製品ドキュメント
Citrix DaaS
PDFを表示

ユーザーのネットワークの場所に基づくアダプティブアクセス - プレビュー

April 28, 2023
寄稿者: 
C

Citrix Workspaceプラットフォームのアダプティブアクセス機能は、高度なポリシーインフラストラクチャを使用して、ユーザーのネットワークの場所に基づくCitrix DaaS（旧称Citrix Virtual Apps and Desktopsサービス）へのアクセスを可能にします。場所は、IPアドレス範囲またはサブネットアドレスで定義されます。

管理者は、ユーザーのネットワークの場所に基づいて、仮想アプリおよび仮想デスクトップを列挙するかどうかのポリシーを定義できます。また、管理者は、ユーザーのネットワークの場所に基づいて、クリップボードアクセス、プリンター、クライアントドライブマッピングなどを有効または無効にすることで、Citrix DaaSで実行できるユーザー操作を制御できます。たとえば、管理者は、アプリケーションにアクセスするための以下のポリシーを実装できます：

  • 企業の場所またはブランチオフィスからのみ、機密性の高いアプリケーションをいくつか列挙する。
  • 従業員が外部ネットワークからワークスペースにアクセスしている場合は、機密性の高いアプリケーションを列挙しない。
  • ブランチオフィスからのプリンターアクセスを無効にする。
  • ユーザーが企業ネットワークの外部にいる場合は、クリップボードアクセスとプリンターアクセスを無効にする。

前提条件

  • Citrix Workspaceプラットフォーム経由でアクセスするCitrix DaaS展開。

  • （https://podio.com/webforms/25412100/1884833）を使用してアダプティブアクセスのプレビューに新規登録します。

    注： これが必要になるのはプレビュー中のみです。

推奨事項

Citrix DaaS展開で：

  • テストのデリバリーグループを特定するか、デリバリーグループを作成して、この機能を実装します。
  • ポリシーを作成するか、テストのデリバリーグループで使用できるポリシーを特定します。

注意事項

  • ［ユーザー管理をCitrix Cloudに任せる］ オプションを選択した場合、スマートアクセスポリシー（たとえば、ネットワークの場所に基づくCitrix DaaSへのアダプティブアクセス）を適用することはできません。これは、デリバリーグループがライブラリオファリングになり、Web Studioで処理されなくなるためです。
  • ネットワークの場所に基づいてCitrix DaaSを選択的に列挙する場合は、Citrix WorkspaceではなくCitrix Studioポリシーを使用して、これらのデリバリーグループに対してユーザー管理を実行する必要があります。デリバリーグループを作成するときは、［ユーザー設定］ で、［次のユーザーに対するこのデリバリーグループの使用を制限します］ または ［任意の認証ユーザーによるこのデリバリーグループの使用を許可します］ を選択します。これにより、アダプティブアクセスを構成するための［デリバリーグループ］下の ［アクセスポリシー］ タブが有効になります。

注： これは、アダプティブアクセスを使用して、ネットワークの場所に基づいてクリップボードアクセス、プリンターリダイレクト、クライアントドライブマッピングを無効にするようにユーザーコントロールを制限する場合は、必要ありません。

デリバリー グループを作成

構成方法

大まかに言うと、次の手順を実行する必要があります。

  1. ユーザーの場所に基づいて、実装するアダプティブアクセスポリシーを定義します。
  2. アダプティブアクセスの実装を計画している企業およびブランチオフィスのネットワークの場所を構成します。
  3. 定義されたネットワークの場所を使用して、Citrix Studioで仮想アプリおよび仮想デスクトップのアダプティブアクセスポリシーを構成します。

実装するアダプティブポリシーの定義

次の例を見てみましょう：

場所 アクセスまたはユーザーコントロール
内部 すべてのアプリケーションを列挙します
ブランチオフィス すべてのアプリケーションを列挙します
外部 機密性の高いアプリケーションをいくつか列挙したり、すべてのアプリケーションへのクリップボードプリンターアクセスを無効にしたりしないでください

ネットワークの場所の構成

Citrix Cloudのネットワークの場所サービスを使用して（https://citrix.cloud.com/networksites）、ネットワークの場所を構成できます。 サイトを作成し、ネットワーク接続によって、サイトを内部サイトとして扱うか外部サイトとして扱うかを定義できます。その後、サイトにタグを付けることができます。サイトが作成されたら、各クライアントIPアドレスを一連のタグに関連付ける必要があります。

ネットワークの場所の構成

注：

  • 場所タグは、ネットワークの場所ベースの、コンテキストに基づくアクセスを実装するために使用されます。場所タグは、顧客またはテナントにCitrix Adaptive Authenticationの使用権がある場合にのみ構成できます。その他の場所タグは非表示のままです。
  • 外部ネットワークを定義するのではなく、ユーザーがより特権的にアクセスできるネットワークの場所を定義することをお勧めします。ネットワークの場所を使用して、内部ネットワークやブランチオフィスなどを定義し、これらの場所からの優先アクセス権限を付与します。
  • ネットワークの場所またはサイトごとにタグを定義します。例：「BranchOffice」（ブランチオフィス）。これらのタグは、Citrix Studioでアダプティブアクセスポリシーを構成するために使用されます。定義されているデフォルトのタグは、LOCATION_externalとLOCATION_internalです。 注： Citrix Studioでは、タグ名の前に「LOCATION_TAG_」というプレフィックスを付ける必要があります。たとえば、「BranchOffice」というタグを使用してネットワークの場所を定義した場合、Citrix Studioポリシーでフィルターオプションを構成するときには、「LOCATION_TAG_BranchOffice」という名前にします。

Citrix Studioでのアダプティブアクセスポリシーの構成

注： これはすべてを網羅した構成ではありません。タグ名を使用してStudioポリシーを構成する方法のサンプルです。

前の手順で定義したネットワークの場所のタグは、Citrix Studioでアダプティブアクセスポリシーを構成するために使用されます。この手順は、オンプレミスゲートウェイを使用してSmartAccessポリシーを構成する手順に似ています。Citrix Gatewayを「FARM」の下のワークスペースに置き換え、セッションポリシーを「Filter」の下のネットワークの場所のタグに置き換える必要があります。

この手順では、Citrix Studioポリシー（既存または新規）を選択し、それをデリバリーグループ（既存または新規）に関連付けます。デリバリーグループを作成するには、「デリバリーグループの作成」を参照してください。ポリシーを作成するには、「ポリシーの作成」を参照してください。

仮想アプリおよび仮想デスクトップ列挙のアダプティブアクセスポリシーの構成

前述の例を使用して、企業ネットワーク（今回はBranchOffice）からのみ機密性の高いアプリケーションを列挙するポリシーを作成してみましょう。アダプティブアクセスポリシーをテストするためのデリバリーグループにLOCATION_TAG_BranchOfficeタグを割り当てるには、次の手順を実行します。

  1. Citrix Cloudにサインインします。
  2. ［マイサービス］>［DaaS］ を選択します。
  3. ［管理］ をクリックします。
  4. 要件に応じてデリバリーグループを作成します。詳しくは、「デリバリーグループの作成」を参照してください。
  5. 作成したデリバリーグループを選択し、［デリバリーグループの編集］ をクリックします。
  6. ［アクセスポリシー］ をクリックします。

  7. ［追加］ をクリックして、以下を選択します：

    • ［ファーム］で［ワークスペース］
    • ［フィルター］で「LOCATION_TAG_BranchOffice」

    デリバリーグループの編集

    注： 同じファームに複数のフィルターを追加できます。［ファーム］ は常にワークスペースに設定する必要があり、ネットワークの場所の構成に基づいて作成された適応アクセスタグのいずれかがフィルターに含まれている必要があります。

  8. Citrix Workspaceプラットフォーム内でアダプティブアクセスを使用しているお客様は、次の手順を実行して、デリバリーグループのアクセスを内部ネットワークのみに制限してください。

    • ［NetScaler Gatewayを経由する接続］ チェックボックスをオンにしてから、［次のフィルターのいずれかに一致する接続］ チェックボックスをオンにします。
    • 内部の場所に適切なタグを入力します。

    注： ［NetScaler Gatewayを経由しないすべての接続］ をオンにすると、内部ネットワークから来ているか外部ネットワークから来ているかに関係なく、アプリを表示できます。Citrix Workspaceプラットフォームでアダプティブアクセスを使用しているお客様の場合、デリバリーグループのアクセスを内部ネットワークのみに制限するためには、［NetScaler Gatewayを経由しないすべての接続］ オプションを使用しないことをお勧めします。

アダプティブアクセスポリシーを構成して仮想アプリおよび仮想デスクトップにアクセスする場合の、エンドユーザーの制御を定義する

前述の例を使用して、ブランチオフィスのみ、コピー/貼り付け機能を無効にするポリシーを作成してみましょう。

「 LOCATION_TAG_BranchOffice」という場所からアクセスしてきたユーザーのコピー/貼り付け機能を無効にするには、以下を実行します：

  1. Citrix DaaSの構成ページで、［管理］ タブをクリックします。
  2. ［ポリシー］ タブをクリックします。
  3. ［ポリシーの作成］ を選択します。
  4. ［設定項目の選択］で、［クライアントクリップボードリダイレクト］ を選択します。

  5. ［設定の編集］で、［禁止］ を選択し、［OK］ をクリックします。

    設定の編集

  6. ［ユーザーおよびマシン］ページで、［ユーザーおよびマシンオブジェクトの選択］ をクリックしてから、このポリシーをアクセス制御に割り当てます。

  7. ポリシーの名前を入力します（または、デフォルトの名前を使用します）。経理部やリモートユーザーなど、ポリシーの適用対象に基づいて名前を付けると便利です。また、必要に応じて説明を入力します。

ポリシーはデフォルトで有効になっています。無効にすることもできます。ポリシーを作成して有効にすると、新たにログオンするユーザーに直ちに適用されます。既存のセッションには適用されません。無効にしたポリシーは適用されません。作成済みのポリシーに優先度を設定したり、設定項目を追加したりする必要がある場合は、そのポリシーを一時的に無効にすることを検討してください。

アダプティブアクセスポリシーを外部の場所（LOCATION_external）に割り当てるには

外部の場所にアクセスポリシーを適用する場合、たとえば、構成されていない場所（LOCATION_TAG_BranchOfficeとLOCATION_internal以外の場所）からのユーザーのクリップボードアクセスを無効にする場合、ポリシーをLOCATION_external（定義されたネットワークの場所はいずれもヒットしないため、LOCATION_externalが返されます）に割り当てる必要があります。

ポリシーの割り当て

ポリシー構成を検証する方法

アダプティブポリシーを広く実装する前に検証し、ポリシーが意図したとおりに機能していることを確認します。構成例では：

  • ネットワークの場所「LOCATION_Internal」からアクセスしてきたユーザーの場合、そのユーザーのアプリは列挙される必要があります。また、そのユーザーのコピー/貼り付け機能は使用可能である必要があります。
  • ネットワークの場所「LOCATION_TAG_BranchOffice」からアクセスしてきたユーザーの場合、そのユーザーのアプリは列挙される必要があります。そのユーザーのコピー/貼り付け機能は無効になっている必要があります。
  • ネットワークの場所「LOCATION_external」からアクセスしてきたユーザーの場合、アプリが列挙される必要はありません。
ユーザーのネットワークの場所に基づくアダプティブアクセス - プレビュー
April 28, 2023
寄稿者: 
C
April 28, 2023
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.