Authentification

Amélioration de la sécurité de Citrix® avec un nom d’utilisateur pré-rempli

À partir de la version 2411, les administrateurs peuvent utiliser la gestion des appareils mobiles (MDM) pour envoyer le nom d’utilisateur dans un format spécifique aux appareils gérés. L’application Citrix Workspace™ lit cette configuration, récupère le nom d’utilisateur et le pré-remplit dans l’invite d’authentification, le rendant en lecture seule. Cela garantit que seuls les utilisateurs finaux auxquels un Mac est enregistré peuvent s’authentifier auprès de l’application Citrix Workspace sur cette machine spécifique. Cette fonctionnalité améliore la sécurité de la connexion et donne aux administrateurs un meilleur contrôle sur l’authentification.

Vous pouvez configurer cette fonctionnalité via MDM à l’aide des paramètres suivants :

 <array>
    <dict>
        <key>LockUserName</key>
        <true/>
        <key>CitrixUserName</key>
        <string>UserNameValue</string>
    </dict>
 </array>

<!--NeedCopy-->

Limitations :

• Cette solution ne fonctionne qu’avec les magasins sur site qui utilisent l’authentification de base.
• Elle n’est pas compatible avec l’authentification SAML (WebView).
• La portée est limitée à l’application Citrix Workspace et les connexions basées sur un navigateur ne sont pas gérées.

Pour plus d’informations sur l’utilisation de MDM, consultez Gestion des appareils mobiles.

Exiger des utilisateurs finaux qu’ils s’authentifient et accèdent aux applications et bureaux via l’application native

À partir de la version 2411, les administrateurs peuvent exiger des utilisateurs sur les appareils Mac qu’ils accèdent à l’application Citrix Workspace exclusivement via l’application native. Lorsque cette fonctionnalité est activée, les utilisateurs tentant d’accéder à l’URL du magasin et aux navigateurs tiers sont automatiquement redirigés vers l’application Citrix Workspace. Cela garantit qu’ils peuvent profiter de toutes les capacités de l’application native et bénéficier d’une expérience utilisateur fluide. De plus, les utilisateurs se connectant via un navigateur tout en invoquant le moteur HDX™ sont invités à ajouter le magasin au client natif pour un accès futur. Cette fonctionnalité offre également aux administrateurs un meilleur contrôle sur l’environnement utilisateur et améliore la sécurité en maintenant le processus d’authentification au sein de l’application native, éliminant ainsi le besoin de télécharger des fichiers ICA.

Les administrateurs peuvent activer cette fonctionnalité à l’aide de leur compte Citrix Cloud. Cette fonctionnalité est actuellement prise en charge uniquement pour les magasins Cloud. Pour plus d’informations, consultez Exiger des utilisateurs finaux qu’ils s’authentifient et accèdent aux applications et bureaux via l’application native.

Améliorations de l’authentification par lecteur de carte à puce

À partir de la version 2409, l’application Citrix Workspace prend en charge la fonctionnalité plug-and-play pour les lecteurs de carte à puce. Grâce à cette fonctionnalité, les utilisateurs peuvent utiliser leurs cartes à puce de manière pratique sans avoir à connecter manuellement le lecteur avant de lancer une session ICA®. Le système détecte et initialise automatiquement le lecteur une fois la carte à puce insérée.

De plus, l’application Citrix Workspace gère plus efficacement les requêtes de commande de carte à puce concurrentes. Lorsque plusieurs processus sur le Virtual Delivery Agent (VDA) lisent la carte à puce simultanément, la vitesse de redirection est améliorée.

Ces améliorations garantissent une expérience utilisateur plus fluide lors de l’utilisation du lecteur de carte à puce pour l’authentification.

Prise en charge de la carte à puce rapide

À partir de la version 2409, l’application Citrix Workspace prend en charge la fonctionnalité de carte à puce rapide. La carte à puce rapide est une amélioration par rapport à la redirection de carte à puce HDX basée sur PC/SC existante. Elle améliore considérablement les performances lorsque les cartes à puce sont utilisées dans des environnements WAN à latence élevée.

Activation de l’ouverture de session par carte à puce rapide dans l’application Citrix Workspace

Pour activer cette fonctionnalité, vous devez spécifier l’emplacement du fichier de bibliothèque PKCS#11 dans les paramètres Carte à puce des préférences de l’application Citrix Workspace. Pour plus d’informations, consultez Spécification d’un module PKCS#11 pour l’authentification par carte à puce.

Désactivation de l’ouverture de session par carte à puce rapide dans l’application Citrix Workspace

Pour désactiver l’ouverture de session par carte à puce rapide dans l’application Citrix Workspace, définissez le « module PKCS#11 » dans les préférences de l’application Citrix Workspace sur « Aucun sélectionné ».

Remarque :

• L’ouverture de session par carte à puce rapide est activée par défaut sur le VDA et désactivée par défaut sur l’application Citrix Workspace.
• Les versions antérieures de l’application Citrix Workspace pour Mac utilisaient le module PKCS#11 pour établir des connexions SSL, plutôt que de s’appuyer sur la redirection et l’authentification par carte à puce. Actuellement, les cartes à puce rapides sur l’application Citrix Workspace pour Mac prennent exclusivement en charge les cartes qui utilisent l’algorithme RSA. Tenter de configurer un module PKCS#11 incompatible peut entraîner un échec d’authentification.

Carte à puce

L’application Citrix Workspace pour Mac prend en charge l’authentification par carte à puce dans les configurations suivantes :

• Authentification par carte à puce à Workspace pour Web ou StoreFront 3.12 et versions ultérieures.

• Citrix Virtual Apps and Desktops™ 7 2203 et versions ultérieures.

• XenApp et XenDesktop 7.15 et versions ultérieures.

• Applications compatibles avec les cartes à puce, telles que Microsoft Outlook et Microsoft Office, qui permettent aux utilisateurs de signer numériquement ou de chiffrer des documents disponibles dans des sessions de bureau virtuel ou d’application.

• L’application Citrix Workspace pour Mac prend en charge l’utilisation de plusieurs certificats avec une seule carte à puce ou avec plusieurs cartes à puce. Lorsque votre utilisateur insère une carte à puce dans un lecteur de carte, les certificats sont disponibles pour toutes les applications exécutées sur l’appareil, y compris l’application Citrix Workspace pour Mac.

• Pour les sessions à double saut, une connexion supplémentaire est établie entre l’application Citrix Workspace pour Mac et le bureau virtuel de votre utilisateur.

À propos de l’authentification par carte à puce à Citrix Gateway

Il existe plusieurs certificats utilisables lorsque vous utilisez une carte à puce pour authentifier une connexion. L’application Citrix Workspace pour Mac vous invite à sélectionner un certificat. Après avoir sélectionné un certificat, l’application Citrix Workspace pour Mac vous invite à saisir le mot de passe de la carte à puce. Une fois authentifiée, la session se lance.

S’il n’y a qu’un seul certificat approprié sur la carte à puce, l’application Citrix Workspace pour Mac utilise ce certificat et ne vous invite pas à le sélectionner. Cependant, vous devez toujours saisir le mot de passe associé à la carte à puce pour authentifier la connexion et démarrer la session.

Spécification d’un module PKCS#11 pour l’authentification par carte à puce

Remarque :

L’installation du module PKCS#11 n’est pas obligatoire. Cette section s’applique uniquement aux sessions ICA. Elle ne s’applique pas à l’accès à Citrix Gateway ou StoreFront via Citrix Workspace où une carte à puce est requise.

Pour spécifier le module PKCS#11 pour l’authentification par carte à puce :

1. Dans l’application Citrix Workspace pour Mac, sélectionnez Préférences.
2. Cliquez sur Sécurité et confidentialité.
3. Dans la section Sécurité et confidentialité, cliquez sur Carte à puce.
4. Dans le champ PKCS#11, sélectionnez le module approprié. Cliquez sur Autre pour parcourir l’emplacement du module PKCS#11 si le module souhaité n’est pas répertorié.
5. Après avoir sélectionné le module approprié, cliquez sur Ajouter.

Lecteurs, middlewares et profils de carte à puce pris en charge

L’application Citrix Workspace pour Mac prend en charge la plupart des lecteurs de carte à puce et des middlewares cryptographiques compatibles macOS. Citrix a validé le fonctionnement avec les éléments suivants.

Lecteurs pris en charge :

• Lecteurs de carte à puce USB courants

Middlewares pris en charge :

• Clarify
• Version client ActivIdentity
• Version client Charismathics

Cartes à puce prises en charge :

• Cartes PIV
• Common Access Card (CAC)
• Cartes Gemalto .NET

Suivez les instructions fournies par le fournisseur de votre lecteur de carte à puce et de votre middleware cryptographique compatibles macOS pour configurer les appareils utilisateur.

Restrictions

• Les certificats doivent être stockés sur une carte à puce, et non sur le périphérique utilisateur.
• L’application Citrix Workspace pour Mac n’enregistre pas le choix du certificat utilisateur.
• L’application Citrix Workspace pour Mac ne stocke ni n’enregistre le code PIN de la carte à puce de l’utilisateur. Le système d’exploitation gère les acquisitions de code PIN, qui peuvent avoir leur propre mécanisme de mise en cache.
• L’application Citrix Workspace pour Mac ne reconnecte pas les sessions lorsqu’une carte à puce est insérée.
• Pour utiliser les tunnels VPN avec l’authentification par carte à puce, vous devez installer le plug-in Citrix Gateway et vous connecter via une page Web. Utilisez vos cartes à puce et vos codes PIN pour vous authentifier à chaque étape. L’authentification directe vers StoreFront avec le plug-in Citrix Gateway n’est pas disponible pour les utilisateurs de cartes à puce.

Accès conditionnel avec Azure Active Directory

Cette méthode d’authentification n’est actuellement pas prise en charge par l’application Citrix Workspace pour Mac.

User-Agent

L’application Citrix Workspace envoie un agent utilisateur dans les requêtes réseau qui peut être utilisé pour configurer des stratégies d’authentification, y compris la redirection de l’authentification vers d’autres fournisseurs d’identité (IdP).

Remarque :

Ne mentionnez pas les numéros de version lors de la configuration des stratégies.

FIDO2 pour l’authentification sans mot de passe

L’application Citrix Workspace pour Mac prend en charge l’authentification sans mot de passe à l’aide de clés de sécurité FIDO2 lors de la connexion à un magasin cloud ou au sein d’une session HDX. Les clés de sécurité FIDO2 offrent aux employés d’entreprise un moyen transparent de s’authentifier auprès d’applications ou de bureaux prenant en charge FIDO2 sans saisir de nom d’utilisateur ni de mot de passe. Cette fonctionnalité prend actuellement en charge les authentificateurs itinérants (USB uniquement) avec code PIN et Touch ID. Cette fonctionnalité est prise en charge sur macOS 12 et les versions ultérieures.

Pour plus d’informations sur FIDO2, consultez Authentification FIDO2.

Pour plus d’informations sur les prérequis et l’utilisation de cette fonctionnalité, consultez Autorisation locale et authentification virtuelle à l’aide de FIDO2.

Authentification basée sur FIDO2 lors de la connexion au cloud et au magasin sur site

L’application Citrix Workspace utilise le navigateur par défaut de l’utilisateur pour l’authentification FIDO2 (authentification Web), lors de la connexion aux magasins cloud et sur site. Les administrateurs peuvent configurer le type de navigateur pour s’authentifier auprès de l’application Citrix Workspace. Pour plus d’informations sur les paramètres du navigateur Web, consultez la documentation du service de configuration globale des applications.

Les paramètres suivants vous permettent de sélectionner le type de navigateur utilisé pour authentifier un utilisateur final dans l’application Citrix Workspace :

Pour appliquer les paramètres configurés, exécutez les commandes suivantes en utilisant les méthodes de gestion des appareils mobiles (MDM), du service de configuration globale des applications (GACS) ou de l’interface de ligne de commande :

• Activer FIDO2 à l’aide de MDM : Pour activer l’authentification via MDM, les administrateurs doivent utiliser le paramètre suivant :

  <key>WebBrowserForAuthentication</key><string>System</string>

Pour plus d’informations sur l’utilisation de MDM, consultez Gestion des appareils mobiles.

• Activer FIDO2 à l’aide de GACS : Pour activer l’authentification via GACS, les administrateurs doivent utiliser le paramètre suivant :

{
    "serviceURL": {
      "url": "https://serviceURL:443"
    },
    "settings": {
      "name": "Web browser for Authenticating into Citrix Workspace",
      "description": "Allows admin to select the type of browser used for authenticating an end user into Citrix Workspace app",
      "useForAppConfig": true,
      "appSettings": {
        "macos": [
          {
            "assignedTo": [
              "AllUsersNoAuthentication"
            ],
            "category": "authentication",
            "settings": [
              {
                "name": "web browser for authentication",
                "value": "SystemWithPrivateSession"
              }
            ],
            "userOverride": false
          }
        ]
      }
    }
  }

<!--NeedCopy-->

• Activer FIDO2 à l’aide de l’interface de ligne de commande : Pour activer l’authentification à l’aide de l’interface de ligne de commande, les administrateurs doivent exécuter la commande suivante :

  defaults write com.citrix.receiver.nomas WebBrowserForAuthentication System

Authentification basée sur FIDO2 au sein d’une session HDX

Vous pouvez configurer les clés de sécurité FIDO2 pour l’authentification au sein d’une session HDX. Cette fonctionnalité prend actuellement en charge les authentificateurs itinérants (USB uniquement) avec code PIN.

Lorsque vous accédez à une application ou à un site Web prenant en charge FIDO2, une invite apparaît, demandant l’accès à la clé de sécurité. Si vous avez déjà enregistré votre clé de sécurité avec un code PIN (un minimum de 4 et un maximum de 64 caractères), vous devez saisir le code PIN lors de la connexion.

Si vous avez déjà enregistré votre clé de sécurité sans code PIN, touchez simplement la clé de sécurité pour vous connecter.

Cette fonctionnalité est activée par défaut pour l’application Citrix Workspace pour les versions 2307 et ultérieures. Vous pouvez désactiver l’authentification FIDO2 à l’aide des méthodes de gestion des appareils mobiles (MDM) ou d’interface de ligne de commande en exécutant les commandes suivantes :

• Désactiver l’authentification basée sur FIDO2 à l’aide de MDM : Pour désactiver cette fonctionnalité via MDM, les administrateurs doivent utiliser le paramètre suivant :

  <key>Fido2Enabled</key><false/>

Pour plus d’informations sur l’utilisation de MDM, consultez Gestion des appareils mobiles.

• Désactiver l’authentification basée sur FIDO2 à l’aide de l’interface de ligne de commande : Pour désactiver cette fonctionnalité, exécutez la commande suivante dans les méthodes d’interface de ligne de commande :

  defaults write com.citrix.receiver.nomas Fido2Enabled -bool NO

Prise en charge de Touch ID de l’appareil pour l’authentification sans mot de passe FIDO2

Auparavant, l’application Citrix Workspace prenait en charge l’authentification sans mot de passe FIDO2 via les authentificateurs itinérants (USB uniquement) avec code PIN et Touch.

À partir de la version 2405, l’application Citrix Workspace prend désormais en charge Touch ID de l’appareil pour l’authentification sans mot de passe FIDO2, améliorant ainsi l’expérience de connexion des utilisateurs. Grâce à cette fonctionnalité, les utilisateurs peuvent se connecter en toute sécurité au magasin configuré sur l’application Citrix Workspace à l’aide de Touch ID de l’appareil, éliminant ainsi le besoin de codes d’accès ou de mots de passe. Cette fonctionnalité améliore à la fois la convivialité et la sécurité de l’application Citrix Workspace pour les utilisateurs macOS. Cette fonctionnalité est activée par défaut.

Prise en charge de l’authentification par certificat

À partir de la version 2305, les administrateurs Workspace peuvent configurer et appliquer des stratégies d’accès conditionnel Azure Active Directory pour les utilisateurs s’authentifiant auprès de l’application Citrix Workspace.

Les méthodes suivantes peuvent être utilisées pour activer l’authentification à l’aide de l’accès conditionnel :

• Gestion des appareils mobiles (MDM)
• Service de configuration d’applications global (GACS)

Les valeurs d’indicateur lues par l’application Citrix Workspace sont prioritaires dans l’ordre suivant :

• Gestion des appareils mobiles (MDM)
• Service de configuration d’applications global (GACS)

Activation de l’authentification à l’aide de l’accès conditionnel via MDM

Pour activer l’authentification à l’aide de l’accès conditionnel avec Azure AD via MDM, les administrateurs doivent utiliser le paramètre suivant :

<key>enableAAD</key> <true/>

Ce paramètre prend en charge les valeurs booléennes. La valeur est définie sur false par défaut. La valeur par défaut est prise en compte si la valeur de la clé n’est pas disponible.

Pour plus d’informations sur l’utilisation de la gestion des appareils mobiles (MDM), consultez (/fr-fr/citrix-workspace-app-for-mac/mobile-device-management.html).

Activation de l’authentification à l’aide de l’accès conditionnel via GACS

Pour activer l’authentification à l’aide de l’accès conditionnel avec Azure AD via GACS, les administrateurs doivent utiliser le paramètre suivant :

enable conditional AAD

Pour plus d’informations, consultez Paramètres pris en charge et leurs valeurs par plate-forme pour macOS dans la documentation GACS.

Authentification simplifiée dans le magasin sur site

À partir de la version 2505, les administrateurs peuvent contrôler le comportement de la case à cocher Mémoriser le mot de passe dans l’application Citrix Workspace pour Mac.

Les administrateurs peuvent configurer cette fonctionnalité à l’aide d’une paire clé-valeur basée sur MDM :

key: SaveCredentials

value type: Boolean

La logique suivante détermine le comportement de la case à cocher Mémoriser le mot de passe en fonction de la configuration de StoreFront™ et de la présence de la clé MDM SaveCredentials :

• Si SaveCredential n’est pas défini dans StoreFront :
  • Le système affiche la case à cocher Mémoriser le mot de passe à l’utilisateur.
  • Si la clé MDM SaveCredentials est présente :
    • Si SaveCredentials = true : le système sélectionne la case à cocher et la désactive, de sorte que l’utilisateur ne peut pas modifier son état.
    • Si SaveCredentials = false : Le système décoche, désactive et verrouille la case à cocher.
  • Si la clé MDM n’est pas présente : La configuration de StoreFront contrôle uniquement le comportement de la case à cocher.

• Si SaveCredential est défini sur False dans StoreFront :

  • Le système n’affiche pas la case à cocher Mémoriser le mot de passe à l’utilisateur.
  • Si la clé MDM est définie, le système enregistre toujours les informations d’identification sur le disque en fonction de sa valeur, mais maintient la case à cocher masquée.

Remarque :

• Si la clé MDM est présente, elle annule l’interaction de l’utilisateur avec la case à cocher.
• La stratégie MDM gère les informations d’identification même si l’élément d’interface utilisateur est masqué.

Limitations

Cette solution s’applique uniquement aux environnements sur site où l’application Citrix Workspace peut accéder directement à StoreFront en utilisant exclusivement la méthode d’authentification par nom d’utilisateur et mot de passe.

Prise en charge de l’authentification unique (SSO) Entra ID

À partir de la version 2508, l’application Citrix Workspace pour MAC prend en charge l’authentification unique (SSO) avec Microsoft Entra ID.

Authentification unique avec Microsoft Entra ID

Les utilisateurs peuvent se connecter à l’application Citrix Workspace à l’aide de leurs informations d’identification Microsoft Entra ID et lancer de manière transparente Citrix Virtual Apps and Desktops avec l’authentification unique (SSO), ce qui réduit les invites répétées et améliore l’expérience de connexion globale.

Pour des instructions de configuration détaillées, consultez le guide de configuration SSO d’Entra ID.

Comportement d’authentification par défaut

Avec le flux d’authentification par défaut, les utilisateurs s’authentifient une seule fois lors du premier lancement de session. Les sessions ultérieures utilisent automatiquement l’authentification unique (SSO).

Cette méthode d’authentification prend en charge les déploiements sur site et dans le cloud.

Comportement d’authentification du navigateur système

Lorsque vous utilisez l’authentification du navigateur système, macOS affiche une boîte de dialogue modale qui indique :

• Le domaine en cours d’authentification.
• Une invite à poursuivre l’authentification.

Vous pouvez activer l’authentification du navigateur système via MDM ou GACS :

• Configuration GACS : Dans la catégorie Authentification, définissez Navigateur Web pour l’authentification sur Système. Pour plus de détails, consultez Paramètres pris en charge et leurs valeurs par plate-forme.
• Configuration MDM : Utilisez le paramètre suivant :

<key>WebBrowserForAuthentication</key><string>System</string>
<!--NeedCopy-->

Remarques :

• L’authentification du navigateur système ne prend pas en charge les magasins sur site.
• Lorsque vous utilisez l’option SystemWithPrivateSession, le navigateur fonctionne en session privée sans enregistrer de cookies ni de données, de sorte que le SSO n’est pas pris en charge.

Désactiver la prise en charge d’Entra ID

Pour désactiver la prise en charge d’Entra ID pour l’application Citrix Workspace pour MAC, exécutez la commande suivante :

defaults write com.citrix.receiver.nomas UseLegacyTermsrvResourceUri -bool YES
<!--NeedCopy-->

Prise en charge de l’authentification PassKey (FIDO2)

À partir de la version 2603, l’application Citrix Workspace pour Mac prend en charge l’authentification PassKey (FIDO2) à l’aide de TouchID ou d’un mot de passe, en plus des clés de sécurité externes. La PassKey est spécifique au profil utilisateur macOS local et est stockée dans l’Enclave sécurisée, accessible uniquement par Citrix Viewer. Cette fonctionnalité est prise en charge sur les Mac dotés de l’Enclave sécurisée.

Remarques :

• L’application Citrix Workspace pour Mac crée et gère les PassKeys, qui ne sont valides que dans les sessions actives.
• Contactez votre administrateur si l’organisation exige des authentificateurs certifiés.