Stratégies MDX pour les applications tierces iOS

Cet article décrit les stratégies MDX pour les applications iOS tierces. Vous pouvez modifier les paramètres de stratégie directement dans les fichiers XML de stratégie ou dans la console Citrix Endpoint Management™ lorsque vous ajoutez une application.

Authentification

Code secret de l’appareil

Si la valeur est Activé, un code PIN ou un code secret est requis pour déverrouiller l’appareil lorsqu’il démarre ou reprend après une période d’inactivité. Un code secret de l’appareil est requis pour chiffrer les données de l’application à l’aide du chiffrement de fichiers Apple. Les données de toutes les applications de l’appareil sont chiffrées. La valeur par défaut est Désactivé.

Code secret de l’application

Si la valeur est Activé, un code PIN ou un code secret est requis pour déverrouiller l’application lorsqu’elle démarre ou reprend après une période d’inactivité. La valeur par défaut est Activé.

Pour configurer le délai d’inactivité pour toutes les applications, définissez la valeur INACTIVITY_TIMER en minutes dans les Propriétés du client sous l’onglet Paramètres. La valeur par défaut du délai d’inactivité est de 60 minutes. Pour désactiver le délai d’inactivité, afin qu’une invite de code PIN ou de code secret n’apparaisse qu’au démarrage de l’application, définissez la valeur sur zéro.

Remarque :

Si vous sélectionnez Sécurisé hors ligne pour la stratégie Clés de chiffrement, cette stratégie est automatiquement activée.

Session en ligne requise

Période hors ligne maximale (heures)

Définit la période maximale pendant laquelle une application peut s’exécuter sans reconfirmer les droits d’application et actualiser les stratégies de Citrix Endpoint Management. À l’expiration, une connexion au serveur peut être déclenchée si nécessaire. La valeur par défaut est de 168 heures (7 jours). La période minimale est de 1 heure.

Citrix Gateway alternatif

Remarque :

Le nom de cette stratégie dans la console Endpoint Management est NetScaler® Gateway alternatif.

Adresse d’un Citrix Gateway alternatif spécifique qui doit être utilisé pour l’authentification et pour les sessions micro VPN avec cette application. Il s’agit d’une stratégie facultative qui, lorsqu’elle est associée à la stratégie Session en ligne requise, force les applications à se réauthentifier auprès de la passerelle spécifique. Ces passerelles auraient généralement des exigences d’authentification (assurance plus élevée) et des stratégies de gestion du trafic différentes. Si ce champ est laissé vide, la passerelle par défaut du serveur est toujours utilisée. La valeur par défaut est vide.

Sécurité de l’appareil

• Bloquer les appareils jailbreakés ou rootés

• Si la valeur est Activé, l’application est verrouillée lorsque l’appareil est jailbreaké ou rooté. Si la valeur est Désactivé, l’application peut s’exécuter même si l’appareil est jailbreaké ou rooté. La valeur par défaut est Activé.

• Exigences réseau

• Exiger le Wi-Fi

Si la valeur est Activé, l’application est verrouillée lorsque l’appareil n’est pas connecté à un réseau Wi-Fi. Si la valeur est Désactivé, l’application peut s’exécuter si l’appareil dispose d’une connexion active, telle qu’une connexion 4G/3G, LAN ou Wi-Fi. La valeur par défaut est Désactivé.

Réseaux Wi-Fi autorisés

Liste de réseaux Wi-Fi séparés par des virgules. Si le nom du réseau contient des caractères non alphanumériques (y compris des virgules), le nom doit être placé entre guillemets. L’application ne s’exécute que si elle est connectée à l’un des réseaux répertoriés. Si ce champ est vide, tous les réseaux sont autorisés. Cela n’affecte pas les connexions aux réseaux cellulaires. La valeur par défaut est vide.

Accès divers

Période de grâce pour la mise à jour de l’application (heures)

Définit la période de grâce pendant laquelle une application peut continuer à être utilisée après que le système a détecté qu’une mise à jour de l’application est disponible. La valeur par défaut est de 168 heures (7 jours).

Remarque :

L’utilisation d’une valeur de zéro n’est pas recommandée, car elle empêche immédiatement l’utilisation d’une application en cours d’exécution tant que la mise à jour n’est pas téléchargée et installée (sans aucun avertissement à l’utilisateur). Cela pourrait entraîner une situation où l’utilisateur est contraint de quitter l’application (avec une perte potentielle de travail) pour se conformer à la mise à jour requise.

Effacer les données de l’application au verrouillage

Efface les données et réinitialise l’application lorsque celle-ci est verrouillée. Si la valeur est Désactivé, les données de l’application ne sont pas effacées lorsque l’application est verrouillée. La valeur par défaut est Désactivé.

Une application peut être verrouillée pour l’une des raisons suivantes :

• Perte des droits d’application pour l’utilisateur
• Abonnement à l’application supprimé
• Compte supprimé
• Secure Hub désinstallé
• Trop d’échecs d’authentification de l’application
• Appareil jailbreaké détecté (selon le paramètre de stratégie)
• Appareil placé en état verrouillé par une autre action administrative

Période d’interrogation active (minutes)

Lorsqu’une application démarre, le framework MDX interroge Citrix Endpoint Management pour déterminer l’état actuel de l’application et de l’appareil. En supposant que le serveur exécutant Endpoint Management est accessible, le framework renvoie des informations sur l’état de verrouillage/effacement de l’appareil et l’état d’activation/désactivation de l’application. Que le serveur soit accessible ou non, une interrogation ultérieure est planifiée en fonction de l’intervalle de la période d’interrogation active. Une fois la période expirée, une nouvelle interrogation est tentée. La valeur par défaut est de 60 minutes (1 heure).

• Important :

• Ne définissez cette valeur à un niveau inférieur que pour les applications à haut risque, sinon les performances pourraient être affectées.

Comportement de l’appareil non conforme

Vous permet de choisir une action lorsqu’un appareil ne respecte pas les exigences de conformité minimales. Sélectionnez Autoriser l’application pour que l’application s’exécute normalement. Sélectionnez Autoriser l’application après avertissement pour que l’application s’exécute après l’affichage de l’avertissement. Sélectionnez Bloquer pour empêcher l’exécution de l’application. La valeur par défaut est Autoriser l’application après avertissement.

Interaction avec l’application

Couper et copier

Bloque, autorise ou restreint les opérations de couper-coller du Presse-papiers pour cette application. Si la valeur est Restreint, les données copiées du Presse-papiers sont placées dans un Presse-papiers privé qui n’est disponible que pour les applications MDX. La valeur par défaut est Restreint.

Coller

Bloque, autorise ou restreint les opérations de collage du Presse-papiers pour cette application. Si la valeur est Restreint, les données collées du Presse-papiers proviennent d’un Presse-papiers privé qui n’est disponible que pour les applications MDX. La valeur par défaut est Non restreint.

Échange de documents (Ouvrir dans)

Bloque, autorise ou restreint les opérations d’échange de documents pour cette application. Si la valeur est Restreint, les documents ne peuvent être échangés qu’avec d’autres applications MDX.

Si la valeur est Non restreint, définissez la stratégie Activer le chiffrement sur Activé afin que les utilisateurs puissent ouvrir des documents dans des applications non encapsulées. Si l’application réceptrice n’est pas encapsulée ou si le chiffrement est désactivé, Citrix Endpoint Management déchiffre le document. La valeur par défaut est Restreint.

Liste d’exceptions Ouvrir dans restreint

Lorsque la stratégie Échange de documents (Ouvrir dans) est Restreint, une application MDX peut partager des documents avec cette liste d’ID d’applications non gérées séparés par des virgules, même si la stratégie Échange de documents (Ouvrir dans) est Restreint et que Activer le chiffrement est Activé. La liste d’exceptions par défaut autorise les applications Office 365 :

com.microsoft.Office.Word,com.microsoft.Office.Excel,com.microsoft.Office.Powerpoint, com.microsoft.onenote,com.microsoft.onenoteiPad,com.microsoft.Office.Outlook

Seules les applications Office 365 sont prises en charge pour cette stratégie.

Attention :

Assurez-vous de prendre en compte les implications de sécurité de cette stratégie. La liste d’exceptions permet au contenu de circuler entre les applications non gérées et l’environnement MDX.

Échange de documents entrants (Ouvrir dans)

Bloque, restreint ou autorise les opérations d’échange de documents entrants pour cette application. Si la valeur est Restreint, les documents ne peuvent être échangés qu’avec d’autres applications MDX. La valeur par défaut est Non restreint.

• Si la valeur est Bloqué ou Restreint, vous pouvez utiliser la stratégie de liste blanche d’échange de documents entrants pour spécifier les applications qui peuvent envoyer des documents à cette application.

• Remarque :

  La stratégie de liste blanche d’échange de documents entrants ne prend en charge que les appareils exécutant iOS 12.

Options : Non restreint, Bloqué ou Restreint

Schémas d’URL d’application

Les applications iOS peuvent envoyer des requêtes URL à d’autres applications qui ont été enregistrées pour gérer des schémas spécifiques (tels que « http:// »). Cette fonctionnalité fournit un mécanisme permettant à une application de transmettre des requêtes d’aide à une autre application. Cette stratégie sert à filtrer les schémas qui sont transmis à cette application pour traitement (c’est-à-dire les URL entrantes). La valeur par défaut est vide, ce qui signifie que tous les schémas d’URL d’application enregistrés sont bloqués.

La stratégie doit être formatée comme une liste de modèles séparés par des virgules, où chaque modèle peut être précédé d’un signe plus « + » ou d’un signe moins « - ». Les URL entrantes sont comparées aux modèles dans l’ordre indiqué jusqu’à ce qu’une correspondance soit trouvée. Une fois la correspondance établie, l’action entreprise est dictée par le préfixe.

• Un préfixe moins « - » bloque le passage de l’URL vers cette application.
• Un préfixe plus « + » autorise le passage de l’URL vers l’application pour traitement.
• Si ni « + » ni « - » n’est fourni avec le modèle, « + » (autoriser) est supposé.
• Si une URL entrante ne correspond à aucun modèle de la liste, l’URL est bloquée.

Le tableau suivant contient des exemples de schémas d’URL d’application :

Interaction d’application (URL sortante)

Domaines exclus du filtrage d’URL

Cette stratégie exclut les URL sortantes de tout filtrage des « URL autorisées ». Ajoutez une liste séparée par des virgules de noms de domaine complets (FQDN) ou de suffixes DNS à exclure du filtrage des « URL autorisées ». Si cette stratégie est vide (valeur par défaut), le filtrage des « URL autorisées » défini traite les URL. Si cette stratégie contient des entrées, les URL dont les champs d’hôte correspondent à au moins un élément de la liste (par correspondance de suffixe DNS) sont envoyées sans modification à iOS, contournant ainsi la logique de filtrage des « URL autorisées ». La valeur par défaut est vide.

URL autorisées

Les applications iOS peuvent envoyer des requêtes URL à d’autres applications qui ont été enregistrées pour gérer des schémas spécifiques (tels que « http:// »). Cette fonctionnalité fournit un mécanisme permettant à une application de transmettre des requêtes d’aide à une autre application. Cette stratégie sert à filtrer les URL qui sont transmises de cette application à d’autres applications pour traitement (c’est-à-dire les URL sortantes).

La stratégie doit être formatée comme une liste de modèles séparés par des virgules, où chaque modèle peut être précédé d’un signe plus « + » ou d’un signe moins « - ». Les URL sortantes sont comparées aux modèles dans l’ordre indiqué jusqu’à ce qu’une correspondance soit trouvée. Une fois la correspondance établie, l’action entreprise est dictée par le préfixe. Un préfixe moins « - » bloque le passage de l’URL vers une autre application. Un préfixe plus « + » autorise le passage de l’URL vers une autre application pour traitement. Si ni « + » ni « - » n’est fourni avec le modèle, « + » (autoriser) est supposé. Une paire de valeurs séparées par « = » indique une substitution où les occurrences de la première chaîne sont remplacées par la seconde. Vous pouvez utiliser le préfixe d’expression régulière « ^ » pour rechercher une chaîne afin de l’ancrer au début de l’URL. Si une URL sortante ne correspond à aucun modèle de la liste, elle sera bloquée.

Par défaut

+maps.apple.com

+itunes.apple.com

^http:=ctxmobilebrowser:

^https:=ctxmobilebrowsers:

^mailto:=ctxmail:

+^citrixreceiver:

+^telprompt:

+^tel:

+^lmi-g2m:

+^maps:ios_addr

• +^mapitem:

+^sms:

+^facetime:

+^ctxnotes:

+^ctxnotesex:

+^ctxtasks:

+^facetime-audio:

+^itms-apps:

• +^ctx-sf:

• +^sharefile:

• +^lync:

• +^slack:

Si le paramètre est vide, toutes les URL sont bloquées, à l’exception des suivantes :

• http:
• https:
• +citrixreceiver: +tel:

Le tableau suivant contient des exemples d’URL autorisées :

Domaines Secure Web autorisés

Cette stratégie n’affecte que les entrées de stratégie « URL autorisées » qui redirigeraient une URL vers l’application Secure Web (^ http:=ctxmobilebrowser: et ^https:=ctxmobilebrowsers:). Ajoutez une liste, séparée par des virgules, de noms de domaine complets (FQDN) ou de suffixes DNS autorisés à rediriger vers l’application Secure Web. Si cette stratégie contient des entrées, seules les URL dont les champs d’hôte correspondent à au moins un élément de la liste (par correspondance de suffixe DNS) sont redirigées vers l’application Secure Web. Toutes les autres URL sont envoyées à iOS sans modification, en contournant l’application Secure Web. La valeur par défaut est vide.

Restrictions d’application

Important :

Tenez compte des implications de sécurité des stratégies qui empêchent les applications d’accéder ou d’utiliser les fonctionnalités du téléphone. Lorsque ces stratégies sont Désactivées, le contenu peut circuler entre les applications non gérées et l’environnement sécurisé.

Bloquer l’appareil photo

Si Activé, empêche une application d’utiliser directement le matériel de l’appareil photo. La valeur par défaut est DÉSACTIVÉ.

Bloquer la photothèque

Si Activé, empêche une application d’accéder à la photothèque sur l’appareil. La valeur par défaut est Activé.

Bloquer l’enregistrement micro

Si Activé, empêche une application d’utiliser directement le matériel du microphone. La valeur par défaut est Activé.

Bloquer la dictée

Si Activé, empêche une application d’utiliser directement les services de dictée. La valeur par défaut est Activé.

Bloquer les services de localisation

Si Activé, empêche une application d’utiliser les composants des services de localisation (GPS ou réseau). La valeur par défaut est Désactivé pour Secure Mail.

Bloquer la composition de SMS

Si Activé, empêche une application d’utiliser la fonction de composition de SMS pour envoyer des messages SMS/texte depuis l’application. La valeur par défaut est Activé.

Bloquer la composition d’e-mails

Si Activé, empêche une application d’utiliser la fonction de composition d’e-mails pour envoyer des messages électroniques depuis l’application. La valeur par défaut est Activé.

Bloquer iCloud

Si Activé, empêche une application d’utiliser iCloud pour le stockage et le partage des paramètres et des données.

Remarque :

Le fichier de données iCloud est contrôlé par la stratégie Bloquer la sauvegarde de fichiers.

La valeur par défaut est Activé.

Bloquer la recherche

Si Activé, empêche une application d’utiliser la fonction de recherche, qui recherche le texte mis en surbrillance dans le Dictionnaire, iTunes, l’App Store, les horaires de films, les lieux à proximité et plus encore. La valeur par défaut est Activé.

Bloquer la sauvegarde de fichiers

Si Activé, empêche la sauvegarde des fichiers de données par iCloud ou iTunes. La valeur par défaut est Activé.

Bloquer AirPrint

Si Activé, empêche une application d’utiliser les fonctionnalités AirPrint pour imprimer des données sur des imprimantes compatibles AirPrint. La valeur par défaut est Activé.

Bloquer AirDrop

Si Activé, empêche une application d’utiliser AirDrop. La valeur par défaut est Activé.

Bloquer les API Facebook et Twitter

Si Activé, empêche une application d’utiliser les API Facebook et Twitter d’iOS. La valeur par défaut est Activé.

Obscurcir le contenu de l’écran

Si Activé, lorsque les utilisateurs changent d’application, l’écran est obscurci. Cette stratégie empêche iOS d’enregistrer le contenu de l’écran et d’afficher des miniatures. La valeur par défaut est Activé.

Bloquer les claviers tiers (iOS 11 et versions ultérieures uniquement)

Si Activé, empêche une application d’utiliser les extensions de clavier tiers sur iOS 8+. La valeur par défaut est Activé.

Bloquer les journaux d’application

Si Activé, interdit à une application d’utiliser la fonction de journalisation de diagnostic de l’application de productivité mobile. Si Désactivé, les journaux d’application sont enregistrés et peuvent être collectés à l’aide de la fonction de support par e-mail de Secure Hub. La valeur par défaut est Désactivé.

Accès réseau de l’application

Accès réseau

Remarque :

Tunneled - Web SSO est le nom de la fonction Navigation sécurisée dans les paramètres. Le comportement est le même.

Les options de paramètres sont les suivantes :

• Bloqué : Tout accès réseau est bloqué. Les API de mise en réseau utilisées par votre application échouent. Conformément à la directive précédente, vous devez gérer une telle défaillance avec élégance.
• Non restreint : Tous les appels réseau sont directs et ne sont pas tunnellisés.
• Tunnélisé - Web SSO : L’URL HTTP/HTTPS est réécrite. Cette option permet uniquement le tunnellisation du trafic HTTP et HTTPS. Un avantage significatif de Tunnélisé - Web SSO est l’authentification unique (SSO) pour le trafic HTTP et HTTPS, ainsi que l’authentification PKINIT. Sur Android, cette option a une faible surcharge de configuration et est donc l’option préférée pour les opérations de navigation Web.

Si l’option Tunnélisé - Web SSO est sélectionnée, un tunnel VPN par application en mode initial est créé vers le réseau d’entreprise, et les paramètres de tunnel fractionné de Citrix Gateway sont utilisés. Citrix recommande Tunnélisé - Web SSO pour les connexions qui nécessitent une authentification unique (SSO).

Session micro VPN requise

Si Oui, l’utilisateur doit disposer d’une connexion au réseau d’entreprise et d’une session active. Si Non, une session active n’est pas requise. La valeur par défaut est Utiliser le paramètre précédent. Pour les applications nouvellement téléchargées, la valeur par défaut est Non. Quel que soit le paramètre sélectionné avant la mise à niveau vers cette nouvelle stratégie, il reste en vigueur jusqu’à ce qu’une option autre que Utiliser le paramètre précédent soit sélectionnée.

Période de grâce requise pour la session micro VPN (minutes)

Cette valeur détermine le nombre de minutes pendant lesquelles les utilisateurs peuvent utiliser l’application avant que la stratégie Session en ligne requise ne les empêche de l’utiliser davantage (jusqu’à ce que la session en ligne soit validée). La valeur par défaut est 0 (aucune période de grâce). Cette stratégie n’est pas applicable pour l’intégration avec Microsoft Intune/EMS.

Étiquette de certificat

Lorsqu’elle est utilisée avec le service d’intégration de certificats StoreFront™, cette étiquette identifie le certificat spécifique requis pour cette application. Si aucune étiquette n’est fournie, aucun certificat n’est mis à disposition pour une utilisation avec une infrastructure à clé publique (PKI). La valeur par défaut est vide (aucun certificat utilisé).

Liste d’exclusion

Liste de FQDN ou de suffixes DNS séparés par des virgules à accéder directement au lieu d’une connexion VPN. Ceci s’applique uniquement au mode Tunnelisé - Web SSO lorsque Citrix Gateway est configuré avec le mode de tunnel partagé inversé.

Journaux d’application

Sortie de journal par défaut

Détermine les supports de sortie utilisés par défaut par les fonctions de journalisation de diagnostic des applications de productivité mobiles. Les possibilités sont le fichier, la console ou les deux. La valeur par défaut est fichier.

Niveau de journal par défaut

Contrôle la verbosité par défaut de la fonction de journalisation de diagnostic des applications de productivité mobiles. Chaque niveau inclut les niveaux de valeurs inférieures. La plage des niveaux possibles comprend :

• 0 - Rien n’est journalisé
• 1 - Erreurs critiques
• 2 - Erreurs
• 3 - Avertissements
• 4 - Messages d’information
• 5 - Messages d’information détaillés
• 6 à 15 - Niveaux de débogage 1 à 10

La valeur par défaut est le niveau 4 (Messages d’information).

Nombre maximal de fichiers journaux

Limite le nombre de fichiers journaux conservés par la fonction de journalisation de diagnostic des applications de productivité mobiles avant le basculement. Le minimum est 2. Le maximum est 8. La valeur par défaut est 2.

Taille maximale du fichier journal

Limite la taille en mégaoctets (Mo) des fichiers journaux conservés par la fonction de journalisation de diagnostic des applications de productivité mobiles avant le basculement. Le minimum est 1 Mo. Le maximum est 5 Mo. La valeur par défaut est 2 Mo.

Rediriger les journaux système

Si Activé, intercepte et redirige les journaux système ou de console d’une application vers la fonction de diagnostic des applications de productivité mobiles. Si Désactivé, l’utilisation des journaux système ou de console par l’application n’est pas interceptée.

La valeur par défaut est Activé.

Géorepérage d’application

Longitude du point central

Longitude (coordonnée X) du point central du géorepérage point/rayon dans lequel l’application est contrainte de fonctionner. Lorsqu’elle est utilisée en dehors du géorepérage configuré, l’application reste verrouillée.

Doit être exprimée au format degrés signés (DDD.dddd), par exemple “-31.9635”. Les longitudes ouest doivent être précédées d’un signe moins. La valeur par défaut est 0.

Latitude du point central

Latitude (coordonnée Y) du point central du géorepérage point/rayon dans lequel l’application est contrainte de fonctionner. Lorsqu’elle est utilisée en dehors du géorepérage configuré, l’application reste verrouillée.

Doit être exprimée au format degrés signés (DDD.dddd), par exemple “43.06581”. Les latitudes sud doivent être précédées d’un signe moins. La valeur par défaut est 0.

Rayon

Rayon du géorepérage dans lequel l’application est contrainte de fonctionner. Lorsqu’elle est utilisée en dehors du géorepérage configuré, l’application reste verrouillée.

Doit être exprimé en mètres. Lorsqu’il est défini sur zéro, le géorepérage est désactivé. Lorsque la stratégie de blocage de la localisation est activée, le géorepérage ne fonctionne pas correctement. La valeur par défaut est 0 (désactivé).

Analyse

Niveau de détail de Google Analytics

Citrix collecte des données d’analyse pour améliorer la qualité des produits. La sélection de Anonyme permet aux utilisateurs de ne pas inclure d’informations identifiables sur l’entreprise. La valeur par défaut est Complet.

Rapports

Rapports Citrix

Si Activé, Citrix collecte les rapports d’incident et les diagnostics pour aider à résoudre les problèmes. Si Désactivé, Citrix ne collecte pas de données.

Remarque :

Citrix peut également contrôler cette fonctionnalité à l’aide d’un indicateur de fonctionnalité. L’indicateur de fonctionnalité et cette stratégie doivent être activés pour que cette fonctionnalité fonctionne.

La valeur par défaut est Désactivé.

Jeton de téléchargement

Vous pouvez obtenir un jeton de téléchargement à partir de votre compte Citrix Insight Services (CIS). Si vous spécifiez ce jeton facultatif, CIS vous donne accès aux rapports d’incident et aux diagnostics téléchargés depuis vos appareils. Citrix a accès à ces mêmes informations. La valeur par défaut est vide.

Envoyer les rapports uniquement via Wi-Fi

Si Activé, Citrix envoie les rapports d’incident et les diagnostics uniquement lorsque vous êtes connecté à un réseau Wi-Fi. La valeur par défaut est Activé.

Cache maximal des fichiers de rapport

Limite la taille des paquets de rapports d’incident et de diagnostics conservés avant de vider le cache. Le minimum est 1 Mo. Le maximum est 5 Mo. La valeur par défaut est 2 Mo.