シナリオ 2
このシナリオでは、信頼されていないデバイスに対してApp Protectionを有効にする方法について説明します。
信頼されているデバイスと信頼されていないデバイスには多くの定義があります。このシナリオでは、エンドポイント分析 (EPA) スキャンが成功した場合にデバイスが信頼されていると見なします。その他のすべてのデバイスは信頼されていないデバイスと見なされます。
-
以下の手順で、EPAスキャンを含む認証ポリシーを作成します。
-
Citrix ADC管理UIにサインインします。Configurationタブで、Security > AAA-Application Traffic > Virtual Serversに移動します。使用する仮想サーバー（この場合はauth_vs）をクリックします。
-
Authentication Policies > Add Bindingに移動します。
-
Addをクリックしてポリシーを作成します。
-
EPAスキャンに基づいて認証ポリシーを作成します。ポリシーの名前を入力します。Action TypeとしてEPAを選択します。Addをクリックしてアクションを作成します。
Create Authentication EPA Action画面が表示されます。
-
「認証EPAアクションの作成」画面で、次の詳細を入力し、作成をクリックしてアクションを作成します。
-
名前: EPAアクションの名前。この場合はEPA_Action_FileExists。
-
デフォルトグループ: デフォルトグループ名を入力します。EPA式がTrueの場合、ユーザーはデフォルトグループに追加されます。この場合のデフォルトグループはFileExistsです。
-
隔離グループ: 隔離グループ名を入力します。EPA式がFalseの場合、ユーザーは隔離グループに追加されます。
-
式: スキャンするEPA式を追加します。この例では、特定のファイルが存在する場合にEPAスキャンが成功したと見なします。
sys.client_expr("file_0_C:\\\\epa\\\\avinstalled.txt")
「認証ポリシーの作成」画面に戻ります。 -
-
式エディターにtrueと入力し、作成をクリックします。
「ポリシーバインディング」画面に戻ります。 -
「ポリシーバインディング」画面で、次の操作を行います。
-
Goto ExpressionをNEXTとして選択します。
-
「次の要素の選択」セクションで、Application Delivery Controller™ (ADC) の認証用に構成したLDAPポリシーを選択します。
-
バインドをクリックします。
-
-
-
信頼済みデバイス向けスマートアクセス ポリシーを作成します。
-
auth_vsサーバーの認証仮想サーバーページで、スマートアクセス ポリシーを選択します。認証仮想サーバー(/en-us/citrix-workspace-app/media/step-3-a.png)
-
バインドの追加をクリックします。バインドの追加(/en-us/citrix-workspace-app/media/step-3-b.png)
-
ポリシーバインド画面で、ポリシーの選択セクションの追加をクリックします。ポリシーの選択(/en-us/citrix-workspace-app/media/step-3-c.png)認証スマートアクセス ポリシーの作成画面が表示されます。認証スマートアクセス(/en-us/citrix-workspace-app/media/step-3-d.png)
-
認証スマートアクセス ポリシーの作成画面で、スマートアクセス ポリシーの名前を入力し、スマートアクセス プロファイルを作成するために追加をクリックします。認証スマートアクセス プロファイルの作成画面が表示されます。
-
アクションの名前を追加します。タグにtrustedと入力します。このタグは、後で構成用のBroker Access Policyルールで参照されます。作成をクリックします。認証プロファイルの作成(/en-us/citrix-workspace-app/media/step-3-e.png)認証スマートアクセス ポリシーの作成画面に戻ります。
-
式セクションで、タグをプッシュする式を入力します。この場合、タグは信頼済みデバイスにプッシュされるため、
AAA.USER.IS_MEMBER_OF("FileExists")と入力します。作成をクリックします。
ポリシーバインド画面に戻ります。 -
Goto ExpressionをEndとして選択し、Bindをクリックします。
-
-
信頼されていないデバイスのスマートアクセスポリシーを作成します。
-
サブステップvとviを除き、前の手順の指示に従います。
-
サブステップvでは、認証スマートアクセスプロファイルの作成画面で、アクションの名前を追加します。タグにuntrustedと入力します。このタグは、後で構成用のブローカーアクセスポリシールールで参照されます。作成をクリックします。
-
サブステップviでは、認証スマートアクセスポリシーの作成画面の式セクションで、タグをプッシュする式を入力します。この場合、タグは信頼されていないデバイスにプッシュされるため、
AAA.USER.IS_MEMBER_OF("FileExists").NOTと入力します。
-
-
ブローカーアクセスポリシーのルールを構成します。
-
Citrixブログ「Getting started with PowerShell automation for Citrix Cloud」で説明されているように、Citrix PowerShell SDKをインストールし、クラウドAPIに接続します。
-
コマンド
Get-BrokerAccessPolicyRuleを実行します。存在するすべてのデリバリーグループのすべてのブローカーアクセスポリシーのリストが表示されます。 -
変更するデリバリーグループのDesktopGroupUidを見つけます。
-
特定のデリバリーグループにのみ適用されるポリシーを、次のコマンドを使用して取得します。
Get-BrokerAccessPolicyRule -DesktopGroupUid 7 -
信頼されたデバイスを使用しているユーザーをフィルタリングするには、次のコマンドを使用して別のBroker Accessポリシーを作成します。
New-BrokerAccessPolicyRule -Name CAP_Desktops_AG_Trusted-DesktopGroupUid 7 - AllowedConnections ViaAG -AllowedProtocols HDX, RDP -AllowedUsers AnyAuthenticated - AllowRestart $true -Enabled $true-IncludedSmartAccessFilterEnabled $true -
信頼されたデバイスのApp Protectionを無効にし、信頼されていないデバイスのApp Protectionを有効にするには、次のコマンドを使用します。
Set-BrokerAccessPolicyRule CAP_Desktops_AG_trusted -IncludedSmartAccessTags Workspace:trusted -AppProtectionKeyLoggingRequired $false -AppProtectionScreenCaptureRequired $falseSet-BrokerAccessPolicyRule CAP_Desktops_AG -IncludedSmartAccessTags Workspace:untrusted -AppProtectionKeyLoggingRequired $true -AppProtectionScreenCaptureRequired $true
-
-
検証:Citrix Workspaceアプリからサインアウトし、再度サインインします。EPAスキャン条件を満たす信頼されたデバイスから、保護されたリソースを起動します。App Protectionポリシーが適用されていないことがわかります。信頼されていないデバイスから同じリソースを起動します。App Protectionポリシーが適用されていることがわかります。