デバイスポスチャポリシーを構成する
デバイスポスチャは、デバイスがリソースにアクセスするために満たす必要があるポリシーとルールの組み合わせです。各ポリシーには、準拠、非準拠、ログイン拒否のいずれかのアクションが関連付けられています。さらに、各ポリシーには優先度が関連付けられており、ポリシーがtrueと評価され、関連するアクションが実行されると、ポリシー評価は停止します。
-
注:
-
-
発行者証明書がデバイスに存在することを確認します。そうでない場合は、デバイスポスチャポリシーの作成中にデバイス証明書をインポートするか、デバイスポスチャのホームページの から証明書をアップロードできます。詳細については、「デバイス証明書チェック」を参照してください。
-
複数のデバイス証明書が共通の発行者名を共有する環境では、デバイスポスチャサービスが誤った証明書を評価する可能性があります。サービスが特定のポリシーの正確な証明書を識別できるようにするには、 オプションを明示的に有効にする必要があります。詳細については、「デバイス証明書チェックのスキャンを構成する」を参照してください。
-
エンドデバイスのEPAクライアントは、管理者権限でインストールする必要があります。
注:-
「Multi-Value Non Numeric Registry」スキャンを使用すると、管理者はデバイスが管理対象か非管理対象かを判断できます。これは、いくつかのレジストリキー値を評価することによって実現されます。
-
ネットワークロケーションチェックのポリシー規則を作成する際、Device Postureサービスコンソールから直接ネットワークロケーションを追加できます。ただし、ネットワークロケーションを変更するには、Citrix Cloudのネットワークロケーション設定を使用する必要があります。
-
-
デバイスポスチャの構成(/en-us/device-posture/media/device-posture-configuration1.png)
-
-
準拠
-
非準拠
-
アクセス拒否
-
-
ポリシーの名前を入力します。
-
-
1から100までの値を入力できます。拒否ポリシーをより高い優先度で構成し、次に非準拠、最後に準拠とすることをお勧めします。
-
値が小さい優先度が最も高くなります。
-
有効になっているポリシーのみが優先度に基づいて評価されます。
-
-
作成をクリックします。デバイスポスチャの構成(/en-us/device-posture/media/device-posture-configuration2.png)
重要：
デバイスポスチャを使用してコンテキストアクセス（スマートアクセス）を構成する
デバイスポスチャの検証後、デバイスはログインを許可され、準拠または非準拠として分類されます。この情報は、Citrix DaaSサービスおよびCitrix Secure Private Access™サービスにタグとして利用可能であり、デバイスポスチャに基づいてコンテキストアクセスを提供するために使用されます。したがって、Citrix DaaSとCitrix Secure Private Accessは、デバイスポスチャタグを使用してアクセス制御を適用するように構成する必要があります。
デバイスポスチャによるCitrix DaaSの構成
DaaSリソースへのアクセスを制限するには、アクセス制限を適用する必要があるデリバリーグループを指定し、デバイスポスチャタグを使用してアクセス制御制限を構成できます。
前提条件:
アダプティブアクセス機能が有効になっていることを確認します（Citrix Workspace > アクセス > アダプティブアクセス）。詳細については、「アダプティブアクセス機能を有効にする」を参照してください。
-
Citrix Cloudにサインインします。
-
DaaSタイルで、管理をクリックします。
-
左側のメニューからデリバリーグループセクションに移動します。
-
デバイスポスチャに基づいてアクセス制御を構成するデリバリーグループを選択し、編集をクリックします。
-
デリバリーグループの編集ページで、アクセスポリシーをクリックします。
-
Citrix Gateway接続行の編集アイコンをクリックして、ゲートウェイ接続ポリシーを編集します。
-
ポリシーの編集ページで、次の条件を満たす接続を選択します。
-
いずれかに一致を選択し、条件の追加をクリックします。
-
「ネットワークロケーションの構成」で構成したすべてのロケーションタグの基準を追加します。「Filter」に「Workspace」と入力し、「Value」に「COMPLIANT」または「NON-COMPLIANT」と入力します。
注:デバイス分類タグの構文は、以前にキャプチャしたとおり、すべて大文字で入力する必要があります (COMPLIANT および NON-COMPLIANT)。そうしないと、デバイスポスチャポリシーは意図したとおりに機能しません。デバイス分類タグに加えて、デバイスポスチャサービスは、デバイスに関連付けられたオペレーティングシステムタグとアクセスPポリシータグも返します。オペレーティングシステムタグとアクセスPポリシータグは、大文字でのみ入力する必要があります。-
DEVICE_TYPE_WINDOWS
-
DEVICE_TYPE_MAC
-
正確なポリシー名 (大文字)
-
デバイスポスチャを使用したCitrix Secure Private Access の構成
Secure Private Access リソースへのアクセスを制限するには、アクセス制限を適用する必要があるアプリケーションを選択し、デバイスポスチャタグを使用してアクセス制御制限を構成できます。
-
Citrix Cloudにサインインします。
-
Secure Private Access タイルで、「管理」をクリックします。
-
左側のナビゲーションで「アクセスPポリシー」をクリックし、その後「ポリシーの作成」をクリックします。
-
ポリシー名とポリシーの説明を入力します。
-
「アプリケーション」で、このポリシーを適用する必要があるアプリケーションまたはアプリケーションセットを選択します。
-
「ルールの作成」をクリックして、ポリシーのルールを作成します。
-
ルール名とルールの簡単な説明を入力し、その後「次へ」をクリックします。
-
ユーザーの条件を選択します。ユーザー条件は、ユーザーがアプリケーションにアクセスすることを許可するために満たすべき必須条件です。
-
+ をクリックして、デバイスポスチャ条件を追加します。
-
ドロップダウンメニューから デバイスポスチャチェック と論理式を選択します。
-
カスタムタグに次のいずれかの値を入力します。
-
Compliant - 準拠デバイスの場合
-
Non-Compliant - 非準拠デバイスの場合
注:タグは、以前にキャプチャされたとおりに、大文字で入力する必要があります（Compliant および Non-Compliant）。そうしないと、デバイスポスチャポリシーは意図したとおりに機能しません。 -
-
次へをクリックします。
-
条件評価に基づいて適用する必要があるアクションを選択し、次へ をクリックします。概要ページにポリシーの詳細が表示されます。
-
詳細を確認し、完了 をクリックします。アクセスポリシーの作成に関する詳細については、「複数のルールを持つアクセスポリシーを構成する」を参照してください。
注:
アクセスポリシーで準拠または非準拠としてタグ付けされていないSecure Private Accessアプリケーションは、デフォルトのアプリケーションとして扱われ、デバイスポスチャに関係なくすべてのエンドポイントでアクセス可能です。
デバイスポスチャポリシーを編集する
構成されたデバイスポスチャポリシーは、デバイススキャン ページの特定のプラットフォームの下に一覧表示されます。このページから編集したいポリシーを検索できます。このページからポリシーを有効化、無効化、または削除することもできます。
デバイスポスチャポリシー1を編集(/en-us/device-posture/media/device-posture-edit-policy.png)