Dépanner les problèmes d'intégration CEP

• L'administrateur client a terminé la synchronisation de l'annuaire avec Google Directory.
• Le client a terminé avec succès l'intégration de Chrome Enterprise dans Secure Private Access.
• Les applications et les stratégies d'accès sont configurées dans la console d'administration Secure Private Access pour autoriser l'accès aux applications pertinentes pour l'utilisateur ou un groupe auquel l'utilisateur appartient.
• L'utilisateur se connecte au domaine intégré.
• Le navigateur dispose d'une connectivité Internet.

Journaux de diagnostic pour le dépannage CEP

1. Exporter les stratégies Chrome.
   1. Ouvrez Chrome et accédez à chrome://policy/.
   2. Cliquez sur Plus d'actions, puis sélectionnez Exporter au format JSON.
   3. Joignez le fichier exporté à votre dossier de support.
2. Activez la journalisation détaillée pour l'extension Secure Enterprise Browser.
   1. Cliquez sur l'icône en forme de points de suspension à côté de l'extension Secure Enterprise Browser.
   2. Cliquez sur les options, puis définissez le Niveau de journalisation sur Tous.
   3. Fermez et rouvrez Chrome.
   4. Retournez aux options de l'extension (icône en forme de points de suspension), puis cliquez sur Télécharger le journal.
3. Collectez le journal de l'extension.
   1. Fermez et rouvrez Chrome.
   2. Répétez l'étape 2 pour accéder aux options de l'Extension, puis cliquez sur Télécharger le journal.
   3. Joignez le fichier téléchargé à votre dossier de support.
4. Capturez un journal réseau.
   1. Dans Chrome, accédez à chrome://net-export/ et cliquez sur Démarrer la journalisation sur le disque (le nom de fichier par défaut est chrome-net-export-log.json).
   2. Accédez à quelques applications SaaS et web, puis revenez à chrome://net-export/ et cliquez sur Arrêter la journalisation.
   3. Joignez le fichier résultant à votre dossier de support.

Confirmer que l'utilisateur est connecté au bon profil Chrome

• Le profil est correct et authentifié : Passez à Vérifier l'installation de l'extension Secure Enterprise Browser.
• Le profil est incorrect ou non authentifié : Connectez-vous ou réauthentifiez-vous avec le profil correct. Assurez-vous que le suffixe de domaine de l'e-mail de l'utilisateur correspond au domaine du compte Google Admin sur lequel Secure Private Access est installé.

Vérifier l'installation de l'extension Secure Enterprise Browser

• Extension présente : Passez à Vérifier la politique de l'extension Secure Enterprise Browser.
• Extension absente : Passez à Vérifier la politique ExtensionInstallForcelist.

Vérifier la politique ExtensionInstallForcelist

• Avertissement de conflit et extension dans la stratégie conflictuelle : Passez à Résoudre les problèmes de stratégies de liste d'installation d'extensions conflictuelles.
• Stratégie manquante : L'absence complète de la stratégie suggère que l'utilisateur n'est pas configuré pour utiliser Secure Enterprise Browser et vous devez Vérifier la configuration de l'extension utilisateur dans la console d'administration Google.
• Extension manquante dans la stratégie : Passez à Vérifier la configuration de l'extension utilisateur dans la console d'administration Google.

Résoudre les problèmes de stratégies de liste d'installation d'extensions conflictuelles

• Navigateur d'entreprise sécurisé (ekajlcmdfcigmdbphhifahdfjbkciflj)
• Citrix Secure Access (loifegnemklkgbmonigcdkmniboielgl)
• Vérification des points de terminaison (callobklhcbilhphinckomhgkigmfocg)

1. Identifier le conflit : Accédez à chrome://policy. Recherchez ExtensionInstallForcelist et vérifiez le Statut et la Source.
2. Analyser la précédence : Notez que les stratégies au niveau de la machine (GPO) remplacent généralement les stratégies au niveau du cloud/utilisateur.
3. Harmoniser : Assurez-vous que la stratégie de plus haute précédence inclut les trois ID d'extension requis (il est acceptable que des extensions supplémentaires soient incluses). Alternativement, si le navigateur et le profil sont gérés par la même organisation Google Workspace, vous pouvez utiliser la fonctionnalité de fusion de stratégies.
4. Vérifier : Cliquez sur Recharger les stratégies. Les colonnes S'applique à et Niveau doivent confirmer que les extensions requises sont Obligatoires et actives au niveau effectif.

Vérifier la stratégie d'extension du navigateur d'entreprise sécurisé

• Stratégie manquante ou vide : L'absence complète de la stratégie suggère que l'extension du navigateur d'entreprise sécurisé est configurée non seulement par Secure Private Access, mais aussi par le client, et que l'utilisateur récupère la configuration vide de l'extension à partir d'une configuration précédente ou manuelle. Vous devez Vérifier la configuration de l'extension utilisateur dans la console d'administration Google.
• La stratégie est renseignée avec un ID de locataire Citrix incorrect : Si la stratégie est présente mais que la valeur ne correspond pas à l'exemple, soit l'ID de locataire est différent, soit il existe deux stratégies conflictuelles. Passez à Vérifier la configuration de l'extension utilisateur dans la console d'administration Google.
• La stratégie semble correcte : Passez à Vérifier si les routes sont récupérées.

Vérifier la configuration de l'extension utilisateur dans la Google Admin Console

• Stratégie unique qui semble correcte : Si la stratégie pour l'unité organisationnelle parente semble correcte, vous devez vous assurer que l'utilisateur avec lequel vous effectuez le test appartient au compte en question et qu'il n'y a pas d'autre configuration au niveau d'une sous-unité organisationnelle ou d'un groupe qui pourrait annuler la stratégie de l'unité organisationnelle parente. Si l'appartenance est confirmée mais que le problème persiste, contactez le support Citrix.
• Stratégie manquante : L'absence complète de la stratégie suggère que ce compte Google n'est pas configuré pour utiliser Secure Enterprise Browser et vous devez Valider l'intégration CEP dans la console d'administration Secure Private Access.
• Plusieurs stratégies - Plusieurs comptes Citrix : Si vous voyez plusieurs configurations pour l'extension Secure Enterprise Browser, cela pourrait être une cause de configuration incorrecte de la stratégie associée. L'association de plusieurs comptes Citrix au même compte Google n'est pas interdite, mais cela pourrait empêcher l'intégration de fonctionner.
• Plusieurs stratégies - Compte Citrix unique : Si vous intégrez un seul locataire Citrix, vous devez vous assurer qu'aucune autre fonction d'administration de votre organisation ne configure cette extension. Si vous êtes certain que personne d'autre ne fournit de configuration de stratégie pour cette extension, vous pouvez procéder à la suppression des configurations de stratégie qui ne correspondent pas au locataire Citrix avec lequel vous avez effectué l'intégration via la console d'administration Secure Private Access.
  Si vous supprimez les configurations d'extension superflues et qu'après avoir redémarré le navigateur, vous ne parvenez toujours pas à accéder à vos applications, contactez le support Citrix.

Vérifier si les routes sont récupérées

• Les routes contextuelles affichent un code d'état 403 dans les journaux : Ce 403 peut être renvoyé par un pare-feu d'interception tel que Zscaler, Umbrella, etc.
  • Dans ce cas, assurez-vous que le trafic destiné à Google Security Gateway est autorisé conformément aux Prérequis pour la solution intégrée.
  • Si ce n'est pas le cas, il s'agit probablement d'un problème d'authentification avec le profil utilisateur et cela pourrait impliquer une intégration incomplète de Secure Private Access avec CEP. Passez à Valider l'intégration de CEP dans la console d'administration Secure Private Access.
• Les routes contextuelles affichent un délai d'expiration, une erreur DNS ou une erreur 503 : Passez à Dépanner l'accessibilité de Google Secure Gateway.
• Les routes contextuelles semblent réussies (200 OK) : Passez à Confirmer l'inclusion de l'application dans les routes.

Valider l'intégration de CEP dans la console d'administration Secure Private Access

• Le statut d'intégration de Google Chrome doit indiquer Terminé. Si vous constatez qu'il a échoué, assurez-vous d'avoir effectué les étapes préalables à l'intégration de CEP conformément à la documentation et réessayez. Si le problème persiste, contactez le support Citrix.
• L'ID client doit avoir une valeur qui correspond au compte Google avec lequel vous effectuez l'intégration. Vous pouvez trouver cette valeur dans votre console d'administration Google sous Compte > Paramètres du compte.

Dépanner l'accessibilité de Google Secure Gateway

• Erreur de résolution DNS : Cela suggère que votre entreprise pourrait avoir une configuration de résolution DNS restrictive qui empêche la recherche du FQDN de la passerelle de sécurité Google. Cependant, il s'agit d'une condition préalable à l'utilisation de cette fonctionnalité et le FQDN respectif doit être résoluble.
• La requête se bloque ou une page d'erreur de délai d'attente s'affiche : Cela suggère fortement qu'un pare-feu entre le navigateur et Internet bloque le trafic destiné à la passerelle de sécurité de Google. Suivez les Prérequis pour la solution intégrée pour vous assurer que les emplacements Internet prérequis sont accessibles depuis votre réseau.

Confirmer l'inclusion de l'application dans les routes

• L'application inaccessible est incluse dans la réponse des routes : Passez à Dépanner l'accès aux applications routées.
• Seul telemetry.netscalergateway.net est inclus dans la réponse des routes : Essayez de configurer une application supplémentaire et une politique d'application inclusive. Si vous ne la voyez toujours pas dans les routes, cela suggère fortement un problème d'appartenance au groupe ou un désalignement des groupes entre votre IdP configuré dans Citrix et Google Directory. Passez à Assurer l'alignement de l'IdP et de Google Directory.
• L'application inaccessible n'est pas incluse dans la réponse des routes : Cela suggère que l'application n'est pas correctement configurée dans la console d'administration Secure Private Access. Vérifiez que l'application existe et qu'une politique lui est associée (pour autoriser ou refuser l'accès). Si vous êtes certain que l'application est configurée mais qu'elle est toujours absente des routes précédentes, contactez le support Citrix.

Dépanner l'accès aux applications routées

• Vous obtenez une erreur de résolution de domaine (ERR_NAME_NOT_FOUND)
  Cela suggère très probablement que l'application n'est pas correctement configurée ou que les routes contextuelles ne sont pas reçues correctement.
• Une page jaune crème affichant « Accès refusé »
  Cela suggère que la configuration de la politique dans la console Secure Private Access n'est pas configurée pour inclure l'utilisateur actuel.
• Une page jaune crème affichant « Oups ! Quelque chose s'est mal passé. »
  La cause la plus fréquente de cette page d'erreur est l'incapacité du connecteur à atteindre l'application cible. Dans ce cas, dépannez l'accès du connecteur aux applications internes conformément à la documentation Citrix. Les problèmes courants incluent :
  • Accessibilité DNS interne
  • Le service backend est en panne
  • Règles de pare-feu
• Une page blanche affichant « Service indisponible » en grande police rouge
  Il peut s'agir d'une erreur transitoire qui pourrait se résoudre après quelques minutes.
  Si le problème persiste, contactez le support Citrix.
• Délai d'expiration
  • Tout d'abord, vérifiez que via.prod.securegateway.goog est accessible en le saisissant dans la barre d'adresse de Chrome. Vous devez recevoir une réponse 401. Si un délai d'expiration se produit, un pare-feu ou un proxy intermédiaire bloque l'accès et doit être résolu avant que les applications ne puissent être consultées.
  • Une autre cause potentielle de délai d'expiration d'application est un pare-feu bloquant le trafic vers Internet et, en particulier, vers la passerelle de sécurité Google. Ceci est courant dans les scénarios où un client nécessite un proxy explicite pour accéder à Internet. L'intégration de Secure Private Access avec Chrome Enterprise Premium ne prend pas en charge cette configuration de proxy.
• Erreur de certificat
  L'application peut utiliser un certificat d'autorité de certification privé et, à ce titre, le navigateur peut générer une « erreur de certificat non fiable ». Grâce à la configuration de Chrome Enterprise Premium, le client peut pousser son autorité de certification racine de confiance vers le navigateur. Pour plus de détails, consultez Utiliser Chrome Enterprise Premium pour gérer les configurations de certificats racines.

Assurer l'alignement de l'IdP et de Google Directory

Vérifier les paramètres d'accès du groupe dans Google Admin Console