Intégration de XenMobile®
Cet article aborde les éléments à prendre en compte lors de la planification de l’intégration de XenMobile à votre réseau et à vos solutions existants. Par exemple, si vous utilisez déjà Citrix ADC pour Virtual Apps and Desktops :
- Utilisez-vous l’instance Citrix ADC existante ou une nouvelle instance dédiée ?
- Souhaitez-vous intégrer à XenMobile les applications HDX publiées à l’aide de StoreFront™ ?
- Envisagez-vous d’utiliser Citrix Files avec XenMobile ?
- Disposez-vous d’une solution de contrôle d’accès réseau que vous souhaitez intégrer à XenMobile ?
- Déployez-vous des proxys web pour tout le trafic sortant de votre réseau ?
Citrix ADC et Citrix Gateway
Citrix Gateway est obligatoire pour les modes XenMobile ENT et MAM. Citrix Gateway fournit un chemin micro-VPN pour l’accès à toutes les ressources d’entreprise et prend en charge une authentification multifacteur robuste. L’équilibrage de charge Citrix ADC est requis pour tous les modes d’appareil XenMobile Server :
- Si vous disposez de plusieurs serveurs XenMobile
- Ou, si le serveur XenMobile se trouve dans votre DMZ ou votre réseau interne (et que le trafic circule donc des appareils vers Citrix ADC, puis vers XenMobile)
Vous pouvez utiliser des instances Citrix ADC existantes ou en configurer de nouvelles pour XenMobile. Les sections suivantes décrivent les avantages et les inconvénients de l’utilisation d’instances Citrix ADC existantes ou nouvelles et dédiées.
Citrix ADC MPX partagé avec un VIP Citrix Gateway créé pour XenMobile
Avantages :
- Utilise une instance Citrix ADC commune pour toutes les connexions à distance Citrix : Citrix Virtual Apps and Desktops™, VPN complet et VPN sans client.
- Utilise les configurations Citrix ADC existantes, par exemple pour l’authentification par certificat et pour l’accès à des services tels que DNS, LDAP et NTP.
- Utilise une seule licence de plateforme Citrix ADC.
Inconvénients :
- Il est plus difficile de planifier la mise à l’échelle lorsque vous gérez deux cas d’utilisation différents sur le même Citrix ADC.
- Parfois, vous avez besoin d’une version spécifique de Citrix ADC pour un cas d’utilisation de Citrix Virtual Apps™ and Desktops. Cette même version peut présenter des problèmes connus pour XenMobile. Ou XenMobile peut présenter des problèmes connus pour la version de Citrix ADC.
- Si un Citrix Gateway existe, vous ne pouvez pas exécuter l’assistant Citrix ADC pour XenMobile une deuxième fois pour créer la configuration Citrix ADC pour XenMobile.
- Sauf lorsque des licences Platinum sont utilisées pour Citrix Gateway 11.1 ou version ultérieure : les licences d’accès utilisateur installées sur Citrix ADC et requises pour la connectivité VPN sont mises en commun. Étant donné que ces licences sont disponibles pour tous les serveurs virtuels Citrix ADC, des services autres que XenMobile peuvent potentiellement les consommer.
Instance Citrix ADC VPX/MPX dédiée
Avantages :
Citrix recommande d’utiliser une instance dédiée de Citrix ADC.
- Plus facile de planifier la mise à l’échelle et sépare le trafic XenMobile d’une instance Citrix ADC qui pourrait déjà être limitée en ressources.
- Évite les problèmes lorsque XenMobile et Citrix Virtual Apps and Desktops nécessitent des versions logicielles Citrix ADC différentes. La recommandation générale est d’utiliser la dernière version et build Citrix ADC compatible pour XenMobile.
- Permet la configuration de Citrix ADC pour XenMobile via l’assistant Citrix ADC pour XenMobile intégré.
- Séparation virtuelle et physique des services.
- Sauf lorsque des licences Platinum sont utilisées pour Citrix Gateway 11.1 ou version ultérieure : les licences d’accès utilisateur requises pour XenMobile sont uniquement disponibles pour les services XenMobile sur le Citrix ADC.
Inconvénients :
- Nécessite la configuration de services supplémentaires sur Citrix ADC pour prendre en charge la configuration de XenMobile.
- Nécessite une autre licence de plateforme Citrix ADC. Licencez chaque instance Citrix ADC pour Citrix Gateway.
Pour plus d’informations sur les éléments à prendre en compte lors de l’intégration de Citrix ADC et Citrix Gateway à chaque mode XenMobile Server, consultez Intégration avec Citrix ADC et Citrix Gateway.
StoreFront
Si vous disposez d’un environnement Citrix Virtual Apps and Desktops, vous pouvez intégrer des applications HDX™ à XenMobile à l’aide de StoreFront. Lorsque vous intégrez des applications HDX à XenMobile :
- Les applications sont disponibles pour les utilisateurs inscrits à XenMobile.
- Les applications s’affichent dans le Store XenMobile avec d’autres applications mobiles.
- XenMobile utilise le site PNAgent (services) hérité sur StoreFront.
- Lorsque Citrix Receiver™ est installé sur un appareil, les applications HDX démarrent à l’aide de Receiver.
StoreFront a une limitation d’un site de service par instance StoreFront. Supposons que vous ayez plusieurs magasins et que vous souhaitiez le segmenter des autres utilisations de production. Dans ce cas, Citrix recommande généralement d’envisager une nouvelle instance StoreFront et un nouveau site de services pour XenMobile.
Les considérations incluent :
- Existe-t-il des exigences d’authentification différentes pour StoreFront ? Le site de services StoreFront nécessite des informations d’identification Active Directory pour la connexion. Les clients utilisant uniquement l’authentification par certificat ne peuvent pas énumérer les applications via XenMobile en utilisant le même Citrix Gateway.
- Utiliser le même magasin ou en créer un nouveau ?
- Utiliser le même serveur StoreFront ou un serveur différent ?
Les sections suivantes décrivent les avantages et les inconvénients de l’utilisation de StoreFronts séparés ou combinés pour Receiver et les applications de productivité mobile.
Intégrer votre instance StoreFront existante à un serveur XenMobile
Avantages :
- Même magasin : aucune configuration supplémentaire de StoreFront n’est requise pour XenMobile, en supposant que vous utilisez le même VIP Citrix ADC pour l’accès HDX. Supposons que vous choisissiez d’utiliser le même magasin et que vous souhaitiez diriger l’accès Receiver vers un nouveau VIP Citrix ADC. Dans ce cas, ajoutez la configuration Citrix Gateway appropriée à StoreFront.
- Même serveur StoreFront : utilise l’installation et la configuration StoreFront existantes.
Inconvénients :
- Même magasin : toute reconfiguration de StoreFront pour prendre en charge les charges de travail Virtual Apps and Desktops pourrait également affecter XenMobile.
- Même serveur StoreFront : dans les grands environnements, tenez compte de la charge supplémentaire due à l’utilisation de PNAgent par XenMobile pour l’énumération et le démarrage des applications.
Utiliser une nouvelle instance StoreFront dédiée pour l’intégration avec XenMobile Server
Avantages :
- Nouveau magasin : toute modification de configuration du magasin StoreFront pour XenMobile ne doit pas affecter les charges de travail Virtual Apps and Desktops existantes.
- Nouveau serveur StoreFront : les modifications de configuration du serveur ne doivent pas affecter le flux de travail Virtual Apps and Desktops. De plus, la charge en dehors de l’utilisation de PNAgent par XenMobile pour l’énumération et le lancement des applications ne doit pas affecter l’évolutivité.
Inconvénients :
- Nouveau magasin : configuration du magasin StoreFront.
- Nouveau serveur StoreFront : nécessite une nouvelle installation et configuration de StoreFront.
Pour plus d’informations, consultez Virtual Apps and Desktops via Citrix Secure Hub dans la documentation XenMobile.
ShareFile et Citrix Files
Avertissement :
Cette fonctionnalité sera dépréciée si ShareFile (désormais Progress) interrompt son support.
Citrix Files permet aux utilisateurs d’accéder et de synchroniser toutes leurs données depuis n’importe quel appareil. Avec Citrix Files, les utilisateurs peuvent partager des données en toute sécurité avec des personnes à l’intérieur et à l’extérieur de l’organisation. Si vous intégrez ShareFile à XenMobile Advanced Edition ou Enterprise Edition, XenMobile peut fournir à Citrix Files :
- Authentification par authentification unique pour les utilisateurs de l’application XenMobile.
- Provisionnement de comptes utilisateur basé sur Active Directory.
- Politiques de contrôle d’accès complètes.
Les utilisateurs mobiles peuvent bénéficier de l’ensemble complet des fonctionnalités du compte Enterprise.
Alternativement, vous pouvez configurer XenMobile pour qu’il s’intègre uniquement aux connecteurs de zone de stockage. Grâce aux connecteurs de zone de stockage, Citrix Files donne accès à :
- Documents et dossiers
- Partages de fichiers réseau
- Dans les sites SharePoint : collections de sites et bibliothèques de documents.
Les partages de fichiers connectés peuvent inclure les mêmes lecteurs personnels réseau utilisés dans les environnements Citrix Virtual Apps and Desktops. Vous utilisez la console XenMobile pour configurer l’intégration avec Citrix Files ou les connecteurs de zones de stockage. Pour plus d’informations, consultez Utilisation de Citrix Files avec XenMobile.
Les sections suivantes présentent les questions à poser lors de la prise de décisions de conception pour Citrix Files.
Intégrer avec Citrix Files ou uniquement les connecteurs de zone de stockage
Questions à poser :
- Souhaitez-vous stocker des données dans des zones de stockage gérées par Citrix ?
- Souhaitez-vous offrir aux utilisateurs des capacités de partage et de synchronisation de fichiers ?
- Souhaitez-vous permettre aux utilisateurs d’accéder aux fichiers sur le site web Citrix Files ? Ou d’accéder au contenu Office 365 et aux connecteurs Personal Cloud depuis des appareils mobiles ?
Décision de conception :
- Si la réponse à l’une de ces questions est « oui », intégrez-vous à Citrix Files.
- Une intégration avec uniquement des connecteurs de zone de stockage offre aux utilisateurs iOS un accès mobile sécurisé aux référentiels de stockage sur site existants, tels que les sites SharePoint et les partages de fichiers réseau. Dans cette configuration, vous ne configurez pas de sous-domaine ShareFile, ne provisionnez pas d’utilisateurs pour Citrix Files et n’hébergez pas de données Citrix Files. L’utilisation de connecteurs de zones de stockage avec XenMobile est conforme aux restrictions de sécurité contre la fuite d’informations utilisateur en dehors du réseau d’entreprise.
Emplacement du serveur de contrôleur de zones de stockage
Questions à poser :
- Avez-vous besoin d’un stockage sur site ou de fonctionnalités telles que les connecteurs de zone de stockage ?
- Si vous utilisez les fonctionnalités sur site de Citrix Files, où les contrôleurs de zones de stockage seront-ils situés dans le réseau ?
Décision de conception :
- Déterminez si les serveurs de contrôleur de zones de stockage doivent être situés dans le cloud Citrix Files, dans votre système de stockage sur site à locataire unique, ou dans un stockage cloud tiers pris en charge.
- Les contrôleurs de zones de stockage nécessitent un certain accès à Internet pour communiquer avec le plan de contrôle Citrix Files. Vous pouvez vous connecter de plusieurs manières, notamment par accès direct, configurations NAT/PAT ou configurations de proxy.
Connecteurs de zone de stockage
Questions à poser :
- Quels sont les chemins de partage CIFS ?
- Quelles sont les URL SharePoint ?
Décision de conception :
- Déterminez si des contrôleurs de zones de stockage sur site sont nécessaires pour accéder à ces emplacements.
- En raison de la communication du connecteur de zone de stockage avec des ressources internes telles que les référentiels de fichiers, les partages CIFS et SharePoint : Citrix recommande que les contrôleurs de zones de stockage résident dans le réseau interne, derrière les pare-feu de la DMZ et devant le Citrix ADC.
Intégration SAML avec XenMobile Enterprise
Questions à poser :
- L’authentification Active Directory est-elle requise pour Citrix Files ?
- La première utilisation de l’application Citrix Files pour XenMobile nécessite-t-elle le SSO ?
- Existe-t-il un IdP standard dans votre environnement actuel ?
- Combien de domaines sont nécessaires pour utiliser SAML ?
- Existe-t-il plusieurs alias de messagerie pour les utilisateurs Active Directory ?
- Des migrations de domaine Active Directory sont-elles en cours ou prévues prochainement ?
Décision de conception :
Les environnements XenMobile Enterprise peuvent choisir d’utiliser SAML comme mécanisme d’authentification pour Citrix Files. Les options d’authentification sont les suivantes :
- Utiliser le serveur XenMobile comme fournisseur d’identité (IdP) pour SAML
Cette option peut offrir une excellente expérience utilisateur, automatiser la création de comptes Citrix Files et activer les fonctionnalités SSO des applications mobiles.
- Le serveur XenMobile est amélioré pour ce processus : il ne nécessite pas la synchronisation d’Active Directory.
- Utilisez l’outil de gestion des utilisateurs Citrix Files pour le provisionnement des utilisateurs.
- Utiliser un fournisseur tiers pris en charge comme IdP pour SAML
Si vous disposez d’un IdP existant et pris en charge et que vous n’avez pas besoin des fonctionnalités SSO des applications mobiles, cette option pourrait être la meilleure pour vous. Cette option nécessite également l’utilisation de l’outil de gestion des utilisateurs Citrix Files pour le provisionnement des comptes.
L’utilisation de solutions IdP tierces telles qu’ADFS peut également fournir des capacités SSO côté client Windows. Assurez-vous d’évaluer les cas d’utilisation avant de choisir votre IdP SAML Citrix Files.
De plus, pour satisfaire les deux cas d’utilisation, vous pouvez configurer ADFS et XenMobile en tant qu’IdP double.
Applications mobiles
Questions à poser :
- Quelle application mobile Citrix Files prévoyez-vous d’utiliser (publique, MDM, MDX) ?
Décision de conception :
- Vous distribuez des applications de productivité mobile depuis l’Apple App Store et le Google Play Store. Avec cette distribution publique via les magasins d’applications, vous obtenez des applications encapsulées à partir de la page de téléchargement de Citrix.
- Si la sécurité est faible et que vous n’avez pas besoin de conteneurisation, l’application publique Citrix Files pourrait ne pas être adaptée. Dans un environnement MDM uniquement, vous pouvez livrer la version MDM de l’application Citrix Files à l’aide de XenMobile en mode MDM.
- Pour plus d’informations, consultez Applications et Citrix Files pour XenMobile.
Sécurité, stratégies et contrôle d’accès
Questions à poser :
- Quelles restrictions exigez-vous pour les utilisateurs de bureau, web et mobiles ?
- Quels paramètres de contrôle d’accès standard souhaitez-vous pour les utilisateurs ?
- Quelle politique de rétention des fichiers prévoyez-vous d’utiliser ?
Décision de conception :
- Citrix Files vous permet de gérer les autorisations des employés et la sécurité des appareils. Pour plus d’informations, consultez Autorisations des employés et Gestion des appareils et des applications.
- Certains paramètres de sécurité des appareils Citrix Files et stratégies MDX contrôlent les mêmes fonctionnalités. Dans ces cas, les stratégies XenMobile ont la priorité, suivies des paramètres de sécurité des appareils Citrix Files. Exemples : Si vous désactivez les applications externes dans Citrix Files, mais les activez dans XenMobile, les applications externes sont désactivées dans Citrix Files. Vous pouvez configurer les applications de manière à ce que XenMobile ne nécessite pas de code PIN/mot de passe, mais que l’application Citrix Files en exige un.
Zones de stockage standard ou restreintes
Questions à poser :
- Avez-vous besoin de zones de stockage restreintes ?
Décision de conception :
- Une zone de stockage standard est destinée aux données non sensibles et permet aux employés de partager des données avec des non-employés. Cette option prend en charge les flux de travail impliquant le partage de données en dehors de votre domaine.
- Une zone de stockage restreinte protège les données sensibles : seuls les utilisateurs de domaine authentifiés peuvent accéder aux données stockées dans la zone.
Proxys web
Le scénario le plus probable pour acheminer le trafic XenMobile via un proxy HTTP(S)/SOCKS est le suivant : lorsque le sous-réseau sur lequel réside le serveur XenMobile n’a pas d’accès Internet sortant vers les adresses IP Apple, Google ou Microsoft requises. Vous pouvez spécifier les paramètres du serveur proxy dans XenMobile pour acheminer tout le trafic Internet vers le serveur proxy. Pour plus d’informations, consultez Activer les serveurs proxy.
Le tableau suivant décrit les avantages et les inconvénients du proxy le plus couramment utilisé avec XenMobile.
| Option | Avantages | Inconvénients |
| Utiliser un proxy HTTP(S)/SOCKS avec un serveur XenMobile. | Dans les cas où les stratégies n’autorisent pas les connexions Internet sortantes depuis le sous-réseau du serveur XenMobile : vous pouvez configurer un proxy HTTP(S) ou SOCKS pour fournir une connectivité Internet. | Si le serveur proxy tombe en panne, la connectivité APNs (iOS) ou Firebase Cloud Messaging (Android) est interrompue. Par conséquent, les notifications d’appareil échouent pour tous les appareils iOS et Android. |
| Utiliser un proxy HTTP(S) avec Secure Web. | Vous pouvez surveiller le trafic HTTP/HTTPS pour vous assurer que l’activité Internet est conforme aux normes de votre organisation. | Cette configuration exige que tout le trafic Internet de Secure Web soit acheminé vers le réseau d’entreprise avant d’être renvoyé vers Internet. Si votre connexion Internet limite la navigation : cette configuration pourrait affecter les performances de navigation Internet. |
La configuration de votre profil de session Citrix ADC pour le tunneling fractionné affecte le trafic comme suit.
Lorsque le tunneling fractionné de Citrix ADC est désactivé :
- Si la stratégie Accès réseau MDX est définie sur Tunnelisé vers le réseau interne : tout le trafic est forcé d’utiliser le micro VPN ou le VPN sans client (cVPN) pour revenir au Citrix Gateway.
- Configurez les stratégies/profils de trafic Citrix ADC pour le serveur proxy et liez-les au VIP du Citrix Gateway.
Important :
Assurez-vous d’exclure le trafic cVPN de Secure Hub du proxy.
- Pour plus d’informations, consultez Trafic Secure Hub XenMobile via le serveur proxy en mode de navigation sécurisée.
Lorsque le tunneling fractionné de Citrix ADC est activé :
- Lorsque les applications sont configurées avec la stratégie Accès réseau MDX définie sur Tunnelisé vers le réseau interne : les applications tentent d’abord d’obtenir la ressource web directement. Si la ressource web n’est pas publiquement disponible, ces applications reviennent ensuite au Citrix Gateway.
- Configurez les stratégies et profils de trafic Citrix ADC pour le serveur proxy. Ensuite, liez ces stratégies et profils au VIP du Citrix Gateway.
Important :
Assurez-vous d’exclure le trafic cVPN de Secure Hub du proxy.
La configuration de votre profil de session Citrix ADC pour le DNS fractionné (sous Expérience client) fonctionne de manière similaire au tunneling fractionné.
Avec le DNS fractionné activé et défini sur Les deux :
- Le client tente d’abord de résoudre le FQDN localement, puis revient au Citrix ADC pour la résolution DNS en cas d’échec.
Avec le DNS fractionné défini sur Distant :
- La résolution DNS se produit uniquement sur le Citrix ADC.
Avec le DNS fractionné défini sur Local :
- Le client tente de résoudre le FQDN localement. Le Citrix ADC n’est pas utilisé pour la résolution DNS.
Contrôle d’accès
Les entreprises peuvent gérer les appareils mobiles à l’intérieur et à l’extérieur des réseaux. Les solutions de gestion de la mobilité d’entreprise telles que XenMobile sont excellentes pour assurer la sécurité et le contrôle des appareils mobiles, indépendamment de leur emplacement. Cependant, lorsque vous les combinez avec une solution de contrôle d’accès réseau (NAC), vous pouvez ajouter de la QoS et un contrôle plus granulaire aux appareils qui sont internes à votre réseau. Cette combinaison vous permet d’étendre l’évaluation de la sécurité des appareils XenMobile via votre solution NAC. Votre solution NAC peut alors utiliser l’évaluation de la sécurité XenMobile pour faciliter et gérer les décisions d’authentification.
Vous pouvez utiliser l’une de ces solutions pour appliquer les stratégies NAC :
- Citrix Gateway
- Cisco Identity Services Engine (ISE)
- ForeScout
Citrix ne garantit pas l’intégration pour les autres solutions NAC.
Les avantages de l’intégration d’une solution NAC avec XenMobile incluent les suivants :
- Meilleure sécurité, conformité et contrôle pour tous les points d’extrémité sur un réseau d’entreprise.
- Une solution NAC peut :
- Détecter les appareils au moment où ils tentent de se connecter à votre réseau.
- Interroger XenMobile pour les attributs des appareils.
- Utiliser ces informations d’appareil pour déterminer s’il faut autoriser, bloquer, limiter ou rediriger ces appareils. Ces décisions dépendent des politiques de sécurité que vous choisissez d’appliquer.
- Une solution NAC offre aux administrateurs informatiques une vue des appareils non gérés et non conformes.
Pour une description des filtres de conformité NAC pris en charge par XenMobile et un aperçu de la configuration, consultez Contrôle d’accès réseau.