セキュリティ
アプリ保護
アプリ保護機能は、Citrix Virtual Apps and DesktopsおよびCitrix DaaS（旧Citrix Virtual Apps and Desktopsサービス）を使用する際に強化されたセキュリティを提供するアドオン機能です。この機能は、クライアントがキーロギングや画面キャプチャマルウェアによって侵害される能力を制限します。アプリ保護は、ユーザー資格情報や画面上の機密情報などの機密情報の漏洩を防ぎます。詳細については、アプリ保護ドキュメントを参照してください。
免責事項
アプリ保護ポリシーは、基盤となるオペレーティングシステムの必須機能（画面キャプチャやキーボード入力に必要な特定のAPI呼び出し）へのアクセスをフィルタリングします。アプリ保護ポリシーは、カスタムおよび専用のハッカーツールに対しても保護を提供します。しかし、オペレーティングシステムが進化するにつれて、画面キャプチャやキーロギングの新しい方法が出現する可能性があります。私たちはそれらを特定し対処し続けていますが、特定の構成や展開における完全な保護を保証することはできません。
Mac版Citrix Workspaceアプリでアプリ保護を構成するには、構成記事の「Mac版Citrix Workspaceアプリ」セクションを参照してください。
注：
- アプリ保護は、Mac版Citrix Workspaceアプリ2001以降でのみサポートされています。
アプリ保護の強化
バージョン2301以降、アプリ保護はCitrix Workspaceアプリを保護するために強化されました。この強化には、認証画面とWorkspaceアプリにサインインした後に表示される画面の保護が含まれます。
アプリ保護が有効な場合の画面共有のサポート
バージョン2402以降、アプリ保護が有効な場合でも、HDX最適化を使用してMicrosoft Teams経由でコンテンツを共有できます。この機能により、仮想デスクトップセッションで画面を最大限に共有できます。詳細については、Microsoft Teams向けHDX最適化との互換性を参照してください。
フェデレーションIDプロバイダーのログインプロンプトを強制する
Citrix Workspaceアプリは、フェデレーションIDプロバイダーセッションの設定を尊重するようになりました。詳細については、Citrix Knowledge Centerの記事CTX253779を参照してください。
ログインプロンプトを強制するために、ストア認証トークンポリシーを使用する必要はなくなりました。
Citrix Workspaceアプリの非アクティビティタイムアウト
非アクティビティタイムアウト機能は、管理者が設定した値に基づいてCitrix Workspaceアプリからログアウトさせます。管理者は、ユーザーがCitrix Workspaceアプリから自動的にサインアウトされるまでのアイドル時間を指定できます。Citrix Workspaceアプリのウィンドウ内で、指定された時間間隔でマウス、キーボード、またはタッチからのアクティビティがない場合、自動的にサインアウトされます。非アクティビティタイムアウトは、すでに実行中のCitrix Virtual Apps and DesktopsおよびCitrix DaaSセッション、またはCitrix StoreFrontストアには影響しません。
非アクティビティタイムアウト値は、1分から1440分まで設定できます。デフォルトでは、非アクティビティタイムアウトは構成されていません。管理者は、PowerShellモジュールを使用してinactivityTimeoutInMinutesプロパティを構成できます。Citrix Workspace構成用のPowerShellモジュールをダウンロードするには、こちらをクリックしてください。
エンドユーザーエクスペリエンスは次のとおりです。
- サインアウトの3分前に、サインインを維持するか、サインアウトするかのオプションを含む通知が表示されます。この通知は、Macのシステム環境設定でCitrix Workspaceアプリの通知を有効にしている場合に表示されます。
- 通知は、構成された非アクティビティタイムアウト値が5分より大きい場合にのみ表示されます。たとえば、構成された値が6分の場合、3分間の非アクティビティが検出されると通知が表示されます。構成された非アクティビティタイムアウト値が5分以下の場合、ユーザーは通知なしでサインアウトされます。
- ユーザーはサインインを維持をクリックして通知を閉じ、アプリの使用を続行できます。この場合、非アクティビティタイマーは構成された値にリセットされます。また、サインアウトをクリックして、現在のストアのセッションを終了することもできます。
ディスクからのICA®ファイルの起動を防止する
バージョン2505以降、管理者は新しいGACS/MDMポリシーを使用して、ダウンロードされたICAファイルからのセッション起動を制御できます。この機能は、不正アクセスを防止し、ファイルベースのセッション開始に関連するセキュリティリスクを軽減するのに役立ちます。
MDMを介した認証を有効にするには、次の設定を使用します。
<key>BlockDirectICAFileLaunches</key>
<true/>
<!--NeedCopy-->
GACSを介してこの機能を有効にするには、管理者は次の手順に従う必要があります。
- 「直接ICAファイル起動をブロック」ページで、セキュリティと認証 > セキュリティ設定 > 構成に移動します。
- Macを選択し、有効に設定して、優先設定を適用します。
このポリシーは、セキュリティを向上させ、不正な使用を防止することを目的としています。
- ダウンロードしたICAファイルを使用したセッションの起動を制限します。
- リソースへの不正または意図しないアクセスを防止します。
機能について
-
ポリシーが有効な場合：
- ユーザーはダウンロードしたICAファイルを使用してセッションを起動できません。
-
システムは次のエラーメッセージを表示します：
「構成されたセキュリティポリシーにより、ダウンロードしたICAファイルを使用してこのリソースを起動する権限がありません。」
-
ポリシーが無効または未構成の場合：
- ユーザーはダウンロードしたICAファイルを使用してセッションを起動できます。
MDMキー BlockDirectICAFileLaunches に基づく動作：
- MDMキー
BlockDirectICAFileLaunchesが存在する場合：-
BlockDirectICAFileLaunches = trueの場合、ICAファイルの起動はブロックされ、ブロックを示すエラーポップアップが表示されます。 -
BlockDirectICAFileLaunches = falseの場合、ICAファイルの起動は許可され、セッションは通常どおり進行します。
-