シトリックス エンドポイント マネジメント について
Citrix Endpoint Management は、すべてのアプリとエンドポイントを統合された単一のビューにまとめ、セキュリティを強化し、生産性を向上させる Unified Endpoint Management (UEM) ソリューションです。UEM の概要については、Citrix Tech Zone の技術概要「Citrix Endpoint Management」を参照してください。
Citrix Endpoint Management は、モバイルデバイス管理 (MDM) とモバイルアプリケーション管理 (MAM) を提供します。
Citrix Endpoint Management の MDM 機能を使用すると、次のことができます。
-
デバイスポリシーとアプリを展開する。
-
資産インベントリを取得する。
-
デバイスのワイプなど、デバイスに対するアクションを実行する。
Citrix Endpoint Management の MAM 機能を使用すると、次のことができます。
-
BYO モバイルデバイス上のアプリとデータを保護する。
-
エンタープライズモバイルアプリを配信する。
-
アプリをロックし、そのデータをワイプする。
MDM と MAM の機能を組み合わせることで、次のことができます。
-
MDM を使用して企業支給デバイスを管理する
-
デバイスポリシーとアプリを展開する
-
資産インベントリを取得する
-
デバイスをワイプする
-
エンタープライズモバイルアプリを配信する
-
アプリをロックし、デバイス上のデータをワイプする
次の表は、MDM、MAM、またはMDM+MAMでサポートされるCitrix Endpoint Managementの機能の概要を示しています。
| 機能 (プラットフォーム別) | MDM (1) | MAM (2) | MDM+MAM |
|---|---|---|---|
| アンドロイド エンタープライズ: | |||
| デバイス登録のサポート | はい | はい | はい |
| ドメイン認証のサポート | はい | なし | あり |
| ドメインとセキュリティトークン認証のサポート | なし | なし | あり |
| クライアント証明書認証のサポート | なし | あり | あり |
| クライアント証明書とドメイン認証のサポート | なし | なし | あり |
| クライアント証明書とセキュリティトークンのサポート | いいえ | いいえ | はい |
| Azure AD IDプロバイダーのサポート | はい | いいえ | はい |
| Okta IDプロバイダーのサポート | はい | いいえ | はい |
| ネイティブSaaSアプリへのシングルサインオン | はい | いいえ | はい |
| Citrix Content Delivery Networkのエンタープライズアプリ向けサポート | はい | はい | はい |
| Citrix Content Delivery NetworkのMDXアプリ向けサポート | はい | はい | はい |
| 専用のAndroid Enterprise (COSU) デバイスをプロビジョニングすることによる共有デバイスのサポート | はい | いいえ | はい |
| Android (レガシー): | |||
| デバイス登録のサポート | はい | はい | はい |
| ドメインまたはドメインとセキュリティトークン認証のサポート | いいえ | いいえ | はい |
| クライアント証明書認証のサポート | いいえ | はい | はい |
| クライアント証明書とドメイン認証のサポート | いいえ | いいえ | はい |
| クライアント証明書とセキュリティトークンのサポート | いいえ | いいえ | はい |
| Azure ADおよびCitrix IDプロバイダーのサポート | はい | いいえ | はい |
| Okta IDプロバイダーのサポート | はい | いいえ | はい |
| ネイティブSaaSアプリへのシングルサインオン | はい | いいえ | はい |
| エンタープライズアプリ向けCitrix Content Delivery Networkサポート | はい | はい | はい |
| MDXアプリ向けCitrix Content Delivery Networkサポート | はい | はい | はい |
| クローム: | |||
| デバイス登録サポート | はい | いいえ | はい |
| ユーザー名とパスワード認証のサポート | はい | 不可 | 可能 |
| iOS: | |||
| デバイス登録のサポート | 可能 | 可能 | 可能 |
| ドメインまたはドメインとセキュリティトークン認証のサポート | 不可 | 不可 | 可能 |
| クライアント証明書認証のサポート | 不可 | 可能 | 可能 |
| クライアント証明書とドメイン認証のサポート | いいえ | いいえ | はい |
| Azure ADとCitrix IDプロバイダーのサポート | はい | いいえ | はい |
| Okta IDプロバイダーのサポート | はい | いいえ | はい |
| ネイティブSaaSアプリへのシングルサインオン | はい | いいえ | はい |
| エンタープライズアプリ向けCitrix Content Delivery Networkサポート | はい | はい | はい |
| MDXアプリ向けCitrix Content Delivery Networkサポート | はい | はい | はい |
| Apple Educationとの統合 | はい | いいえ | はい |
| macOS: | |||
| デバイス登録のサポート | はい | いいえ | いいえ |
| ドメインまたはドメインとワンタイムパスワードのサポート | はい | いいえ | いいえ |
| 招待URLとワンタイムパスワードのサポート | はい | いいえ | いいえ |
| ウィンドウズ: | |||
| デバイス登録のサポート | はい | いいえ | いいえ |
| Citrix Workspaceアプリを介したWindows 10およびWindows 11デバイスの自動登録 | はい | いいえ | いいえ |
| ドメインまたはドメインとセキュリティトークン認証のサポート | はい | いいえ | いいえ |
| クライアント証明書認証のサポート | はい | いいえ | いいえ |
| クライアント証明書とドメイン認証のサポート | はい | いいえ | いいえ |
| Azure ADまたはCitrix IDプロバイダーを介したフェデレーション認証 | はい | いいえ | いいえ |
| エンタープライズアプリ向けCitrix Content Delivery Networkサポート | はい | いいえ | いいえ |
| ワークスペース環境管理™ 統合 (3) | はい | いいえ | いいえ |
注記:
(1) 展開順序は、MDM 用に構成された登録プロファイルを持つデリバリーグループ内のデバイスにのみ適用されます。
(2) MAM の登録には NetScaler Gateway が必要です。
(3) Workspace Environment Management (WEM) の統合により、幅広い Windows オペレーティングシステムで MDM 機能にアクセスできます。
詳細については、「管理モード」を参照してください。
アーキテクチャ
組織のデバイスおよびアプリ管理要件によって、Citrix Endpoint Management アーキテクチャ内の Citrix Endpoint Management コンポーネントが決まります。Citrix Endpoint Management のコンポーネントはモジュール式であり、相互に連携します。たとえば、展開には NetScaler Gateway が含まれます。
-
NetScaler Gateway は、ユーザーにモバイルアプリへのリモートアクセスを提供し、ユーザーデバイスの種類を追跡します。
-
Citrix Endpoint Management は、それらのアプリとデバイスを管理する場所です。
次の図は、Citrix Endpoint Management クラウド展開の一般的なアーキテクチャの概要と、データセンターとの統合を示しています。
以下のサブセクションには、次のリファレンスアーキテクチャ図があります。
-
シトリックス エンドポイント マネジメント
-
外部証明機関、Exchange ActiveSync 用 Citrix Endpoint Management コネクタ、Citrix Endpoint Management MDM+MAM および Intune MAM トラフィックフローなどのオプションコンポーネント。
Citrix ADC および NetScaler Gateway の要件の詳細については、
<https://docs.citrix.com/> の Citrix 製品ドキュメントを参照してください。
コアリファレンスアーキテクチャ
ポート要件の詳細については、「システム要件」を参照してください。
Citrix Virtual Apps and Desktops™ を使用したリファレンスアーキテクチャ
Exchange ActiveSync 用 Citrix Endpoint Management コネクタを使用したリファレンスアーキテクチャ
Exchange ActiveSync 用 NetScaler Gateway コネクタを使用したリファレンスアーキテクチャ
Citrix Endpoint Management MDM+MAM および Intune MAM を使用したリファレンスアーキテクチャ
リソースの場所
リソースの場所は、ビジネスニーズに最も適した場所に配置します。たとえば、パブリッククラウド、支社、プライベートクラウド、データセンターなどです。場所の選択を決定する要因には、次のものがあります。
-
サブスクライバーへの近接性
-
データへの近接性
-
スケール要件
-
セキュリティ属性
任意の数のリソースの場所を構築できます。たとえば、次のようにします。
-
データへの近接性を必要とするサブスクライバーとアプリケーションに基づいて、本社用のリソースの場所をデータセンターに構築します。
-
グローバルユーザー用にパブリッククラウドに個別のリソースの場所を追加します。または、支社の従業員に近い場所で最適に提供されるアプリケーションを提供するために、支社に個別のリソースの場所を構築します。
-
制限付きアプリケーションを提供する別のネットワークに、さらにリソースの場所を追加します。この設定により、他のリソースの場所を調整することなく、他のリソースやサブスクライバーへの可視性を制限できます。
クラウドコネクタ
Cloud Connector は、Citrix Cloud とリソースの場所間のすべての通信を認証および暗号化します。Cloud Connector は、LDAP、IdP、PKI サーバー、内部 DNS クエリ、Citrix Virtual Apps、NetScaler Gateway、Citrix Workspace、Microsoft Endpoint Manager などのサービスにアクセスするために必要です。
次の図は、Cloud Connector のトラフィックフローを示しています。
Cloud Connector は Citrix Cloud への接続を確立します。Cloud Connector は受信接続を受け入れません。
Cloud Connector は、デバイス登録中のみ負荷がかかります。詳細については、「Cloud Connector のスケーリングとサイズ設定に関する考慮事項」を参照してください。
Mobile App Management (MAM) を含むソリューションには、オンプレミスの NetScaler Gateway によって提供されるマイクロ VPN が必要です。このシナリオでは、次のようになります。
-
次のコンポーネントがデータセンターにあります。
-
クラウドコネクタ
-
ネットスケーラー ゲートウェイ
-
Exchange、Webアプリ、Active Directory、PKI用のサーバー
-
-
モバイルデバイスは、Citrix Endpoint ManagementおよびオンプレミスのNetScaler Gatewayと通信します。
Citrix Endpoint Managementコンポーネント
Citrix Endpoint Managementコンソール。 Citrix Endpoint Management管理者コンソールを使用して、Citrix Endpoint Managementを構成します。Citrix Endpoint Managementコンソールの使用方法の詳細については、Citrix Endpoint Managementの各記事を参照してください。Citrix Endpoint Managementの「新機能」記事が新しいリリース向けに更新されると、Citrixから通知されます。
Citrix Endpoint Managementサービスとオンプレミスリリースとの間の以下の違いに注意してください。
-
Remote SupportクライアントはCitrix Endpoint Managementでは利用できません。
-
Citrixは、オンプレミスのsyslogサーバーとのCitrix Endpoint Managementにおけるsyslog統合をサポートしていません。代わりに、Citrix Endpoint Managementコンソールのトラブルシューティングとサポートページからログをダウンロードできます。その際、すべてダウンロードをクリックする必要があります。
MAM SDK。 MDX Toolkitは2023年7月にEOLに達する予定です。エンタープライズアプリケーションの管理を継続するには、MAM SDKを組み込む必要があります。
-
Mobile Application Management（MAM）SDKは、iOSおよびAndroidプラットフォームではカバーされていないMDX機能を提供します。iOSまたはAndroidアプリをMDX対応にして保護できます。これらのアプリは、社内ストアまたは公開アプリストアで利用可能にできます。MDX App SDKを参照してください。
モバイル生産性向上アプリ。 Citrixが開発したモバイル生産性向上アプリは、Citrix Endpoint Management環境内で生産性およびコミュニケーションツールのスイートを提供します。これらのアプリは、会社のポリシーによって保護されます。詳しくは、モバイル生産性向上アプリを参照してください。
Exchange ActiveSync用Citrix Endpoint Managementコネクタ。 Exchange ActiveSync用Citrix Endpoint Managementコネクタは、ネイティブのモバイルメールアプリを使用するユーザーに安全なメールアクセスを提供します。Exchange ActiveSync用コネクタは、ExchangeサービスレベルでActiveSyncフィルタリングを提供します。その結果、フィルタリングは、メールがCitrix Endpoint Management環境に入る前ではなく、Exchangeサービスに到達した後にのみ行われます。このコネクタは、NetScaler Gatewayの使用を必要としません。既存のActiveSyncトラフィックのルーティングを変更することなく、コネクタを展開できます。詳しくは、Exchange ActiveSync用Citrix Endpoint Managementコネクタを参照してください。
Exchange ActiveSync用NetScaler Gatewayコネクタ。 Exchange ActiveSync用NetScaler Gatewayコネクタは、ネイティブのモバイルメールアプリを使用するユーザーに安全なメールアクセスを提供します。Exchange ActiveSync用コネクタは、境界でActiveSyncフィルタリングを提供します。フィルタリングは、NetScaler GatewayをActiveSyncトラフィックのプロキシとして使用します。その結果、フィルタリングコンポーネントはメールトラフィックフローのパスに位置し、環境に出入りするメールを傍受します。Exchange ActiveSync用コネクタは、NetScaler GatewayとCitrix Endpoint Management間の仲介役として機能します。詳しくは、Exchange ActiveSync用NetScaler Gatewayコネクタを参照してください。
Citrix Endpoint Managementの技術的なセキュリティ概要
Citrix Cloudは、Citrix Endpoint Management環境のコントロールプレーンを管理します。コントロールプレーンには、Citrix Endpoint Managementサーバー、Citrix ADCロードバランサー、およびシングルテナントデータベースが含まれます。クラウドサービスは、Citrix Cloud Connectorを使用して顧客データセンターと統合されます。Cloud Connectorを使用するCitrix Endpoint Managementのお客様は、通常、データセンターでNetScaler Gatewayを管理します。
次の図は、サービスとそのセキュリティ境界を示しています。
このセクションの情報は次のとおりです。
-
Citrix Cloud のセキュリティ機能の概要を説明します。
-
Citrix Cloud の展開を保護するための Citrix とお客様間の責任分担を定義します。
-
Citrix Cloud またはそのコンポーネントやサービスの構成または管理ガイダンスではありません。
Citrix Endpoint Management が包括的なエンドツーエンドセキュリティを提供するために使用するテクノロジーについては、「Security and Productivity for the Mobile Enterprise」を参照してください。
データフロー
コントロールプレーンは、ユーザーオブジェクトとグループオブジェクトへの読み取りアクセスが制限されています。これらのオブジェクトは、ディレクトリ、DNS、および同様のサービスにあります。コントロールプレーンは、セキュアな HTTPS 接続を介して Citrix Cloud Connector 経由でこれらのサービスにアクセスします。
メール、イントラネット、Web アプリトラフィックなどの企業データは、NetScaler Gateway を介してデバイスとアプリケーションサーバー間で直接流れます。NetScaler Gateway は、お客様のデータセンターに展開されます。
データ分離
コントロールプレーンは、ユーザーデバイスとそのモバイルアプリケーションを管理するために必要なメタデータを保存します。サービス自体は、マルチテナントコンポーネントとシングルテナントコンポーネントの組み合わせで構成されています。ただし、サービスアーキテクチャに従い、顧客メタデータは常にテナントごとに個別に保存され、一意の資格情報を使用して保護されます。
資格情報の処理
サービスは次の種類の資格情報を処理します。
-
ユーザー資格情報: ユーザー資格情報は、HTTPS 接続を介してデバイスからコントロールプレーンに送信されます。コントロールプレーンは、セキュアな接続を介して、お客様のディレクトリ内のディレクトリでこれらの資格情報を検証します。
-
管理者資格情報: 管理者は Citrix Cloud に対して認証を行います。Citrix Cloud は Citrix Online のサインオンシステムを使用します。このプロセスにより、管理者にサービスへのアクセスを許可するワンタイム署名付き JSON Web Token (JWT) が生成されます。
-
Active Directory credentials: コントロールプレーンは、Active Directoryからユーザーメタデータを読み取るためにバインド資格情報を必要とします。これらの資格情報はAES-256暗号化を使用して暗号化され、テナントごとのデータベースに保存されます。
展開に関する考慮事項
Citrixは、お客様の環境にNetScaler Gatewayを展開するための公開されているベストプラクティスドキュメントを参照することを推奨します。
その他のリソース
お客様は、Citrix製品に関連するセキュリティ速報を確認することをお勧めします。新規および更新されたセキュリティ速報については、Citrix Security Bulletinsを参照してください。また、Alert Settingsでアラートを受信するように登録することも検討してください。
その他のセキュリティ情報については、以下のリソースを参照してください。
-
Citrixセキュリティサイト:
<https://www.citrix.com/security> -
Citrix Cloud ドキュメント: Citrix Cloud Platform セキュア展開ガイド
モバイル脅威防御ソフトウェアとの統合
モバイル脅威防御 (MTD) ソフトウェアは、企業モバイルデバイスに対する高度なサイバー攻撃を検出し、分析し、防止を支援します。MTDとUnified Citrix Endpoint Management (UEM) の組み合わせにより、組織のセキュリティと可視性が向上します。
MTDソフトウェアは、Citrix Endpoint Managementが以下の目的で使用する脅威データを提供します。
-
マルウェア、フィッシング、ネットワーク攻撃、中間者攻撃から保護する
-
デバイスのコンプライアンスステータスを判断する
-
リスクレベルを判断する
-
ポリシーベースのアクションを実行して、アプリ、データ、デバイス、モバイルネットワークを保護します
Citrix Endpoint Managementは、以下のMTDベンダーと統合されています。
詳細情報やデモのリクエストについては、MTDパートナーまたはCitrixの営業担当者にお問い合わせください。