Device Posture サービスと Chrome Enterprise デバイス信頼コネクタの統合

最終公開日 : Oct 24, 2026
Device Posture サービスは、Chrome Enterprise デバイス信頼コネクタと統合されています。この統合により、Citrix® 管理者はデバイスのポスチャ結果を Google Workspace と共有し、Chrome が管理対象デバイスのポスチャに基づいてコンテキストアウェアアクセスおよびデータ損失防止 (DLP) ポリシーを適用できるようになります。
Citrix が共有するポスチャシグナルは、Chrome によって以下のアクセス決定のために利用されます。
  • 管理対象の Chrome ブラウザ
  • 管理対象の Chrome プロファイル
Chrome がサードパーティコネクタから受信できるシグナルのリストについては、Google のエンドポイント検証ドキュメントを参照してください。
注:
Chrome Enterprise デバイス信頼コネクタとの統合は、Device Posture サービスがグローバルモードの場合にのみサポートされます。

サポートされるプラットフォームと展開

項目 サポート
サポートされるプラットフォーム EPA クライアントバージョン 26.5.1.7 以降の Windows
展開 Citrix Enterprise Premium を使用した Secure Private Access サービス
Secure Private Access ハイブリッド

前提条件

  • Device Posture サービスのエンタイトルメントがあり、構成されている Citrix Cloud テナント。
  • Google Workspace テナントと、Chrome Enterprise Premium (CEP) ライセンス、および Google 管理コンソールへのスーパー管理者権限。
  • Chrome Enterprise Premium が顧客向けに展開されていること。
  • Google 管理コンソールで コンテキストアウェアアクセス のアクセスレベルが ON に設定されていること。詳細については、推奨アクセスレベルの適用 を参照してください。

構成

Citrix Device Posture サービスと Chrome Enterprise Device Trust Connector の統合には、次の大まかな手順が含まれます。
  1. Chrome Enterprise Premium と Device Posture サービスを構成する
  2. Citrix Device Posture サービスを Chrome デバイス信頼コネクタと統合する
  3. Citrix シグナルに対するコンテキストアウェアなルールを定義する

Chrome Enterprise Premium と Device Posture サービスを構成する

Chrome と統合する前に、以下の構成が完了していることを確認してください。
  1. 管理対象の Windows エンドポイントに Chrome Enterprise Premium (CEP) を展開して構成します。詳細については、Google Chrome Enterprise Premium との統合 を参照してください。
  2. Chrome と共有する予定のシグナル (OS バージョン、ウイルス対策の状態、地理的または承認された国、カスタムチェックなど) を生成する Device Posture サービスポリシーを構成します。詳細については、Device Posture ポリシーの構成 を参照してください。
  3. Google Workspace テナントに Chrome Enterprise Premium (CEP) ライセンスがあることを確認します。これは、Device Trust Connector とコンテキストアウェアアクセスルールを使用するために必要です。詳細については、ライセンス、アプリのバージョン、拡張機能 を参照してください。

Citrix Device Posture サービスを Chrome デバイス信頼コネクタと統合する

Citrix Device Posture サービスを Chrome デバイス信頼コネクタと統合するには、Google 管理コンソールでサードパーティコネクタを有効にする必要があります。
  1. スーパー管理者として Google 管理コンソールにサインインします。
  2. デバイス > モバイルとエンドポイント > 設定 > サードパーティ統合に移動します。
    統合
  3. パートナーリストでCitrixを見つけて、管理をクリックします。
  4. 画面の指示に従って、Citrix CloudテナントとGoogle Workspace間の接続を承認します。
    接続を承認
    ハンドシェイクが成功すると、Citrixの統合ステータスが接続済みに変わります。
    接続ステータス
詳細については、「サードパーティパートナー統合のセットアップ」を参照してください。

Citrixシグナル用のコンテキストアウェアなルールを定義する

Google WorkspaceのコンテキストアウェアなアクセスおよびDLPルールは、Common Expression Language (CEL) を使用して記述されます。Citrixのポスチャデータは、device.vendors["Citrix"].data[...]名前空間の下で公開されます。
詳細については、以下のトピックを参照してください。

Citrixシグナルキー

次のキーは、Citrix Device PostureサービスによってChromeデバイス信頼コネクタに公開されます。
キー 説明 例の値
OVERALL_OUTCOME エンドポイントに対してDevice Postureサービスから返される集計ポスチャ結果。 準拠、非準拠、拒否
\^ \^ 注: 値は大文字と小文字を区別します。上記のとおり正確に入力してください。
OVERALL_OUTCOME_CONTEXT_NAME 全体的な結果を導き出したDevice Postureサービスのポリシーまたはコンテキストの名前。 AUTHORIZED_COUNTRY, AV_STATUS, OS_VERSION, Google-DTC-Demo-Deny, (カスタムポリシー名)
シトリックス-デバイスID Citrix Device Postureサービスに登録されているエンドポイントの一意の識別子。 6c813458-c27b-4299-87c6-55832a95ae7e
Citrix-トランザクションID シグナルを生成したポスチャ評価トランザクションの一意の識別子。 75b1e3f6-4224-484a-8c47-9a35c4e5eabd
注:
  • 正確なコンテキスト名は、ステップ 1でDevice Postureサービスに定義したポリシーによって異なります。
  • Citrix-DeviceIdとCitrix-TransactionIdは相関識別子です。これらはポリシー決定での使用を意図していません。Citrix Device Postureダッシュボードでトラブルシューティングを行う際に、特定の結果を生成した正確なスキャンを検索するために使用します。

Citrix 向け 共通式言語 (CEL) の例

例 1 — Citrix が非準拠を報告した場合にアクセスをブロックする:
Citrix の全体的な結果が非準拠である場合、Google Workspace アプリへのアクセスを拒否します。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant"
この式を、アクションがブロックに設定されたコンテキストアウェアアクセスレベルで使用します。
例 2 — 非準拠が不正な国によって引き起こされた場合にのみブロックする:
結果をコンテキスト名と組み合わせて、ルールを地理的違反に限定します。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant" && device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "AUTHORIZED_COUNTRY"
例 3 — Citrix が準拠を報告した場合にのみアクセスを許可する:
Device Posture サービスが明示的に準拠結果を返す場合にのみアクセスを許可します (フェイルクローズ)。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Compliant"
例 4 — DLP: 非準拠デバイスでのファイルダウンロードを防止する:
Google Drive の DLP ルールで、非準拠エンドポイントからのデータ流出をブロックするために、ダウンロード/印刷/コピー トリガーに次の条件を付加します。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant"
例 5 — 複数の Citrix コンテキストを持つ階層型ポリシー:
アンチウイルスまたは OS バージョンのいずれかでポスチャが失敗した場合はブロックしますが、その他の非準拠の理由は、別の制限の少ないルールで処理できるようにします。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Non-Compliant" && ( device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "AV_STATUS" || device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "OS_VERSION" )
例 6 — 指定された Device Posture サービスポリシーからの明示的な拒否結果をブロックする:
特定のデバイスポスチャサービスポリシーによって生成された正確な拒否結果と一致させます (例: 概念実証中に使用されたGoogle-DTC-Demo-Denyポリシー):
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Deny" && device.vendors["Citrix"].data["OVERALL_OUTCOME_CONTEXT_NAME"] == "Google-DTC-Demo-Deny"
例 7 — CitrixポスチャとGoogleネイティブシグナルを組み合わせる:
Citrixシグナルは、組み込みのChrome / エンドポイント検証属性と組み合わせることができます。
device.vendors["Citrix"].data["OVERALL_OUTCOME"] == "Compliant" && device.encryption_status == ENCRYPTED && device.os_version.major >= 10

ルールを適用するには

  1. Google管理コンソールで、セキュリティ > アクセスとデータ制御 > コンテキストアウェアアクセス (または DLP のデータ保護) に移動します。
  2. アクセスレベル (または DLP ルール) を作成し、CEL式を詳細 / 条件エディターに貼り付けます。
    DPS-DTCコネクタのアクセスレベル
  3. アクセスレベルを対象のGoogle Workspaceアプリ (Drive、Gmailなど) および関連する組織部門またはグループに割り当てます。
  4. 保存して展開します。伝播に数分かかります。

統合を検証する

  1. CEPを実行している管理対象のWindowsエンドポイントから、意図的にデバイスポスチャサービスのスキャンを失敗させます (例: 許可されていない国からサインインするか、アンチウイルスを無効にする)。
  2. そのエンドポイント上のChromeブラウザまたはプロファイルから、保護されたGoogle Workspaceアプリへのアクセスを試みます。
  3. ChromeがCELルールで定義されたアクション (ブロック、警告、許可) を適用することを確認します。
  4. レポート > 監査と調査 > アクセスの透明性 / ルールログイベント の監査ログを確認し、Citrixシグナルが評価されたことを確認します。

トラブルシューティング

症状 可能性のある原因 解決策
統合ステータスが「未接続」のままになる OAuth/管理者による同意が完了していない スーパー管理者アカウントでステップ2を再実行する
ルールが一致しない CELキー名の入力ミス、またはDevice Postureサービスでポリシーが有効になっていない 管理コンソールのルールログイベントでキーを確認します。Device Postureサービスでポリシーがアクティブであることを確認します。
エンドポイントでシグナルが欠落している CEPがインストールされていない、またはユーザーがサインインしていない エンドポイントでのCEP展開とDevice Postureサービスへの登録を確認します。
予期しない非準拠または拒否 別のDevice Postureサービスポリシーが失敗している 失敗しているチェックを特定するためにOVERALL_OUTCOME_CONTEXT_NAMEを検査します。
注:
特定のアクセス決定を調査する必要がある場合は、Chrome / Workspace監査ログからCitrix-DeviceIdとCitrix-TransactionIdをキャプチャし、Citrix Device Postureダッシュボードでそれらを検索して、完全なスキャン結果、ポリシーヒット、およびタイムスタンプを表示します。

トラブルシューティングのための Citrix-DeviceId と Citrix-TransactionId の使用

Chrome のアクセスまたは DLP の決定を調査する必要がある場合:
  1. Google 管理コンソール > レポート > 監査と調査 > ルールログイベント (またはアクセス透過性ログ) を開き、関連するイベントを見つけます。
  2. イベントペイロードで報告された Citrix-DeviceId と Citrix-TransactionId の値をコピーします。
  3. Citrix Cloud > Device Posture > ダッシュボード にサインインします。
  4. デバイス ID で検索して、エンドポイントの登録、OS、および最近のスキャン履歴を表示します。
  5. トランザクション ID で検索して、正確なスキャンインスタンスを表示します。これには、評価されたポリシー、収集されたシグナル、および Chrome に送信された結果の OVERALL_OUTCOME と OVERALL_OUTCOME_CONTEXT_NAME が含まれます。
この関連付けにより、予期しない Chrome の決定が Citrix のポスチャ結果、CEL 式、または Workspace ポリシーバインディングのいずれによって引き起こされたかを確認できます。

制限事項

ホストあたり最大 10 個の Google リソース ID を、Citrix Device Posture サービスから Chrome デバイス信頼コネクタにプッシュできます。
ホストあたり 10 個を超える Google リソース ID にデバイスポスチャシグナルをプッシュするには、Citrix サポートに連絡して拡張をリクエストしてください。