Intégration et configuration de Secure Private Access

Dernière publication : Oct 24, 2026
La console d'administration Secure Private Access™ permet aux administrateurs d'intégrer et de gérer des applications SaaS, web et TCP/UDP, et de définir des stratégies d'accès granulaires qui régissent la manière dont les utilisateurs interagissent avec ces applications.
Citrix Secure Private Access est intégré à Google Chrome Enterprise Premium, ce qui permet aux clients d'accéder en toute sécurité aux applications web privées et SaaS en utilisant Google Chrome Enterprise Premium comme navigateur d'entreprise.
Les étapes principales pour intégrer et configurer Secure Private Access sont les suivantes :
  1. Intégrer des utilisateurs à Secure Private Access
  2. Configurer l'URL du Store dans Citrix® StoreFront Cloud
  3. Configurer l'intégration de Google Chrome.
  4. Configurer l'appliance Connector
  5. Ajouter des applications pour vos utilisateurs.
  6. Attribuer des autorisations d'accès aux applications en créant les stratégies d'accès requises.
Important :
Vous pouvez définir Google Chrome comme navigateur d'entreprise. Pour plus de détails, consultez les rubriques suivantes.

Intégrer des utilisateurs à Secure Private Access

Effectuez les étapes suivantes pour intégrer vos utilisateurs à Secure Private Access.
  1. Connectez-vous à Citrix Cloud™ puis cliquez sur Secure Private Access.
  2. Sélectionnez Configuration pour le cloud puis cliquez sur Continuer.
Vue d'ensemble du workflow guidé par l'administrateur
Le diagramme de topologie présente les composants utilisés dans les déploiements cloud de Secure Private Access. Vous pouvez cliquer sur l'icône d'aide pour afficher une brève description de chaque composant du flux.
Diagramme de topologie
  • Pour les nouveaux clients, la sélection du service Secure Private Access dans la console Citrix Cloud ouvre la page de configuration, leur permettant de configurer Connector Appliance et CEP.
    • Pour configurer Connector Appliance, cliquez sur Ajouter dans le volet Configuration de Connector Appliance. Pour plus de détails, consultez Configurer Connector Appliance.
    • Pour configurer Google Chrome Enterprise Premium (CEP), cliquez sur Configurer dans le volet Google Chrome Enterprise Premium et suivez les instructions à l'écran. Pour plus de détails, consultez Configurer l'intégration de Google Chrome.
    Une fois la configuration terminée, lors des visites ultérieures, les administrateurs sont redirigés vers le tableau de bord Secure Private Access lorsqu'ils cliquent sur Secure Private Access dans la console Citrix Cloud.
  • Pour les clients existants, le système vérifie :
    • Disponibilité de Connector Appliance
    • État de Chrome Enterprise Premium
    Vérification de Connector Appliance : Le système vérifie si un ou plusieurs Connector Appliances sont configurés et combien sont disponibles. Cette vérification aide les administrateurs à comprendre que la configuration d'un Connector Appliance est obligatoire pour que les utilisateurs puissent se connecter avec succès aux applications d'entreprise internes (Web, TCP/UDP). Le Connector Appliance permet la connectivité des utilisateurs finaux via le client natif Citrix Secure Access, prenant en charge n'importe quel navigateur choisi par le client.
    Vérification de la configuration de Chrome Enterprise Premium : La vérification de la configuration de Chrome Enterprise Premium aide les administrateurs à déterminer si l'intégration entre Citrix Secure Private Access et Chrome Enterprise Premium est activée. Cette intégration permet aux utilisateurs finaux d'accéder en toute sécurité aux applications web d'entreprise via le navigateur Chrome, sans nécessiter le client natif Citrix Secure Access.
Remarque :
La configuration de Google Chrome Enterprise Premium est facultative et peut être ignorée.

Configurer l'URL du magasin dans Citrix StoreFront Cloud

Vous pouvez intégrer le service Secure Private Access à Citrix® StoreFront Cloud. Vous fournissez à vos utilisateurs une URL de magasin qu'ils peuvent ouvrir dans un navigateur web ou l'application Citrix Workspace™. Le magasin offre une expérience utilisateur unifiée pour les applications SaaS, les applications web, les applications virtuelles et les autres ressources configurées.
Par défaut, un magasin est créé avec l'URL customerid.cloud.com. Vous pouvez modifier cette URL ou ajouter votre propre URL personnalisée, par exemple store.company.com. Pour configurer les magasins, consultez Configurer l'accès aux magasins.

Configuration de l'intégration de Google Chrome

Sur la page d'intégration de Google Chrome, effectuez les étapes suivantes :
  1. Copiez l'e-mail du compte de service autogénéré et collez-le dans le champ approprié de la console d'administration Google.
    1. Dans la console d'administration Google, accédez à Rôles d'administrateur.
    2. Sélectionnez le rôle créé pour le service Secure Private Access et appliquez les privilèges recommandés. Pour la liste des privilèges, consultez Rôles et privilèges d'administrateur.
    3. Sous Administrateurs, sélectionnez Attribuer des comptes de service.
    4. Collez le compte de service Citrix (tenant-sa-<random-string>.iam.gserviceaccount.com) et sélectionnez Ajouter. Sélectionnez ensuite Attribuer un rôle.
      Pour plus de détails sur les rôles, consultez À propos des rôles d'administrateur.
    5. Dans la console d'administration Google, accédez à Annuaire > Utilisateurs.
    6. Cliquez sur Ajouter un nouvel utilisateur et créez un nouvel utilisateur (Prénom : Citrix Service, Nom : Account, E-mail principal : caccount). Conservez l'e-mail de l'utilisateur nouvellement créé.
    7. Une fois le nouvel utilisateur créé, sélectionnez-le et accédez à Détails de l'utilisateur. Dans Rôles et privilèges d'administrateur, sélectionnez et attribuez le même rôle à cet utilisateur.
    8. Accédez à Sécurité > Contrôle d'accès et de données > Contrôles d'API et cliquez sur Gérer la délégation à l'échelle du domaine.
    9. Dans Clients API, cliquez sur Ajouter nouveau et renseignez l'ID client et les étendues OAuth avec les informations respectives fournies sur la page d'intégration de Google Chrome.
    10. Copiez l'ID client Google disponible dans les Paramètres du compte Google de la console d'administration Google dans le champ ID client Google de la page Intégration de Google Chrome.
    11. Renseignez le champ d'e-mail de l'utilisateur sur la page d'intégration de Google Chrome avec l'e-mail de l'utilisateur précédemment créé.
  2. Cliquez sur Exécuter la vérification CEP pour vérifier votre configuration Google Workspace afin de vous assurer qu'elle est prête pour l'intégration de Chrome Enterprise Premium avant de passer à l'étape suivante.
    • Si la vérification renvoie un échec ou un avertissement, consultez Échecs et avertissements de vérification connus pour obtenir des conseils de dépannage.
    • Une fois la vérification CEP réussie, le service Secure Private Access se connecte avec succès à l'ID client Google et une passerelle sécurisée est créée.
    • Après la création réussie de la passerelle sécurisée, le système affiche les adresses IP de sortie qui lui sont attribuées. Les administrateurs peuvent sélectionner les régions de sortie que Chrome Enterprise Premium utilise pour le trafic des applications SaaS. Pour plus de détails, consultez Configurer les régions du hub de sortie.
    • Lorsqu'un utilisateur tente d'accéder à une application SaaS, la requête ne va pas directement au fournisseur SaaS. Au lieu de cela, le trafic est d'abord acheminé via la passerelle sécurisée, qui fonctionne comme un connecteur partenaire. Cette passerelle agit comme un intermédiaire, inspectant et sécurisant tout le trafic avant qu'il n'atteigne l'application de destination.
    Configuration de l'intégration
  3. Cliquez sur Enregistrer.
Important :
  • Pour plus de détails sur l'intégration de Secure Private Access avec Google Chrome Enterprise Premium, consultez (/fr-fr/citrix-secure-private-access/service/secure-private-access-integration-with-cep.html).

Ajouter les adresses IP des applications SaaS

Après avoir intégré les clients à Secure Private Access et Chrome Enterprise Premium, vous devez autoriser la liste des adresses IP utilisées par vos applications SaaS. Cette étape est essentielle pour garantir que :
  • Les utilisateurs peuvent accéder aux applications SaaS sans problèmes de connectivité ou blocages causés par les contrôles de sécurité réseau.
  • Le trafic de Citrix Secure Private Access et Chrome Enterprise Premium est reconnu comme légitime et n'est pas filtré ou refusé par inadvertance.
Remarque :
Pour une application acheminée via l'appliance de connecteur utilisant le type de routage « Interne via Connecteur », les clients doivent utiliser la liste d'autorisation IP de Citrix.

Configuration des stratégies de limite d'accès principal

Les stratégies de limite d'accès principal peuvent empêcher les utilisateurs finaux d'accéder à la passerelle sécurisée Google gérée par Citrix.
Si votre organisation GCP dispose d'une stratégie de limite d'accès principal qui bloque l'accès aux ressources inter-locataires par défaut, créez une stratégie de limite d'accès principal qui autorise l'accès à la passerelle sécurisée Google. Vous pouvez récupérer l'identifiant de la passerelle sécurisée à partir de la page Paramètres du navigateur > Navigateur. Pour plus de détails sur la configuration d'une stratégie appropriée, consultez la documentation sur les stratégies de limite d'accès principal de Google Cloud IAM.

Mettre à jour les détails de l'intégration Google après l'intégration

Une fois les clients intégrés avec succès à Chrome Enterprise Premium, Secure Private Access permet la gestion post-intégration de leurs détails d'intégration. Cela inclut la possibilité de mettre à jour des identifiants critiques tels que l'ID client et de modifier les groupes d'utilisateurs associés.
Effectuez les étapes suivantes pour mettre à jour les détails de l'intégration après l'intégration :
  1. Dans la console d'administration Secure Private Access, accédez à Paramètres du navigateur > Navigateur.
    La page Navigateur affiche les détails des intégrations Google Chrome.
    Le système affiche également les adresses IP de sortie associées à la passerelle sécurisée. Chaque fois qu'un utilisateur tente d'accéder à une application Software as a Service (SaaS) dans le cadre de cette intégration, le trafic est acheminé via la passerelle sécurisée Google, qui agit comme un connecteur partenaire, au lieu de se connecter directement à l'application SaaS. Cette passerelle inspecte et sécurise le trafic, en appliquant des politiques de sécurité et des contrôles d'accès, et en garantissant la conformité avec la posture de sécurité de l'organisation.
    Détails de l'intégration SPA-CEP
  2. Cliquez sur l'icône de modification et mettez à jour l'ID client ou les groupes d'utilisateurs, ou les deux.
  3. Cliquez sur Exécuter la vérification CEP pour vérifier que votre configuration Google Workspace est prête pour l'intégration de Chrome Enterprise Premium.
    S'il y a des problèmes avec les détails de l'intégration, la vérification CEP affiche un message d'échec ou d'avertissement avec des détails pour vous aider à les résoudre. Pour obtenir de l'aide, consultez Échecs et avertissements de vérification connus.
Erreurs de détails de l'intégration SPA-CEP

Configurer CEP pour les unités d'organisation de Google Directory

En plus de tous les utilisateurs et des groupes d'utilisateurs de Google Directory, vous pouvez appliquer une configuration Chrome Enterprise Premium (CEP) à des unités d'organisation Google Directory sélectionnées. Les groupes d'utilisateurs et les unités d'organisation ne sont pas mutuellement exclusifs, de sorte qu'une seule configuration peut cibler les deux. Vous pouvez également enregistrer une configuration qui utilise uniquement des unités d'organisation, sans aucun groupe d'utilisateurs sélectionné. Cette option est disponible pour les déploiements cloud et hybrides de Secure Private Access.
Une unité d'organisation sélectionnée est héritée : la configuration s'applique aux utilisateurs de cette unité d'organisation et à toutes ses unités d'organisation enfants, y compris celles qui sont créées ultérieurement.
Les unités d'organisation sont sélectionnées dans le même panneau que les groupes d'utilisateurs de Google Directory. Effectuez les étapes suivantes :
  1. Sur la carte de configuration de Chrome Enterprise Premium, cliquez sur Modifier.
    Modifier les détails CEP
    Alternativement, dans la console d'administration Secure Private Access, accédez à Paramètres du navigateur > Navigateur et cliquez sur l'icône de modification.
    La carte répertorie les unités d'organisation actuellement sélectionnées.
  2. Cliquez sur Unités d'organisation pour afficher votre hiérarchie Google Directory sous forme d'arborescence de cases à cocher.
    Unités organisationnelles Google
    Remarque :
    • L'unité organisationnelle racine n'est pas affichée dans l'arborescence. Pour activer l'intégration CEP pour tout le monde, sélectionnez Tous les utilisateurs.
    • La hiérarchie est lue à partir de votre répertoire Google à l'aide du compte de service Citrix. Si le compte de service ne dispose pas du privilège de lecture des unités organisationnelles, la hiérarchie ne peut pas être chargée et une erreur s'affiche à la place de l'arborescence. Pour plus de détails, consultez Rôles et privilèges d'administrateur Google.
  3. Sélectionnez les unités organisationnelles à inclure.
    La sélection d'une unité organisationnelle sélectionne également ses unités organisationnelles enfants. Les unités enfants apparaissent sélectionnées et sont grisées. Elles ne peuvent pas être désélectionnées individuellement. Pour n'inclure qu'un sous-ensemble, désélectionnez le parent et sélectionnez les unités organisationnelles enfants spécifiques que vous souhaitez.
  4. Cliquez sur Exécuter la vérification CEP, puis sur Enregistrer. Si vous modifiez la sélection après une vérification réussie, exécutez à nouveau la vérification avant d'enregistrer. Pour les échecs et les avertissements signalés par la vérification, consultez Échecs et avertissements de vérification connus.
    Lorsque vous rouvrez le panneau, l'arborescence se développe pour afficher votre sélection enregistrée. Les unités organisationnelles qui ont été supprimées dans Google Directory sont retirées du panneau.

Échecs et avertissements de vérification connus

Lors de la vérification de la configuration CEP, Secure Private Access signale tout échec ou avertissement identifié pour la configuration sélectionnée avant de permettre la finalisation de la configuration.
Vous devez résoudre tous les échecs identifiés avant de poursuivre la configuration. Utilisez le tableau suivant pour identifier et corriger les échecs spécifiques détectés lors de la vérification :
Message d'échec Action
ID client Google non valide ou le compte de service ne dispose pas des autorisations nécessaires pour accéder à Google Workspace. Vérifiez que l'ID client Google est correct.
\^ Assurez-vous que les privilèges requis sont attribués au compte de service. Pour plus de détails, consultez Rôles et privilèges d'administrateur.
Le compte de service ne dispose pas des autorisations nécessaires pour accéder aux stratégies d'extension Chrome. Assurez-vous que les privilèges requis sont attribués au compte de service. Pour plus de détails, consultez Rôles et privilèges d'administrateur.
\^Le compte de service ne dispose pas des autorisations nécessaires pour accéder aux stratégies d'extension Chrome pour le groupe d'utilisateurs. \^
\^Le compte de service ne dispose pas des autorisations nécessaires pour accéder à la stratégie de certificats clients Chrome. \^
ID de groupe d'utilisateurs nul ou vide trouvé dans Google Workspace. Il peut s'agir d'un problème temporaire. S'il persiste, il peut y avoir un problème avec le groupe Google.
\^ Si le problème persiste pour plusieurs groupes Google, contactez le support Citrix.
Groupe d'utilisateurs invalide ou inexistant Vérifiez les fautes d'orthographe dans le nom du groupe Google.
\^ Vérifiez dans la console d'administration Google que le groupe existe toujours.
Le compte de service ne dispose pas des autorisations nécessaires pour appliquer les stratégies d'extension Chrome à l'unité organisationnelle. Assurez-vous que les privilèges requis sont attribués au compte de service. Pour plus de détails, consultez Rôles et privilèges d'administrateur.
Tous les avertissements identifiés doivent être notés et examinés, mais ils n'empêchent pas la finalisation de la configuration. La liste suivante décrit les avertissements courants et la manière de les résoudre :
Message d'avertissement Action
L'ID client Google est déjà utilisé Votre organisation dispose de plusieurs locataires Citrix Secure Private Access utilisant le même ID client Google pour l'intégration de Chrome Enterprise Premium. Configurez cela avec soin, car les groupes Google qui se chevauchent (y compris la sélection de « Tous les utilisateurs » pour un ou plusieurs locataires) peuvent remplacer ou partiellement remplacer les paramètres Chrome Enterprise Premium existants dans vos autres locataires Citrix.
Groupes d'utilisateurs Google Directory qui se chevauchent détectés Examinez l'intégration de Chrome Enterprise Premium sur vos autres locataires Citrix pour les groupes Google donnés.
\^ Décidez quel locataire Citrix doit avoir la configuration Chrome Enterprise Premium pour chacun des groupes Google pertinents.
\^ Supprimez la configuration respective des autres locataires Citrix.
\^ Réappliquez la configuration du groupe Google pour le locataire Citrix sélectionné si elle a été supprimée lors du nettoyage.
L'option 'Tous les utilisateurs' peut interférer avec d'autres clients liés à cet ID client Google. La configuration de Chrome Enterprise Premium pour 'Tous les utilisateurs' (l'unité organisationnelle racine de Google) peut remplacer d'autres configurations de Secure Private Access qui utilisent le même ID client Google.
\^ Utilisez ce paramètre uniquement si les autres locataires Citrix ne sont pas activement utilisés par les utilisateurs.
L'option 'Tous les utilisateurs' est utilisée par au moins un client lié à cet ID client Google. Si un autre locataire Citrix a configuré Chrome Enterprise Premium pour 'Tous les utilisateurs' (l'unité organisationnelle racine de Google), cela peut remplacer les intégrations de groupes Google prévues pour ce locataire Citrix.
\^ Confirmez si l'autre locataire Citrix nécessite l'intégration 'Tous les utilisateurs'. Si ce n'est pas le cas, modifiez ce locataire pour un groupe Google spécifique.
Unités organisationnelles du répertoire Google qui se chevauchent détectées Un autre client lié à cet ID client Google utilise déjà l'unité organisationnelle, ou une unité organisationnelle dans son chemin.
\^ Le chevauchement s'applique à l'unité organisationnelle et à toutes ses unités organisationnelles enfants. Vérifiez l'intégration de Chrome Enterprise Premium sur vos autres locataires Citrix pour les unités organisationnelles listées.
Le compte de service ne dispose pas de l'autorisation Services > Chrome Management > Settings > Managed Browsers > Read Confirmez que le privilège respectif a été attribué. Si oui, vérifiez que vous avez un abonnement à Chrome Enterprise Core ou Chrome Enterprise Premium dans votre console d'administration Google (sous Facturation > Abonnements).

Problème d'échec de provisionnement avec plusieurs groupes d'utilisateurs

Lors de la configuration de l'intégration de Chrome Enterprise dans Secure Private Access (pendant l'intégration ou à partir de la page Paramètres du navigateur), la spécification de plus de huit groupes d'utilisateurs peut entraîner des échecs de provisionnement. Pour contourner ce problème, procédez comme suit :
  • Utilisez un groupe parent de répertoire dédié qui englobe tous les groupes requis.
  • Configurez ce groupe parent lors de l'intégration.
  • Si l'appartenance au groupe change dans le répertoire, répétez le processus de synchronisation avec le répertoire de Google.

Étapes suivantes

Après avoir configuré Connector Appliance et Chrome Enterprise Premium, vous pouvez configurer les applications et les stratégies pour vos utilisateurs.