour obtenir une liste des appareils pris en charge, consultez la section Systèmes d’exploitation d’appareils pris en charge.

Configurer un certificat Apple Push Notification Service (APNS) pour les appareils iOS

Important :

La prise en charge par Apple du protocole binaire hérité du service Apple Push Notification prend fin le 31 mars 2021. Apple recommande d’utiliser à la place l’API du fournisseur APNs basé sur HTTP/2. À partir de la version 20.1.0, Citrix Endpoint Management prend en charge l’API HTTP/2. Pour plus d’informations, consultez « Apple Push Notification Service Update » dans https://developer.apple.com/. Pour obtenir de l’aide sur la vérification de la connectivité à APNs, reportez-vous à la section Tests de connectivité.

Pour inscrire et gérer des appareils iOS, Endpoint Management requiert un certificat Apple Push Notification Service (APNS). Endpoint Management requiert également un certificat APNS pour les notifications push pour Secure Mail pour iOS.

Configurer Firebase Cloud Messaging (FCM) pour les appareils Android

Firebase Cloud Messaging (FCM) permet de contrôler quand et comment les appareils Android se connectent au service Endpoint Management. Toute action de sécurité ou commande de déploiement déclenche une notification push. La notification invite les utilisateurs à se reconnecter à Endpoint Management.

  • La configuration de FCM nécessite la configuration de votre compte Google. Pour créer des informations d’identification Google Play, consultez Gérer les informations de votre compte de développeur. Vous utilisez également Google Play pour ajouter, acheter et approuver des applications en vue de les déployer sur l’espace Android Entreprise d’un appareil. Vous pouvez utiliser Google Play pour déployer des applications Android privées, des applications tierces et publiques.

  • Pour configurer FCM, consultez Firebase Cloud Messaging.

Configurer la détection automatique Endpoint Management

Le service de détection automatique simplifie le processus d’inscription pour les utilisateurs via la détection d’URL basée sur une adresse e-mail. Le service de détection automatique fournit des fonctionnalités telles que la vérification de l’inscription, le certificate pinning, ainsi que des avantages supplémentaires pour les clients Citrix Workspace. Le service, hébergé dans Citrix Cloud, joue un rôle important dans la plupart des déploiements Endpoint Management.

Avec le service de détection automatique, les utilisateurs :

  • Peuvent utiliser leurs informations d’identification de réseau d’entreprise pour inscrire leurs appareils.
  • N’ont pas besoin d’entrer les détails sur l’adresse du serveur Endpoint Management.
  • Entrent leur nom d’utilisateur au format UPN (nom d’utilisateur principal). Par exemple, user@mycompany.com.

Nous vous recommandons d’utiliser le service de détection automatique pour les environnements à haute sécurité. Le service de détection automatique prend en charge le certificate pinning, qui empêche les attaques « man-in-the-middle ». Le certificate pinning garantit que le certificat signé par votre entreprise est utilisé lorsque les clients Citrix communiquent avec Endpoint Management. Pour configurer le certificate pinning pour vos sites Endpoint Management, contactez le support Citrix. Pour plus d’informations, consultez la section Certificate pinning.

Pour accéder au service de détection automatique, accédez à https://adsui.cloud.com (commercial) ou https://adsui.cem.cloud.us (gouvernement).

Conditions préalables

  • Le nouveau service de détection automatique dans Citrix Cloud requiert la dernière version de Secure Hub :
    • Pour iOS, Secure Hub version 21.1.0 ou ultérieure

    • Pour Android, Secure Hub version 21.2.1 ou ultérieure

      Les appareils exécutés sur des versions antérieures de Secure Hub peuvent rencontrer des interruptions de service.

  • Pour accéder au nouveau service de détection automatique, vous devez disposer d’un compte Citrix Cloud. Si vous n’avez pas de compte, consultez la section Ouvrir un compte sur Citrix Cloud. Si vous n’êtes pas déjà dans Citrix Cloud, vous êtes invité à vous connecter.
  • Avant de commencer à utiliser le service de détection automatique pour vos déploiements Endpoint Management, vérifiez et revendiquez votre domaine. Vous pouvez revendiquer jusqu’à 10 domaines. La revendication associe le domaine vérifié au service de détection automatique.
  • Utilisez le paramètre Port MAM au lieu du nom de domaine complet Citrix Gateway pour diriger le trafic MAM vers votre centre de données. Si vous entrez le nom de domaine complet de votre instance Citrix Gateway, le service de détection automatique n’enregistre pas la configuration du nom de domaine complet.
  • Si un bloqueur de publicités empêche l’ouverture du site, assurez-vous de désactiver le bloqueur de publicités pour l’ensemble du site Web.

Revendiquer un domaine

  1. Sous l’onglet Revendications > Domaines, cliquez sur Ajouter un domaine.

    Ajouter un domaine

  2. Dans la boîte de dialogue qui s’affiche, entrez le nom de domaine de votre environnement Endpoint Management et cliquez sur Confirmer. Votre domaine apparaît dans Revendications > Domaines.

    Revendiquer un domaine

  3. Dans le domaine que vous avez ajouté, cliquez sur le menu des points de suspension et sélectionnez Vérifier le domaine pour démarrer le processus de vérification. La page Vérifier votre domaine s’affiche.

    Démarrer la vérification

  4. Sur la page Vérifier votre domaine, suivez les instructions pour vérifier que vous êtes propriétaire du domaine.

    Vérifier votre domaine

    1. Cliquez sur Copier pour copier le jeton DNS dans le Presse-papiers.

    2. Créez un enregistrement TXT DNS dans le fichier zone de votre domaine. Pour ce faire, accédez au portail hébergeur de domaine et ajoutez le jeton DNS que vous avez copié.

      La capture d’écran suivante montre un portail hébergeur de domaine. Votre portail peut sembler différent.

      Vérifier votre domaine

    3. Dans Citrix Cloud, sur la page Vérifier votre domaine, cliquez sur Démarrer vérification de DNS pour commencer à détecter votre enregistrement TXT DNS. Si vous souhaitez vérifier le domaine ultérieurement, cliquez sur Vérifier le domaine ultérieurement.

    Le processus de vérification prend généralement environ une heure. Cependant, la réponse peut prendre jusqu’à deux jours. Vous pouvez vous déconnecter et vous reconnecter lors de la vérification de l’état.

    Une fois la configuration terminée, l’état de votre domaine passe de En attente à Vérifié.

  5. Après avoir revendiqué votre domaine, entrez les informations relatives au service de détection automatique. Cliquez sur le menu des points de suspension du domaine que vous avez ajouté, puis cliquez sur Ajouter des informations sur Endpoint Management. La page Informations sur le service de détection automatique s’affiche.

  6. Entrez les informations suivantes, puis cliquez sur Enregistrer.

    • Nom de domaine complet du serveur Endpoint Management : entrez le nom de domaine complet du serveur Endpoint Management. Par exemple : example.xm.cloud.com. Ce paramètre est utilisé pour le trafic de contrôle MDM et MAM.

    • Nom de domaine complet de Citrix Gateway : entrez le nom de domaine complet de Citrix Gateway, sous la forme FQDN ou FQDN:port. Par exemple : example.com:443. Ce paramètre permet de diriger le trafic MAM vers votre centre de données. Pour les déploiements MDM exclusif, laissez ce champ vide.

      Remarque :

      Utilisez le paramètre Port MAM au lieu du Nom de domaine complet Citrix Gateway pour contrôler le trafic MAM. Si vous entrez le nom de domaine complet de votre instance Citrix Gateway, le service de détection automatique n’enregistre pas la configuration du nom de domaine complet.

    • Nom de l’instance : entrez le nom de l’instance du serveur Endpoint Management que vous avez configuré ci-dessus. Si vous ne connaissez pas le nom de votre instance, laissez la valeur par défaut zdm.

    • Port MDM : entrez le port utilisé pour le trafic de contrôle MDM et l’inscription MDM. Pour les services basés sur le cloud, la valeur par défaut est 443.

    • Port MAM : entrez le port utilisé pour le trafic de contrôle MAM, l’inscription MAM, l’inscription iOS et l’énumération des applications. Pour les services basés sur le cloud, la valeur par défaut est 8443.

    • Certificat approuvé pour Endpoint Management : indiquez si un certificat approuvé est nécessaire pour accéder à Endpoint Management. Cette option peut être définie sur Off ou On. Pour utiliser un certificat approuvé, demandez au support technique Citrix de le charger. Pour en savoir plus sur le certificate pinning, consultez la section sur le certificate pinning dans la documentation Secure Hub. Pour plus d’informations sur les ports requis pour que le certificate pinning fonctionne, consultez l’article du centre de connaissances CTX202044.

Demander la détection automatique pour les appareils Windows

Si vous prévoyez d’inscrire des appareils Windows, procédez comme suit :

  1. Contactez le support Citrix et créez une demande de support pour activer la détection automatique de Windows.

  2. Obtenez un certificat SSL non générique, signé publiquement pour enterpriseenrollment.mycompany.com. La partie mycompany.com est le domaine qui contient les comptes que les utilisateurs utilisent pour s’inscrire. Joignez le certificat SSL au format .pfx et son mot de passe à la demande de support créée à l’étape précédente.

    Pour utiliser plusieurs domaines pour inscrire des appareils Windows, vous pouvez également utiliser un certificat multi-domaines avec la structure suivante :

    • Un SubjectDN avec un CN (nom commun) qui spécifie le domaine principal qu’il sert (par exemple, enterpriseenrollment.masociété1.com).
    • Les SAN appropriés pour les domaines restants (par exemple, enterpriseenrollment.masociété2.com, enterpriseenrollment.masociété3.com, etc).

  3. Créez un nom canonique (CNAME) dans votre DNS et mappez l’adresse de votre certificat SSL (enterpriseenrollment.masociété.com) vers autodisc.xm.cloud.com.

    Lorsqu’un utilisateur d’appareil Windows s’inscrit à l’aide d’un UPN, le serveur d’inscription Citrix :

    • fournit les détails de votre serveur Endpoint Management ;
    • indique à l’appareil de demander un certificat valide à Endpoint Management.

À ce stade, vous pouvez inscrire tous les appareils pris en charge. Passez à la section suivante pour préparer la mise à disposition de ressources aux appareils.

Stratégies d’appareil par défaut et applications de productivité mobiles

Si vous intégrez Endpoint Management à partir de la version 19.5.0 ou version ultérieure, nous préconfigurons quelques stratégies d’appareil et applications de productivité mobiles. Cette configuration vous permet de :

  • Déployer immédiatement des fonctionnalités de base sur les appareils
  • Commencer par les configurations de base recommandées pour un espace de travail sécurisé

Pour les plates-formes Android, Android Enterprise, iOS, macOS et Windows Desktop/Tablet, votre site contient les stratégies d’appareil préconfigurées suivantes :

  • Stratégie de code secret : la stratégie de code secret est définie sur Activé et tous les paramètres de code secret sont activés par défaut.

  • Stratégie d’inventaire des applications : la stratégie d’inventaire des applications est définie sur Activé.

  • Stratégies de restrictions : la stratégie de restrictions est définie sur Activé et tous les paramètres de restrictions sont activés par défaut.

Ces stratégies se trouvent dans le groupe de mise à disposition AllUsers, qui contient tous les utilisateurs Active Directory et locaux. Nous vous recommandons d’utiliser le groupe de mise à disposition AllUsers uniquement pour les tests initiaux. Ensuite, créez vos propres groupes de mise à disposition et désactivez le groupe de mise à disposition AllUsers. Vous pouvez réutiliser les stratégies et les applications préconfigurées dans vos groupes de mise à disposition.

Toutes les stratégies d’appareil Endpoint Management sont documentées sous Stratégies d’appareil. Cet article contient des informations sur l’utilisation de la console pour modifier les stratégies d’appareil. Pour plus d’informations sur certaines stratégies d’appareil couramment utilisées, consultez la section Stratégies d’appareil et cas d’utilisation.

Pour les plates-formes iOS et Android, votre site contient les applications de productivité mobiles préconfigurées suivantes :

  • Secure Mail
  • Secure Web
  • Citrix Files

Ces applications se trouvent dans le groupe de mise à disposition AllUsers.

Pour de plus amples informations, consultez la section À propos des applications de productivité mobiles.

Poursuivre la configuration Endpoint Management

Une fois que vous avez terminé la configuration de base pour l’inscription de l’appareil, la manière dont vous configurez Endpoint Management varie considérablement en fonction de vos cas d’utilisation. Par exemple :

  • Quelles sont vos exigences en matière de sécurité et comment souhaitez-vous équilibrer ces exigences avec l’expérience utilisateur ?
  • Quelles plates-formes d’appareils prenez-vous en charge ?
  • Les utilisateurs possèdent-ils leurs appareils ou utilisent-ils des appareils appartenant à l’entreprise ?
  • Quelles stratégies souhaitez-vous transmettre aux appareils ?
  • Quels types d’applications proposez-vous aux utilisateurs ?

Cette section vous aide à naviguer parmi les nombreux choix de configuration en vous dirigeant vers les articles de documentation.

Lorsque vous terminez la configuration sur des sites tiers, notez les informations et leur emplacement à des fins de référence lors de la configuration des paramètres de la console Endpoint Management.

Sécurité et authentification

Endpoint Management utilise les certificats pour établir des connexions sécurisées et authentifier les utilisateurs. Citrix fournit des certificats génériques pour votre instance Endpoint Management.

Lectures complémentaires recommandées :

Pour plus d’informations sur les composants d’authentification et les configurations recommandées par niveau de sécurité, consultez la section « Concepts avancés » dans l’article Authentification.

Consultez également la section Sécurité et expérience utilisateur.

Pour une présentation des composants d’authentification utilisés lors des opérations Endpoint Management, consultez la section Certificats et authentification.

Vous pouvez choisir parmi les types d’authentification suivants. La configuration de l’authentification inclut des tâches dans les consoles Endpoint Management et Citrix Gateway.

Pour la mise à disposition de certificats aux utilisateurs, configurez les éléments suivants :

Pour d’autres options d’authentification, consultez les articles dans la section Certificats et authentification.

Inscription des appareils

Les modes d’inscription sécurisée des appareils spécifient les types d’informations d’identification requis pour que les utilisateurs inscrivent leurs appareils dans Endpoint Management. Les modes d’inscription sécurisée des appareils ont des niveaux de sécurité variables et déterminent les étapes d’inscription requises pour les utilisateurs.

L’inscription d’Azure Active Directory est prise en charge pour les appareils iOS, Android et Windows 10. Pour plus d’informations sur la configuration d’Azure comme fournisseur d’identité (IdP), consultez la section Authentification avec Azure Active Directory via Citrix Cloud.

Stratégies et gestion d’appareil

Préparer le déploiement d’application

Pour plus d’informations sur les applications prises en charge par Endpoint Management, consultez la section Ajouter des applications.

Autre configuration

  • La fonctionnalité de contrôle d’accès basé sur rôle (RBAC) de Endpoint Management vous permet d’attribuer des rôles prédéfinis ou un ensemble d’autorisations aux utilisateurs et aux groupes. Ces autorisations contrôlent le niveau d’accès des utilisateurs aux fonctions du système. Pour de plus amples informations, consultez la section Configurer des rôles avec RBAC.

  • Vous créez des actions automatisées dans Endpoint Management pour spécifier des actions à prendre suite à des événements, à certaines propriétés ou à la présence d’applications sur les appareils utilisateur. Pour de plus amples informations, consultez la section Actions automatisées.

Préparation à l’inscription d’appareils et à la mise à disposition de ressources
April 15, 2021
Contribution de: 
C G
April 15, 2021
Contribution de: 
C G

Dans cet article

Commentaires sur le site | Confidentialité et mentions légales | Préférences de cookies | Consent Settings
© 1999- Citrix Systems, Inc. All rights reserved.