セキュリティとユーザーエクスペリエンス
セキュリティはどの組織にとっても重要ですが、セキュリティとユーザーエクスペリエンスのバランスを取る必要があります。たとえば、ユーザーが使いにくいほど高度に保護された環境になっている場合があります。あるいは、環境が非常にユーザーフレンドリーで、アクセス制御がそれほど厳しくない場合もあります。この仮想ハンドブックの他のセクションでは、セキュリティ機能について詳しく説明しています。この記事の目的は、一般的なセキュリティ上の懸念事項と、Citrix Endpoint Management で利用できるセキュリティオプションの概要を説明することです。
各ユースケースで留意すべき重要な考慮事項を以下に示します。
-
特定のアプリ、デバイス全体、またはその両方を保護しますか？
-
ユーザーにどのように身元を認証させたいですか？LDAP、証明書ベースの認証、またはその両方の組み合わせを使用しますか？
-
ユーザーのセッションがタイムアウトするまで、どのくらいの期間継続させたいですか？バックグラウンドサービス、Citrix ADC、およびオフライン中にアプリにアクセスできる場合では、タイムアウト値が異なることに注意してください。
-
ユーザーにデバイスレベルのパスコードとアプリレベルのパスコードを設定させたいですか？許可するサインイン試行回数は何回ですか？MAM で実装される可能性のある追加のアプリごとの認証要件と、ユーザーがそれらをどのように認識するかを考慮してください。
-
ユーザーにどのような他の制限を課したいですか？Siri などのクラウドサービスへのアクセスをユーザーに許可しますか？提供する各アプリで何ができ、何ができないようにしますか？オフィス内から携帯電話データプランが使用されるのを防ぐために、企業ネットワーク (Wi-Fi) ポリシーを展開しますか？
アプリとデバイス
最初に考慮すべきことの1つは、何を保護したいかということです。
-
特定のアプリのみ（モバイルアプリ管理、または MAM）
-
デバイス全体（モバイルデバイス管理、または MDM）。
-
MDM+MAM
最も一般的なのは、デバイスレベルの制御を必要としない場合、特に組織が Bring Your Own Device (BYOD) をサポートしている場合は、モバイルアプリのみを管理すればよいということです。
Citrix Endpoint Management が管理しないデバイスを持つユーザーは、アプリストアを通じてアプリをインストールできます。選択的または完全なワイプなどのデバイスレベルの制御の代わりに、アプリポリシーを通じてアプリへのアクセスを制御します。設定した値に応じて、ポリシーはデバイスが定期的に Citrix Endpoint Management をチェックし、アプリが引き続き実行を許可されていることを確認することを要求します。
MDMは、デバイス上のすべてのソフトウェアのインベントリを取得する機能を含め、デバイス全体を保護することを可能にします。MDMは、デバイスがジェイルブレイクされている、ルート化されている、または安全でないソフトウェアがインストールされている場合に、登録を防止することを可能にします。しかし、このレベルの制御を行うと、ユーザーは自分の個人デバイスに対してそれほどの権限を与えることに警戒心を抱き、登録率が低下する可能性があります。
認証
認証は、ユーザーエクスペリエンスの大部分を占める部分です。組織がすでにActive Directoryを実行している場合、Active Directoryを使用することが、ユーザーがシステムにアクセスするための最も簡単な方法です。
認証ユーザーエクスペリエンスのもう1つの重要な部分は、タイムアウトです。セキュリティの高い環境では、ユーザーがシステムにアクセスするたびにサインオンを求める場合があります。このオプションは、すべての組織やユースケースにとって理想的ではないかもしれません。
ユーザーエントロピー
セキュリティを強化するために、ユーザーエントロピーと呼ばれる機能を有効にできます。Citrix Secure Hubやその他のいくつかのアプリは、すべてが適切に機能するように、パスワード、PIN、証明書などの共通データを共有することがよくあります。この情報は、Citrix Secure Hub内の汎用ボールトに保存されます。Encrypt Secretsオプションを通じてユーザーエントロピーを有効にすると、Citrix Endpoint ManagementはUserEntropyというボールトを作成します。Citrix Endpoint Managementは、汎用ボールトからこの新しいボールトに情報を移動します。Citrix Secure Hubまたは別のアプリがデータにアクセスするには、ユーザーはパスワードまたはPINを入力する必要があります。
ユーザーエントロピーを有効にすると、いくつかの場所で認証レイヤーが追加されます。その結果、アプリがUserEntropyボールト内の共有データ（パスワード、PIN、証明書を含む）へのアクセスを必要とするたびに、ユーザーは認証する必要があります。
ユーザーエントロピーの詳細については、MDX Toolkitについてを参照してください。ユーザーエントロピーを有効にするには、関連する設定をクライアントプロパティで見つけることができます。
ポリシー
MDXとMDMの両方のポリシーは、組織に大きな柔軟性をもたらしますが、ユーザーを制限することもできます。特定の状況ではその制限が必要な場合もありますが、ポリシーによってはシステムが使用できなくなることもあります。たとえば、機密データを外部に送信する可能性のあるSiriやiCloudなどのクラウドアプリケーションへのアクセスをブロックしたい場合があります。これらのサービスへのアクセスをブロックするポリシーを設定できますが、そのようなポリシーには意図しない結果が生じる可能性があることに留意してください。たとえば、iOSキーボードのマイクはクラウドアクセスに依存しています。
アプリ
エンタープライズモビリティ管理 (EMM) は、モバイルデバイス管理 (MDM) とモバイルアプリケーション管理 (MAM) に分かれます。MDMは組織がモバイルデバイスを保護および制御できるようにする一方、MAMはアプリケーションの配信と管理を容易にします。BYODの採用が増加するにつれて、Citrix Endpoint ManagementのようなMAMソリューションを導入して、以下のことを支援できます。
-
アプリの配信
-
ソフトウェアライセンス
-
構成
-
アプリケーションライフサイクル管理
Citrix Endpoint Management を使用すると、特定の MAM ポリシーと VPN 設定を構成して、データ漏洩やその他のセキュリティ脅威を防ぐことで、これらのアプリのセキュリティを強化できます。Citrix Endpoint Management は、MDM と MAM の両方の機能を同じ環境に含める柔軟性を組織に提供します。
モバイルデバイスにアプリを配信する機能に加えて、Citrix Endpoint Management は MDX テクノロジーによるアプリのコンテナ化を提供します。MDX は、プラットフォームが提供するデバイスレベルの暗号化とは別の暗号化によってアプリを保護します。アプリをワイプまたはロックできます。アプリは、きめ細かなポリシーベースの制御の対象となります。独立系ソフトウェアベンダー (ISV) は、Mobile Apps SDK を使用してこれらの制御を適用できます。
企業環境では、ユーザーは職務を支援するためにさまざまなモバイルアプリを使用します。アプリには、パブリックアプリストアのアプリ、社内開発アプリ、またはネイティブアプリが含まれます。Citrix Endpoint Management は、これらのアプリを次のように分類します。
パブリックアプリ: これらのアプリには、Apple App Store や Google Play などのパブリックアプリストアで入手できる無料または有料のアプリが含まれます。組織外のベンダーは、多くの場合、パブリックアプリストアでアプリを提供しています。このオプションにより、顧客はインターネットから直接アプリをダウンロードできます。ユーザーのニーズに応じて、組織内で多くのパブリックアプリを使用する場合があります。このようなアプリの例としては、GoToMeeting、Salesforce、EpicCare アプリなどがあります。
Citrix® は、パブリックアプリストアからアプリのバイナリを直接ダウンロードし、それを MDX Toolkit でラップしてエンタープライズ配布することをサポートしていません。サードパーティアプリケーションを MDX 対応にするには、アプリベンダーに連絡してアプリのバイナリを入手してください。MDX Toolkit を使用してバイナリをラップするか、MAM SDK をバイナリと統合することができます。
社内アプリ: 多くの組織には、特定の機能を提供し、組織内で独自に開発および配布されるアプリを作成する社内開発者がいます。場合によっては、ISV が提供するアプリを持つ組織もあります。このようなアプリはネイティブアプリとして展開することも、Citrix Endpoint Management などの MAM ソリューションを使用してアプリをコンテナ化することもできます。たとえば、医療機関は、医師がモバイルデバイスで患者情報を表示できる社内アプリを作成できます。組織は、患者情報を保護し、バックエンドの患者データベースサーバーへの VPN アクセスを有効にするために、MAM SDK を有効にするか、アプリを MDM ラップすることができます。
Web および SaaS アプリ: これらのアプリには、内部ネットワークからアクセスするアプリ (Web アプリ) またはパブリックネットワーク経由でアクセスするアプリ (SaaS) が含まれます。Citrix Endpoint Management では、アプリコネクタのリストを使用してカスタムの Web および SaaS アプリを作成することもできます。これらのアプリコネクタは、既存の Web アプリへのシングルサインオン (SSO) を容易にすることができます。詳細については、「アプリコネクタの種類」を参照してください。たとえば、Google Apps SAML を使用して、Security Assertion Markup Language (SAML) に基づく Google Apps への SSO を行うことができます。
モバイル生産性アプリ: モバイル生産性アプリは、Citrix Endpoint Management ライセンスに含まれる Citrix 開発のアプリです。詳細については、「モバイル生産性アプリについて」を参照してください。Citrix は、その他のビジネス対応アプリも提供しています。ISV は、Mobile Apps SDK を使用してビジネス対応アプリを開発します。
HDX アプリ: HDX アプリは、StoreFront で公開する Windows ホスト型アプリです。Citrix Virtual Apps and Desktops 環境がある場合は、アプリを Citrix Endpoint Management と統合して、登録済みユーザーがアプリを利用できるようにすることができます。
Citrix Endpoint Management で展開および管理するモバイルアプリの種類によって、基盤となる構成とアーキテクチャは異なります。さまざまなレベルの権限を持つ多くのユーザーグループが単一のアプリを使用するとします。その場合、アプリの 2 つのバージョンを展開するために、個別のデリバリーグループを作成できます。ユーザーデバイスでのポリシーの不一致を避けるために、ユーザーグループのメンバーシップが相互に排他的であることを確認してください。
Apple Volume Purchase を使用して iOS アプリケーションのライセンスを管理することもできます。このオプションでは、Apple Volume Purchase プログラムに登録する必要があります。また、Citrix Endpoint Management コンソールを使用して Volume Purchase 設定を構成する必要があります。この構成により、Volume Purchase ライセンスでアプリを配布できます。このようなさまざまなユースケースがあるため、Citrix Endpoint Management 環境を実装する前に MAM 戦略を評価し、計画することが重要です。MAM 戦略の計画は、以下を定義することから開始できます。
アプリの種類: サポートする予定のさまざまな種類のアプリをリストアップします。次に、パブリック、ネイティブ、Citrix モバイル生産性アプリ、Web、社内、ISV アプリなど、アプリを分類します。また、iOS や Android など、異なるデバイスプラットフォームのアプリも分類します。この分類は、各種類のアプリに必要な Citrix Endpoint Management 設定を調整するのに役立ちます。たとえば、特定のアプリはラッピングの対象とならない場合があります。または、一部のアプリでは、他のアプリとの対話のために特別な API を有効にするために Mobile Apps SDK の使用が必要になる場合があります。
ネットワーク要件: 特定のネットワークアクセス要件を持つアプリを適切な設定で構成します。たとえば、特定のアプリは VPN を介して内部ネットワークへのアクセスを必要とする場合があります。一部のアプリは、DMZ 経由でアクセスをルーティングするためにインターネットアクセスを必要とする場合があります。このようなアプリが必要なネットワークに接続できるようにするには、それに応じてさまざまな設定を構成する必要があります。アプリごとのネットワーク要件を定義して、事前にアーキテクチャの決定を確定するのに役立てます。この作業により、全体的な実装プロセスが合理化されます。
セキュリティ要件: 個々のアプリまたはすべてのアプリに適用されるセキュリティ要件を定義します。MDX ポリシーなどの一部の設定は、個々のアプリに適用されます。セッションおよび認証設定は、すべてのアプリに適用されます。一部のアプリには、特定の暗号化、コンテナ化、ラッピング、認証、ジオフェンシング、パスコード、またはデータ共有の要件がある場合があります。展開を簡素化するために、これらの要件を事前に概説してください。
展開要件: ポリシーベースの展開を使用して、準拠しているユーザーのみが公開されたアプリをダウンロードできるようにしたい場合があります。たとえば、特定のアプリで次の要件を満たす必要がある場合があります。
-
デバイスプラットフォームベースの暗号化が有効になっている
-
デバイスが管理されている
-
デバイスが最小オペレーティングシステムバージョンを満たしている
-
特定のアプリが企業ユーザーのみに提供されている
適切な展開ルールまたはアクションを設定できるように、このような要件を事前に概説してください。
ライセンス要件: アプリ関連のライセンス要件を記録します。これらのメモは、ライセンスの使用状況を効果的に管理し、ライセンスを容易にするためにCitrix Endpoint Managementで特定の機能を構成する必要があるかどうかを判断するのに役立ちます。たとえば、無料または有料のiOSアプリを展開する場合、AppleはユーザーがApple Storeアカウントにサインオンすることでアプリにライセンス要件を適用します。Apple Volume Purchaseに登録して、Citrix Endpoint Managementを通じてこれらのアプリを配布および管理できます。Volume Purchaseを使用すると、ユーザーはApple Storeアカウントにサインインすることなくアプリをダウンロードできます。また、Samsung Knoxなどのツールには特別なライセンス要件があり、これらの機能を展開する前に完了する必要があります。
許可リストとブロックリストの要件: ユーザーが一部のアプリをインストールまたは使用するのを防ぎたいと考えるでしょう。デバイスを非準拠にするアプリの許可リストを作成します。次に、デバイスが非準拠になったときにトリガーされるポリシーを設定します。一方、アプリは使用可能であっても、何らかの理由でブロックリストに該当する場合があります。その場合、アプリを許可リストに追加し、そのアプリは使用可能であるが、必須ではないことを示すことができます。また、新しいデバイスにプリインストールされているアプリには、オペレーティングシステムの一部ではない一般的に使用されるアプリが含まれる場合があることに注意してください。これらのアプリは、ブロックリスト戦略と競合する可能性があります。
アプリのユースケース
医療機関は、モバイルアプリのMAMソリューションとして機能するようにCitrix Endpoint Managementを展開する予定です。モバイルアプリは、企業ユーザーとBYODユーザーに提供されます。IT部門は、次のアプリを提供および管理することを決定しました。
-
モバイル生産性アプリ: Citrixが提供するiOSおよびAndroidアプリ。
-
Citrix Files: 共有データにアクセスし、ファイルを共有、同期、編集するためのアプリ。
パブリックアプリストア
-
Citrix Secure Hub: すべてのモバイルデバイスがCitrix Endpoint Managementと通信するために使用するクライアント。IT部門は、Citrix Secure Hubクライアントを介してセキュリティ設定、構成、およびモバイルアプリをモバイルデバイスにプッシュします。AndroidおよびiOSデバイスは、Citrix Secure Hubを介してCitrix Endpoint Managementに登録します。
-
Citrix Workspaceアプリ: ユーザーがCitrix Virtual Appsによってホストされているアプリをモバイルデバイスで開くことができるモバイルアプリ。
-
GoToMeeting: オンライン会議、デスクトップ共有、ビデオ会議クライアントであり、ユーザーがインターネット経由で他のコンピューターユーザー、顧客、クライアント、または同僚とリアルタイムで会議を行うことができます。
-
SalesForce1: Salesforce1を使用すると、ユーザーはモバイルデバイスからSalesforceにアクセスでき、すべてのChatter、CRM、カスタムアプリ、およびビジネスプロセスを、あらゆるSalesforceユーザーにとって統一されたエクスペリエンスにまとめます。
-
RSA SecurID: 2要素認証用のソフトウェアベースのトークン。
-
EpicCare apps: これらのアプリは、医療従事者に患者のカルテ、患者リスト、スケジュール、メッセージングへの安全でポータブルなアクセスを提供します。
-
Haiku: iPhoneおよびAndroidフォン用のモバイルアプリ。
-
Canto: iPad用のモバイルアプリ
-
Rover: iPhoneおよびiPad用のモバイルアプリ。
-
HDX: Citrix Virtual Appsは、Citrix WorkspaceにHDXアプリを配信します。
-
Epic Hyperspace: 電子カルテ管理用のEpicクライアントアプリケーション。
ISV
-
Vocera: HIPAA準拠のボイスオーバーIPおよびメッセージングモバイルアプリであり、iPhoneおよびAndroidスマートフォンを介して、いつでもどこでもVocera音声テクノロジーの利点を拡張します。
社内アプリ
-
HCMail: 暗号化されたメッセージを作成し、社内メールサーバーのアドレス帳を検索し、電子メールクライアントを使用して暗号化されたメッセージを連絡先に送信するのに役立つアプリ。
社内Webアプリ
-
PatientRounding: さまざまな部門が患者の健康情報を記録するために使用するWebアプリケーション。
-
Outlook Web Access: Webブラウザ経由でメールへのアクセスを許可します。
-
SharePoint: 組織全体でのファイルおよびデータ共有に使用されます。
次の表に、MAM構成に必要な基本情報を示します。
| アプリ名 | アプリの種類 | MDXラッピング | iOS | アンドロイド |
|---|---|---|---|---|
| シトリックス セキュア メール | モバイル生産性アプリ | バージョン10.4.1以降はいいえ | はい | はい |
| シトリックス セキュア ウェブ | モバイル生産性アプリ | バージョン10.4.1以降はいいえ | はい | はい |
| シトリックス ファイル | モバイル生産性アプリ | バージョン10.4.1以降はいいえ | はい | はい |
| シトリックス セキュア ハブ | パブリックアプリ | 該当なし | はい | はい |
| Citrix Workspaceアプリ | パブリックアプリ | N/A | はい | はい |
| GoToMeeting | 公開アプリ | N/A | はい | はい |
| SalesForce1 | 公開アプリ | N/A | はい | はい |
| RSA SecurID | 公開アプリ | 該当なし | はい | はい |
| エピック ハイク | パブリックアプリ | 該当なし | はい | はい |
| エピック カント | パブリックアプリ | 該当なし | はい | いいえ |
| エピック ローバー | パブリックアプリ | 該当なし | はい | いいえ |
| エピック ハイパースペース | HDX™ App | 該当なし | はい | はい |
| ボセラ | ISV アプリ | はい | はい | はい |
| エイチシーメール | 社内アプリ | はい | はい | はい |
| PatientRounding | Webアプリ | 該当なし | はい | はい |
| アウトルック ウェブ アクセス | Webアプリ | 該当なし | はい | はい |
| SharePoint | Webアプリ | 該当なし | はい | はい |
以下の表は、Citrix Endpoint ManagementでMAMポリシーを構成する際に参照できる特定の要件を示しています。
| アプリ名 | VPN必須 | 相互作用 (コンテナ外のアプリとの) | 相互作用 (コンテナ外のアプリからの) | デバイスプラットフォームベースの暗号化 |
|---|---|---|---|---|
| シトリックス セキュア メール | はい | 選択的に許可 | 許可 | 不要 |
| シトリックス セキュア ウェブ | はい | 許可 | 許可 | 不要 |
| シトリックス ファイルズ | はい | 許可 | 許可 | 不要 |
| シトリックス セキュア ハブ | はい | 該当なし | 該当なし | 該当なし |
| Citrix Workspaceアプリ | はい | 該当なし | 該当なし | 該当なし |
| GoToMeeting | いいえ | 該当なし | 該当なし | 該当なし |
| SalesForce1 | いいえ | 該当なし | 該当なし | 該当なし |
| RSA SecurID | N | N/A | N/A | N/A |
| エピック ハイク | Y | N/A | N/A | N/A |
| エピック カント | Y | N/A | N/A | N/A |
| エピック ローバー | はい | 該当なし | 該当なし | 該当なし |
| エピック ハイパースペース | はい | 該当なし | 該当なし | 該当なし |
| ボセラ | はい | ブロック済み | ブロック済み | 不要 |
| エイチシーメール | はい | ブロック済み | ブロック済み | 必須 |
| PatientRounding | はい | N/A | N/A | 必須 |
| アウトルック ウェブ アクセス | はい | N/A | N/A | 不要 |
| SharePoint | はい | N/A | N/A | 不要 |
| アプリ名 | プロキシフィルタリング | ライセンス | ジオフェンシング | モバイルアプリSDK | 最小オペレーティングシステムバージョン |
|---|---|---|---|---|---|
| シトリックス セキュアメール | 必須 | N/A | 選択的に必須 | N/A | 適用済み |
| シトリックス セキュア ウェブ | 必須 | 該当なし | 不要 | 該当なし | 適用済み |
| セキュア ノーツ | 必須 | 該当なし | 不要 | 該当なし | 適用済み |
| シトリックス ファイルズ | 必須 | N/A | 不要 | N/A | 適用済み |
| シトリックス セキュア ハブ | 不要 | ボリューム購入 | 不要 | N/A | 適用されていません |
| シトリックス ワークスペース アプリ | 不要 | ボリューム購入 | 不要 | N/A | 強制されません |
| GoToMeeting | 不要 | ボリューム購入 | 不要 | 該当なし | 強制されません |
| SalesForce1 | 不要 | ボリューム購入 | 不要 | 該当なし | 強制されません |
| RSA SecurID | 不要 | ボリューム購入 | 不要 | 該当なし | 適用されません |
| エピック・ハイク | 不要 | ボリューム購入 | 不要 | 該当なし | 適用されません |
| エピック・カント | 不要 | ボリューム購入 | 不要 | 該当なし | 適用されません |
| エピック ローバー | 不要 | ボリューム購入 | 不要 | 該当なし | 適用されません |
| エピック ハイパースペース | 不要 | 該当なし | 不要 | 該当なし | 適用されません |
| ボセラ | 必須 | 該当なし | 必須 | 必須 | 適用済み |
| エイチシーメール | 必須 | 該当なし | 必須 | 必須 | 適用済み |
| PatientRound-ing | 必須 | 該当なし | 不要 | 該当なし | 適用されません |
| Outlook Web アクセス | 必須 | N/A | 不要 | N/A | 適用されません |
| SharePoint | 必須 | N/A | 不要 | N/A | 適用されません |
ユーザーコミュニティ
すべての組織は、さまざまな機能的役割を担う多様なユーザーコミュニティで構成されています。これらのユーザーコミュニティは、ユーザーデバイスを介して提供されるさまざまなリソースを使用して、異なるタスクやオフィス機能を実行します。ユーザーは、提供されたモバイルデバイスを使用して、自宅やリモートオフィスで作業する場合があります。あるいは、ユーザーは自身のモバイルデバイスを所有しており、特定のセキュリティコンプライアンス規則の対象となるツールにアクセスできる場合があります。
ユーザーコミュニティが業務でモバイルデバイスを使用するようになるにつれて、データ漏洩を防ぐためにエンタープライズモビリティ管理 (EMM) が不可欠になります。EMM は、組織のセキュリティ制限を適用するためにも重要です。効率的でより高度なモバイルデバイス管理のために、ユーザーコミュニティを分類できます。これにより、ユーザーとリソースのマッピングが簡素化され、適切なセキュリティポリシーがユーザーに適用されます。
次の例は、医療機関のユーザーコミュニティが EMM 向けにどのように分類されているかを示しています。
ユーザーコミュニティのユースケース
この医療機関の例では、ネットワークおよび関連会社の従業員やボランティアを含む多くのユーザーにテクノロジーリソースとアクセスを提供しています。この組織は、EMM ソリューションを非管理職ユーザーのみに展開することを選択しました。
この組織のユーザーの役割と機能は、臨床、非臨床、契約社員などのサブグループに分類できます。選択されたユーザーには会社のモバイルデバイスが支給され、その他のユーザーは個人のデバイスから限られた会社の情報にアクセスできます。適切なレベルのセキュリティ制限を適用し、データ漏洩を防ぐために、組織は登録された各デバイスを企業 IT が管理することを決定しました。これらのデバイスは、会社所有であるか、BYOD (Bring Your Own Device) である可能性があります。また、ユーザーは単一のデバイスのみを登録できます。
次のセクションでは、各サブグループの役割と機能の概要を説明します。
臨床
-
看護師
-
医師 (内科医、外科医など)
-
専門医 (栄養士、麻酔科医、放射線科医、心臓病専門医、腫瘍専門医など)
-
外部医師 (従業員ではない医師および遠隔オフィスで働く事務員)
-
在宅医療サービス (患者の自宅訪問で医師サービスを行うオフィスおよびモバイルワーカー)
-
研究専門家 (医学の問題に対する答えを見つけるために臨床研究を行う6つの研究機関のナレッジワーカーおよびパワーユーザー)
-
教育と研修 (教育と研修における看護師、医師、専門家)
非臨床
-
共有サービス (人事、給与計算、買掛金、サプライチェーンサービスなど、さまざまなバックオフィス業務を行うオフィスワーカー)
-
医師サービス (管理サービス、分析およびビジネスインテリジェンス、ビジネスシステム、クライアントサービス、財務、マネージドケア管理、患者アクセスソリューション、収益サイクルソリューションなど、プロバイダー向けにさまざまなヘルスケア管理、管理サービス、ビジネスプロセスソリューションを行うオフィスワーカー)
-
サポートサービス (福利厚生管理、臨床統合、コミュニケーション、報酬および業績管理、施設および資産サービス、人事テクノロジーシステム、情報サービス、内部監査およびプロセス改善など、さまざまな非臨床業務を行うオフィスワーカー)
-
慈善プログラム (慈善プログラムを支援するためにさまざまな業務を行うオフィスおよびモバイルワーカー)
請負業者
-
製造業者およびベンダーパートナー (サイト間VPN経由でオンサイトおよびリモート接続され、さまざまな非臨床サポート機能を提供する)
上記の情報に基づいて、組織は以下のエンティティを作成しました。Citrix Endpoint Managementのデリバリーグループの詳細については、リソースの展開を参照してください。
Active Directory組織単位 (OU) およびグループ
OU = Citrix Endpoint Managementリソースの場合:
-
OU = 臨床; グループ =
-
XM-看護師
-
XM-医師
-
XM-専門医
-
XM-外部医師
-
XM-在宅医療サービス
-
XM-調査スペシャリスト
-
XM-教育・研修
-
-
OU = 非臨床; Groups =
-
XM-共有サービス
-
XM-医師サービス
-
XM-サポートサービス
-
XM-慈善プログラム
-
Citrix Endpoint Management ローカルユーザーとグループ
Group= 契約者の場合、ユーザー=
-
ベンダー1
-
ベンダー2
-
ベンダー3
-
… ベンダー10
Citrix Endpoint Management デリバリーグループ
-
臨床-看護師
-
臨床-医師
-
臨床-専門家
-
臨床-外部医師
-
臨床-在宅医療サービス
-
臨床-研究専門家
-
臨床-教育およびトレーニング
-
非臨床-共有サービス
-
非臨床-医師サービス
-
非臨床-サポートサービス
-
非臨床-慈善プログラム
デリバリーグループとユーザーグループのマッピング
| Active Directory グループ | Citrix Endpoint Management デリバリーグループ |
|---|---|
| XM-看護師 | 臨床-看護師 |
| XM-医師 | Clinical-医師 |
| XM-専門医 | Clinical-専門医 |
| XM-外部医師 | Clinical-外部医師 |
| XM-在宅医療サービス | Clinical-在宅医療サービス |
| XM-研究専門家 | Clinical-研究専門家 |
| XM-教育およびトレーニング | Clinical-教育およびトレーニング |
| XM-共有サービス | Non-Clinical-共有サービス |
| XM-医師サービス | 非臨床-医師サービス |
| XM-サポートサービス | 非臨床-サポートサービス |
| XM-慈善プログラム | 非臨床-慈善プログラム |
デリバリーグループとリソースのマッピング
次の表は、このユースケースにおける各デリバリーグループに割り当てられたリソースを示しています。最初の表はモバイルアプリの割り当てを示し、2番目の表はパブリックアプリ、HDXアプリ、およびデバイス管理リソースを示しています。
| Citrix Endpoint Management デリバリーグループ | Citrix モバイルアプリ | パブリックモバイルアプリ | HDX モバイルアプリ |
|---|---|---|---|
| 臨床-看護師 | X | ||
| 臨床-医師 | |||
| 臨床-専門家 | |||
| 臨床 - 外部医師 | X | ||
| 臨床 - 在宅医療サービス | X | ||
| 臨床 - 研究スペシャリスト | X | ||
| 臨床 - 教育およびトレーニング | X | X | |
| 非臨床 - 共有サービス | X | X | |
| 非臨床 - 医師サービス | X | X | |
| 非臨床サポートサービス | X | X | X |
| 非臨床慈善プログラム | X | X | X |
| 契約社員 | X | X | X |
| Citrix Endpoint Managementデリバリーグループ | パブリックアプリ: RSA SecurID | パブリックアプリ: EpicCare Haiku | HDXアプリ: Epic Hyperspace | パスコードポリシー | デバイス制限 | 自動アクション | ネットワークポリシー |
|---|---|---|---|---|---|---|---|
| 臨床 - 看護師 | X | ||||||
| 臨床 - 医師 | X | ||||||
| 臨床 - 専門医 | |||||||
| 臨床 - 外部医師 | |||||||
| 臨床 - 在宅医療サービス | |||||||
| 臨床 - 研究専門家 | |||||||
| 臨床 - 教育およびトレーニング | X | X | |||||
| 非臨床 - 共有サービス | X | X | |||||
| 非臨床 - 医師サービス | X | X | |||||
| 非臨床 - サポートサービス | X | X |
注意事項と考慮事項
-
Citrix Endpoint Management は、初期設定時に All Users という名前のデフォルトのデリバリーグループを作成します。このデリバリーグループを無効にしない場合、すべての Active Directory ユーザーは Citrix Endpoint Management に登録する権利を持ちます。
-
Citrix Endpoint Management は、LDAP サーバーへの動的接続を使用して、Active Directory ユーザーとグループをオンデマンドで同期します。
-
ユーザーが Citrix Endpoint Management にマッピングされていないグループに属している場合、そのユーザーは登録できません。同様に、ユーザーが多数のグループのメンバーである場合、Citrix Endpoint Management は、Citrix Endpoint Management にマッピングされているグループの一部としてのみユーザーを分類します。
セキュリティ要件
Citrix Endpoint Management環境に関連するセキュリティ上の考慮事項の範囲は、すぐに手に負えなくなる可能性があります。多くの相互に関連する要素と設定があります。許容できるレベルの保護が利用可能であることを確認するために、どこから始めればよいか、何を選択すればよいかわからないかもしれません。これらの選択を簡単にするために、Citrixは以下の表に示すように、高、より高、最高のセキュリティに関する推奨事項を提供しています。
セキュリティ上の懸念は、デバイスの登録モード（MAM、MDM+MAM（MDMオプション）、またはMDM+MAM（MDM必須））を検討する唯一の要素ではありません。ユースケースの要件も確認し、管理モードを選択する前にセキュリティ上の懸念を軽減できるかどうかを判断することが重要です。
高: これらの設定を使用すると、ほとんどの組織で許容される基本的なセキュリティレベルを維持しながら、最適なユーザーエクスペリエンスを提供できます。
より高: これらの設定は、セキュリティと使いやすさのより強力なバランスを生み出します。
最高: これらの推奨事項に従うと、使いやすさやユーザーの採用を犠牲にして、高いレベルのセキュリティが提供されます。
管理モードのセキュリティに関する考慮事項
次の表は、各セキュリティレベルの管理モードを示しています。
| 高セキュリティ | より高セキュリティ | 最高セキュリティ |
|---|---|---|
| MAM、MDM+MAM | MDM+MAM | MDM+MAM |
注記:
-
ユースケースによっては、MAMのみの展開でセキュリティ要件を満たし、良好なユーザーエクスペリエンスを提供できます。
-
BYODのようなユースケースで、すべてのビジネス要件とセキュリティ要件がアプリのコンテナ化のみで満たされる場合、CitrixはMAM-onlyモードを推奨します。
-
高セキュリティ環境（および企業支給デバイス）の場合、Citrixは利用可能なすべてのセキュリティ機能を活用するためにMDM+MAMを推奨します。
Citrix ADCとNetScaler Gatewayのセキュリティに関する考慮事項
次の表は、各セキュリティレベルにおけるCitrix ADCとNetScaler Gatewayの推奨事項を示しています。
| 高セキュリティ | より高いセキュリティ | 最高セキュリティ |
|---|---|---|
| Citrix ADCを推奨します。NetScaler GatewayはMAMおよびMDM+MAMに必要です。 | Citrix Endpoint ManagementがDMZにある場合、SSLブリッジを使用したXenMobileウィザード構成用の標準NetScaler。 | エンドツーエンド暗号化によるSSLオフロード |
注:
-
NATまたは既存のサードパーティ製プロキシ/ロードバランサーを介してCitrix Endpoint Managementサーバーをインターネットに公開することは、MDMのオプションとなる場合があります。ただし、その場合、SSLトラフィックはCitrix Endpoint Managementサーバーで終端され、潜在的なセキュリティリスクをもたらします。
-
高セキュリティ環境の場合、デフォルトのCitrix Endpoint Management構成を持つNetScaler Gatewayは、通常、セキュリティ要件を満たすか、それを上回ります。
-
最高のセキュリティ要件を持つMDM登録の場合、NetScaler GatewayでのSSL終端により、エンドツーエンドのSSL暗号化を維持しながら、境界でトラフィックを検査できます。
-
SSL/TLS暗号を定義するオプション。
-
詳細については、NetScaler GatewayおよびCitrix ADCとの統合を参照してください。
登録のセキュリティに関する考慮事項
次の表に、各セキュリティレベルにおけるCitrix ADCおよびNetScaler Gatewayの推奨事項を示します。
| 高セキュリティ | より高いセキュリティ | 最高セキュリティ |
|---|---|---|
| Active Directoryグループのメンバーシップのみ。すべてのユーザー配信グループは無効。 | 招待制の登録セキュリティモード。Active Directoryグループのメンバーシップのみ。すべてのユーザー配信グループは無効 | デバイスIDに紐付けられた登録セキュリティモード。Active Directoryグループのメンバーシップのみ。すべてのユーザー配信グループは無効 |
注：
-
Citrixでは通常、登録を事前定義されたActive Directoryグループのユーザーのみに制限することを推奨しています。この制限には、組み込みの「すべてのユーザー」配信グループを無効にする必要があります。
-
登録招待を使用して、招待状を持つユーザーに登録を制限できます。登録招待はWindowsデバイスでは利用できません。
-
ワンタイムPIN（OTP）登録招待を二要素認証ソリューションとして使用し、ユーザーが登録できるデバイスの数を制御できます。（OTP招待はWindowsデバイスでは利用できません。）
デバイスパスコードのセキュリティに関する考慮事項
次の表に、各セキュリティレベルにおけるデバイスパスコードの推奨事項を示します。
| 高いセキュリティ | より高いセキュリティ | 最高のセキュリティ |
|---|---|---|
| 推奨。デバイスレベルの暗号化には高いセキュリティが必要です。MDMで適用できます。MDXポリシーの「非準拠デバイスの動作」を使用して、MAMのみに必須として設定できます。 | MDM、MAM、またはMDM+MAMポリシーを使用して適用されます。 | MDMおよびMDXポリシーを使用して適用されます。MDMの複雑なパスコードポリシー。 |
注記:
-
Citrixはデバイスパスコードの使用を推奨しています。
-
MDMポリシーを介してデバイスパスコードを適用できます。
-
MDXポリシーを使用して、管理対象アプリの使用にデバイスパスコードを必須とすることができます。たとえば、BYODのユースケースなどです。
-
Citrixは、MDM+MAM登録のセキュリティを強化するために、MDMとMDXのポリシーオプションを組み合わせることを推奨しています。
-
最高のセキュリティ要件を持つ環境では、複雑なパスコードポリシーを設定し、MDMで適用できます。デバイスがパスコードポリシーに従わない場合に、管理者に通知したり、選択的/完全なデバイスワイプを実行したりする自動アクションを設定できます。