セキュリティとユーザーエクスペリエンス

最終公開日 : Oct 21, 2026
セキュリティはどの組織にとっても重要ですが、セキュリティとユーザーエクスペリエンスのバランスを取る必要があります。たとえば、ユーザーが使いにくい、非常に安全な環境になっている場合があります。あるいは、環境が非常にユーザーフレンドリーであるため、アクセス制御がそれほど厳しくない場合もあります。この仮想ハンドブックの他のセクションでは、セキュリティ機能について詳しく説明しています。この記事の目的は、一般的なセキュリティ上の懸念事項と、XenMobileで利用できるセキュリティオプションの概要を説明することです。
各ユースケースで留意すべき重要な考慮事項を以下に示します。
  • 特定のアプリ、デバイス全体、またはその両方を保護しますか？
  • ユーザーにどのようにIDを認証させたいですか？LDAP、証明書ベースの認証、またはその両方の組み合わせを使用する予定ですか？
  • ユーザーセッションのタイムアウトをどのように処理しますか？バックグラウンドサービス、Citrix ADC、およびオフライン中にアプリにアクセスできる場合のタイムアウト値は異なることに注意してください。
  • ユーザーにデバイスレベルのパスコード、アプリレベルのパスコード、またはその両方を設定させたいですか？ユーザーに何回のログオン試行を許可しますか？MAMで実装された追加のアプリごとの認証要件がユーザーエクスペリエンスにどのように影響するかを考慮してください。
  • ユーザーにどのような他の制限を課したいですか？ユーザーにSiriなどのクラウドサービスへのアクセスを許可しますか？提供する各アプリで、ユーザーは何ができて何ができませんか？オフィス内で携帯電話のデータプランが消費されるのを防ぐために、企業Wi-Fiポリシーを展開しますか？
Related information
XenMobile® の展開

アプリとデバイス

最初に考慮すべきことの1つは、モバイルアプリ管理（MAM）を使用して特定のアプリのみを保護するかどうかです。あるいは、モバイルデバイス管理（MDM）を使用してデバイス全体も管理したいかどうかです。一般的に、デバイスレベルの制御が必要ない場合は、特に組織がBring Your Own Device（BYOD）をサポートしている場合、モバイルアプリのみを管理します。
XenMobileが管理しないデバイスを持つユーザーは、アプリストアを通じてアプリをインストールできます。選択的または完全なワイプなどのデバイスレベルの制御の代わりに、アプリポリシーを通じてアプリへのアクセスを制御します。設定した値に応じて、ポリシーはデバイスが定期的にXenMobileをチェックし、アプリが引き続き実行を許可されていることを確認することを要求します。
MDMを使用すると、デバイス上のすべてのソフトウェアのインベントリを取得する機能を含め、デバイス全体を保護できます。デバイスがジェイルブレイクされている、ルート化されている、または安全でないソフトウェアがインストールされている場合、登録を防止できます。しかし、このレベルの制御を行うと、ユーザーは自分の個人デバイスに対するそのような多くの権限を許可することに警戒心を抱き、登録率が低下する可能性があります。

認証

認証は、ユーザーエクスペリエンスの大部分が行われる場所です。組織がすでにActive Directoryを実行している場合、Active Directoryを使用することが、ユーザーがシステムにアクセスするための最も簡単な方法です。
認証ユーザーエクスペリエンスのもう1つの重要な部分はタイムアウトです。高セキュリティ環境では、ユーザーがシステムにアクセスするたびにログオンさせることができますが、そのオプションはすべての組織にとって理想的ではありません。たとえば、ユーザーがメールにアクセスするたびに資格情報を入力させることは、ユーザーエクスペリエンスに大きな影響を与える可能性があります。

ユーザーエントロピー

セキュリティを強化するために、ユーザーエントロピーと呼ばれる機能を有効にできます。Citrix Secure Hub™やその他のいくつかのアプリは、すべてが適切に機能するように、パスワード、PIN、証明書などの共通データを共有することがよくあります。この情報は、Secure Hub内の汎用ボールトに保存されます。Encrypt Secretsオプションを通じてユーザーエントロピーを有効にすると、XenMobileはUserEntropyという新しいボールトを作成します。XenMobileは、汎用ボールトから新しいボールトに情報を移動します。Secure Hubまたは別のアプリがデータにアクセスするには、ユーザーはパスワードまたはPINを入力する必要があります。
ユーザーエントロピーを有効にすると、複数の場所で認証レイヤーが追加されます。その結果、アプリがUserEntropyボールト内の証明書を含む共有データへのアクセスを要求するたびに、ユーザーはパスワードまたはPINを入力する必要があります。
ユーザーエントロピーの詳細については、XenMobileドキュメントのMDX Toolkitについてを参照してください。ユーザーエントロピーを有効にするには、関連設定をクライアントプロパティで確認できます。

ポリシー

MDXポリシーとMDMポリシーはどちらも組織に大きな柔軟性をもたらしますが、ユーザーを制限することもできます。たとえば、機密データをさまざまな場所に送信する可能性のあるSiriやiCloudなどのクラウドアプリケーションへのアクセスをブロックしたい場合があります。これらのサービスへのアクセスをブロックするポリシーを設定できますが、そのようなポリシーには意図しない結果が生じる可能性があることに留意してください。iOSキーボードマイクもクラウドアクセスに依存しており、その機能へのアクセスもブロックする可能性があります。

アプリ

エンタープライズモビリティ管理 (EMM) は、モバイルデバイス管理 (MDM) とモバイルアプリケーション管理 (MAM) に分かれます。MDMが組織によるモバイルデバイスのセキュリティ保護と制御を可能にする一方、MAMはアプリケーションの配信と管理を容易にします。BYODの採用が増加するにつれて、通常、アプリケーションの配信、ソフトウェアライセンス、構成、およびアプリケーションライフサイクル管理を支援するためにMAMソリューションを実装できます。
XenMobileを使用すると、特定のMAMポリシーとVPN設定を構成して、データ漏洩やその他のセキュリティ脅威を防ぐことで、これらのアプリをさらに保護できます。XenMobileは、組織に以下のいずれかのソリューションを展開する柔軟性を提供します。
  • MAM専用環境
  • MDM専用環境
  • MDMとMAMの両方の機能を同じプラットフォームで提供する統合XenMobile Enterprise環境
モバイルデバイスにアプリを配信する機能に加えて、XenMobileはMDXテクノロジーを介したアプリのコンテナ化を提供します。MDXは、プラットフォームによって提供されるデバイスレベルの暗号化とは別の暗号化によってアプリを保護します。アプリをワイプまたはロックでき、アプリはきめ細かなポリシーベースの制御の対象となります。独立系ソフトウェアベンダー (ISV) は、Mobile Apps SDKを使用してこれらの制御を適用できます。
企業環境では、ユーザーは職務を支援するためにさまざまなモバイルアプリを使用します。アプリには、パブリックアプリストアのアプリ、社内開発アプリ、ネイティブアプリが含まれます。XenMobileはこれらのアプリを次のように分類します。
パブリックアプリ: これらのアプリには、Apple App StoreやGoogle Playなどのパブリックアプリストアで利用可能な無料または有料のアプリが含まれます。組織外のベンダーは、多くの場合、パブリックアプリストアでアプリを提供しています。このオプションにより、顧客はインターネットから直接アプリをダウンロードできます。ユーザーのニーズに応じて、組織内で多数のパブリックアプリを使用する場合があります。このようなアプリの例には、GoToMeeting、Salesforce、EpicCareアプリなどがあります。
Citrixは、パブリックアプリストアからアプリバイナリを直接ダウンロードし、それをMDX Toolkitでラップしてエンタープライズ配布することをサポートしていません。サードパーティ製アプリケーションをMDX対応にするには、アプリベンダーに連絡してアプリバイナリを入手してください。バイナリはMDX Toolkitを使用してラップするか、MAM SDKをバイナリと統合することができます。
社内アプリ: 多くの組織には、特定の機能を提供し、組織内で独自に開発および配布されるアプリを作成する社内開発者がいます。特定のケースでは、一部の組織はISVが提供するアプリも持っている場合があります。そのようなアプリはネイティブアプリとして展開することも、XenMobileなどのMAMソリューションを使用してコンテナ化することもできます。たとえば、医療機関は、医師がモバイルデバイスで患者情報を表示できる社内アプリを作成できます。組織は、患者情報を保護し、バックエンドの患者データベースサーバーへのVPNアクセスを可能にするために、そのアプリをMAM SDK対応にするか、MDMでラップすることができます。
WebアプリおよびSaaSアプリ: これらのアプリには、内部ネットワーク（Webアプリ）またはパブリックネットワーク（SaaS）からアクセスするアプリが含まれます。XenMobileでは、アプリコネクタのリストを使用してカスタムのWebアプリおよびSaaSアプリを作成することもできます。これらのアプリコネクタは、既存のWebアプリへのシングルサインオン（SSO）を容易にすることができます。詳細については、「アプリコネクタの種類」を参照してください。たとえば、Security Assertion Markup Language (SAML) に基づくSSOのために、Google Apps SAMLをGoogle Appsに使用できます。
モバイル生産性アプリ: XenMobileライセンスに含まれるCitrix開発のアプリ。詳細については、「モバイル生産性アプリについて」を参照してください。Citrixは、ISVがMobile Apps SDKを使用して開発するその他のビジネス対応アプリも提供しています。
HDXアプリ: StoreFrontで公開するWindowsホスト型アプリ。Citrix Virtual Apps and Desktops™環境がある場合、アプリをXenMobileと統合して、登録済みユーザーがアプリを利用できるようにすることができます。
XenMobileで展開および管理するモバイルアプリの種類によって、基盤となる構成とアーキテクチャは異なります。たとえば、異なる権限レベルを持つ複数のユーザーグループが単一のアプリを使用する場合、アプリの2つのバージョンを展開するために個別のデリバリーグループが必要になることがあります。さらに、ユーザーデバイスでのポリシーの不一致を避けるために、ユーザーグループのメンバーシップが相互に排他的であることを確認する必要があります。
Appleボリューム購入を使用してiOSアプリケーションのライセンスを管理することもできます。このオプションでは、Appleボリューム購入に登録し、XenMobileコンソールでXenMobileボリューム購入設定を構成して、ボリューム購入ライセンスでアプリを配布する必要があります。このようなさまざまなユースケースがあるため、XenMobile環境を実装する前にMAM戦略を評価し、計画することが重要です。次の項目を定義することからMAM戦略の計画を開始できます。
アプリの種類: サポートする予定のさまざまな種類のアプリをリストアップし、分類します。例：パブリック、ネイティブ、モバイル生産性アプリ、Web、社内、ISVアプリなど。また、iOSやAndroidなどの異なるデバイスプラットフォーム向けにアプリを分類します。この分類は、各種類のアプリに必要なXenMobile設定を調整するのに役立ちます。たとえば、特定のアプリはラッピングの対象とならない場合や、他のアプリとの対話のために特別なAPIを有効にするためにMobile Apps SDKを必要とする場合があります。
ネットワーク要件: 特定のネットワークアクセス要件を持つアプリを、適切な設定で構成します。たとえば、特定のアプリはVPNを介して内部ネットワークへのアクセスを必要とする場合があります。一部のアプリは、DMZを介してアクセスをルーティングするためにインターネットアクセスを必要とする場合があります。そのようなアプリが必要なネットワークに接続できるようにするには、それに応じてさまざまな設定を構成する必要があります。アプリごとのネットワーク要件を定義することは、アーキテクチャ上の決定を早期に確定するのに役立ち、全体的な実装プロセスを合理化します。
セキュリティ要件: 個々のアプリまたはすべてのアプリに適用されるセキュリティ要件を定義することが重要です。その計画により、XenMobile Serverをインストールする際に適切な構成を作成できます。MDXポリシーなどの設定は個々のアプリに適用されますが、セッションおよび認証設定はすべてのアプリに適用されます。一部のアプリには、展開を簡素化するために事前に概説できる特定の暗号化、コンテナ化、ラッピング、暗号化、認証、ジオフェンシング、パスコード、またはデータ共有の要件がある場合があります。
展開要件: 公開されたアプリを準拠ユーザーのみがダウンロードできるように、ポリシーベースの展開を使用したい場合があります。たとえば、特定のアプリで次のいずれかを要求したい場合があります。
  • デバイスプラットフォームベースの暗号化が有効になっている
  • デバイスが管理されている
  • デバイスが最小オペレーティングシステムバージョンを満たしている
  • 特定のアプリは企業ユーザーのみが利用できる
企業ユーザーのみが利用できる特定のアプリが必要な場合もあります。適切な展開ルールやアクションを設定できるよう、そのような要件を事前に明確にしてください。
ライセンス要件: アプリ関連のライセンス要件を記録しておきます。これらの記録は、ライセンスの使用状況を効果的に管理し、ライセンスを容易にするためにXenMobileで特定の機能を構成するかどうかを決定するのに役立ちます。たとえば、無料または有料のiOSアプリを展開する場合、AppleはユーザーにiTunesアカウントへのサインインを要求することで、アプリにライセンス要件を適用します。これらのアプリをXenMobile経由で配布および管理するには、Appleのボリューム購入に登録できます。ボリューム購入により、ユーザーはiTunesアカウントにサインインすることなくアプリをダウンロードできます。また、Samsung SAFEやSamsung Knoxなどのツールには特別なライセンス要件があり、これらの機能を展開する前に完了する必要があります。
許可リストとブロックリストの要件: ユーザーが一部のアプリをインストールしたり使用したりするのを防ぎたいと思うでしょう。デバイスを非準拠にするアプリの許可リストを作成します。次に、デバイスが非準拠になったときにトリガーされるポリシーを設定します。一方、あるアプリは使用が許容されるものの、何らかの理由でブロックリストに該当する場合があります。その場合、そのアプリを許可リストに追加し、使用は許容されるが必須ではないことを示すことができます。また、新しいデバイスにプリインストールされているアプリには、オペレーティングシステムの一部ではない一般的なアプリが含まれている場合があることにも注意してください。これらのアプリは、ブロックリスト戦略と競合する可能性があります。

アプリのユースケース

ある医療機関は、モバイルアプリのMAMソリューションとしてXenMobileを展開する予定です。モバイルアプリは、企業ユーザーとBYODユーザーに提供されます。IT部門は、以下のアプリを提供および管理することを決定しました。
  • モバイル生産性アプリ: Citrixが提供するiOSおよびAndroidアプリ。
  • Secure Mail: メール、カレンダー、連絡先アプリ。
  • Secure Web: インターネットおよびイントラネットサイトへのアクセスを提供するセキュアなWebブラウザ。
  • Citrix Files: 共有データにアクセスし、ファイルを共有、同期、編集するためのアプリ。

パブリックアプリストア

  • Secure Hub: すべてのモバイルデバイスがXenMobileと通信するために使用するクライアント。IT部門は、Secure Hubクライアントを介して、セキュリティ設定、構成、およびモバイルアプリをモバイルデバイスにプッシュします。AndroidおよびiOSデバイスは、Secure Hubを介してXenMobileに登録します。
  • Citrix Receiver™: ユーザーがモバイルデバイスでVirtual Apps and Desktopsによってホストされているアプリケーションを開くことを可能にするモバイルアプリ。
  • GoToMeeting: ユーザーがインターネットを介して他のコンピューターユーザー、顧客、クライアント、または同僚とリアルタイムで会議を行うことを可能にする、オンライン会議、デスクトップ共有、ビデオ会議クライアント。
  • Salesforce1: Salesforce1は、ユーザーがモバイルデバイスからSalesforceにアクセスできるようにし、すべてのChatter、CRM、カスタムアプリ、およびビジネスプロセスを、あらゆるSalesforceユーザーにとって統一されたエクスペリエンスにまとめます。
  • RSA SecurID: 2要素認証用のソフトウェアベースのトークン。
  • EpicCareアプリ: これらのアプリは、医療従事者に患者のカルテ、患者リスト、スケジュール、メッセージングへの安全でポータブルなアクセスを提供します。
    • Haiku: iPhoneおよびAndroidスマートフォン向けのモバイルアプリ。
    • Canto: iPad向けのモバイルアプリ
    • Rover: iPhoneおよびiPad向けのモバイルアプリ。
HDX: これらのアプリは、Citrix Virtual Apps™およびDesktopsを介して配信されます。
  • Epic Hyperspace: 電子カルテ管理用のEpicクライアントアプリケーション。

ISV

  • Vocera: HIPAA準拠のVoIPおよびメッセージングモバイルアプリで、iPhoneおよびAndroidスマートフォンを介して、いつでもどこでもVocera音声テクノロジーの利点を拡張します。

社内アプリ

  • HCMail: 暗号化されたメッセージの作成、社内メールサーバーのアドレス帳の検索、および電子メールクライアントを使用して連絡先に暗号化されたメッセージを送信するのに役立つアプリ。

社内Webアプリ

  • PatientRounding: さまざまな部署が患者の健康情報を記録するために使用するWebアプリケーション。
  • Outlook Web Access: Webブラウザを介した電子メールへのアクセスを可能にします。
  • SharePoint: 組織全体のファイルおよびデータ共有に使用されます。
次の表に、MAM構成に必要な基本情報を示します。
アプリ名 アプリの種類 MDXラッピング iOS アンドロイド
セキュアメール XenMobileアプリ バージョン10.4.1以降はいいえ はい はい
セキュアウェブ XenMobileアプリ バージョン10.4.1以降はいいえ はい はい
シトリックス ファイルズ XenMobile App バージョン10.4.1以降ではいいえ はい はい
セキュア ハブ 公開アプリ NA はい はい
シトリックス レシーバー 公開アプリ NA はい はい
GoToMeeting パブリックアプリ NA はい はい
セールスフォース1 パブリックアプリ NA はい はい
RSA SecurID パブリックアプリ NA はい はい
エピック ハイク パブリックアプリ NA はい はい
エピック カント パブリックアプリ NA はい いいえ
エピック ローバー パブリックアプリ NA はい いいえ
エピック ハイパースペース HDX™ アプリ 該当なし はい はい
ボセラ ISV アプリ はい はい はい
エイチシーメール 社内アプリ はい はい はい
PatientRounding Webアプリ N/A はい はい
アウトルック ウェブ アクセス Webアプリ N/A はい はい
SharePoint Webアプリ N/A はい はい
以下の表は、XenMobileでMAMポリシーを構成する際に参照できる特定の要件を示しています。
アプリ名 VPN必須 インタラクション インタラクション デバイスプラットフォームベースの暗号化
(コンテナ外のアプリとの連携) (コンテナ外のアプリから)
セキュアメール Y 選択的に許可 許可 不要
セキュアウェブ Y 許可 許可 不要
シトリックス ファイルズ Y 許可 許可 不要
セキュアハブ Y N/A N/A N/A
シトリックス レシーバー Y N/A N/A N/A
GoToMeeting N N/A N/A N/A
セールスフォース1 N N/A N/A N/A
RSA SecurID N 該当なし 該当なし 該当なし
エピック ハイク Y 該当なし 該当なし 該当なし
エピック カント Y 該当なし 該当なし 該当なし
エピック ローバー Y 該当なし 該当なし 該当なし
エピック ハイパースペース はい 該当なし 該当なし 該当なし
ボセラ はい ブロック済み ブロック済み 不要
HCメール はい ブロック済み ブロック済み 必須
PatientRounding Y N/A N/A 必須
アウトルック ウェブ アクセス Y N/A N/A 不要
SharePoint Y N/A N/A 不要
アプリ名 プロキシフィルタリング ライセンス ジオフェンシング モバイルアプリSDK 最小オペレーティングシステムバージョン
セキュアメール 必須 N/A 選択的に必須 N/A 適用済み
セキュアウェブ 必須 N/A 不要 N/A 適用済み
シトリックス ファイル 必須 N/A 不要 N/A 適用済み
セキュアハブ 不要 ボリューム購入 不要 該当なし 適用されません
シトリックス レシーバー 不要 ボリューム購入 不要 該当なし 適用されません
GoToMeeting 不要 ボリューム購入 不要 該当なし 適用されません
セールスフォース1 不要 ボリューム購入 不要 該当なし 適用されません
RSA SecurID 不要 ボリューム購入 不要 該当なし 適用されません
エピック ハイク 不要 ボリューム購入 不要 該当なし 適用されません
エピック カント 不要 ボリューム購入 不要 該当なし 適用されません
エピック ローバー 不要 ボリューム購入 不要 該当なし 適用されません
エピック ハイパースペース 不要 N/A 不要 N/A 強制なし
ボセラ 必須 N/A 必須 必須 強制
エイチシーメール 必須 N/A 必須 必須 適用済み
PatientRound-ing 必須 該当なし 不要 該当なし 適用なし
Outlook Web アクセス 必須 該当なし 不要 該当なし 適用なし
SharePoint 必須 N/A 不要 N/A 適用外

ユーザーコミュニティ

各組織は、さまざまな機能的役割を担う多様なユーザーコミュニティで構成されています。これらのユーザーコミュニティは、ユーザーのモバイルデバイスを通じて提供されるさまざまなリソースを使用して、異なるタスクやオフィス機能を実行します。ユーザーは、提供されたモバイルデバイスを使用して自宅や遠隔地のオフィスで作業する場合があります。あるいは、ユーザーは個人のモバイルデバイスを使用する場合があります。これにより、特定のセキュリティコンプライアンス規則の対象となるツールにアクセスできます。
より多くのユーザーコミュニティがモバイルデバイスを使用するにつれて、データ漏洩を防ぎ、セキュリティ制限を適用するために、Enterprise Mobility Management (EMM) が不可欠になります。効率的でより高度なモバイルデバイス管理のために、ユーザーコミュニティを分類できます。そうすることで、ユーザーとリソースのマッピングが簡素化され、適切なセキュリティポリシーが適切なユーザーに適用されるようになります。
次の例は、医療機関のユーザーコミュニティがEMM向けにどのように分類されているかを示しています。

ユーザーコミュニティのユースケース

この医療機関の例では、ネットワークおよび関連会社の従業員やボランティアを含む複数のユーザーにテクノロジーリソースとアクセスを提供しています。この組織は、EMMソリューションを非管理職ユーザーにのみ展開することを選択しました。
この組織のユーザーの役割と機能は、臨床、非臨床、契約社員などのサブグループに分類できます。一部のユーザーは会社のモバイルデバイスを受け取り、他のユーザーは個人のデバイスから限られた会社の情報にアクセスできます。適切なレベルのセキュリティ制限を適用し、データ漏洩を防ぐために、組織は、企業支給またはBYODのいずれであっても、登録された各デバイスを企業ITが管理することを決定しました。また、ユーザーは1つのデバイスしか登録できません。
次のセクションでは、各サブグループの役割と機能の概要を説明します。

臨床

  • 看護師
  • 医師 (内科医、外科医など)
  • 専門医 (栄養士、麻酔科医、放射線科医、循環器科医、腫瘍科医など)
  • 外部医師 (遠隔オフィスで勤務する非従業員の医師および事務員)
  • 在宅医療サービス (患者宅への訪問診療を行う事務員およびモバイルワーカー)
  • 研究専門家 (6つの研究機関で医学的問題の解決策を見つけるための臨床研究を行うナレッジワーカーおよびパワーユーザー)
  • 教育および研修 (教育および研修に携わる看護師、医師、専門家)

非臨床

  • 共有サービス (人事、給与、買掛金、サプライチェーンサービスなど、さまざまなバックオフィス業務を行う事務員)
  • 医師サービス (管理サービス、分析およびビジネスインテリジェンス、ビジネスシステム、クライアントサービス、財務、マネージドケア管理、患者アクセスソリューション、収益サイクルソリューションなど、プロバイダーにさまざまな医療管理、管理サービス、およびビジネスプロセスソリューションを提供する事務員)
  • サポートサービス (福利厚生管理、臨床統合、コミュニケーション、報酬および業績管理、施設および資産サービス、人事テクノロジーシステム、情報サービス、内部監査およびプロセス改善など、さまざまな非臨床業務を行う事務員)
  • 慈善プログラム (慈善プログラムを支援するためにさまざまな業務を行う事務員およびモバイルワーカー)

請負業者

  • 製造元およびベンダーパートナー (サイト間VPNを介してオンサイトおよびリモートで接続し、さまざまな非臨床サポート機能を提供)
上記の情報に基づいて、組織は以下のエンティティを作成しました。XenMobile のデリバリーグループの詳細については、「リソースの展開」を参照してください。

Active Directory 組織単位 (OU) およびグループ

OU = XenMobile Resources の場合:
  • OU = 臨床; グループ =
    • XM-看護師
    • XM-医師
    • XM-専門家
    • XM-外部医師
    • XM-在宅医療サービス
    • XM-研究専門家
    • XM-教育およびトレーニング
  • OU = 非臨床; グループ =
    • XM-共有サービス
    • XM-医師サービス
    • XM-サポートサービス
    • XM-慈善プログラム

XenMobile ローカルユーザーとグループ

グループ = 契約者、ユーザー =
  • ベンダー1
  • ベンダー2
  • ベンダー3
  • … ベンダー10

XenMobile デリバリーグループ

  • 臨床 - 看護師
  • 臨床 - 医師
  • 臨床 - 専門家
  • 臨床 - 外部医師
  • 臨床 - 在宅医療サービス
  • 臨床 - 研究専門家
  • 臨床 - 教育および研修
  • 非臨床 - 共有サービス
  • 非臨床医師サービス
  • 非臨床サポートサービス
  • 非臨床慈善プログラム

デリバリーグループとユーザーグループのマッピング
Active Directory グループ XenMobile デリバリーグループ
XM-看護師 臨床看護師
XM-医師 臨床医師
XM-専門医 臨床専門医
XM-外部医師 臨床外部医師
XM-在宅医療サービス 臨床 - 在宅医療サービス
XM - 研究スペシャリスト 臨床 - 研究スペシャリスト
XM - 教育およびトレーニング 臨床 - 教育およびトレーニング
XM - 共有サービス 非臨床 - 共有サービス
XM - 医師サービス 非臨床 - 医師サービス
XM - サポートサービス 非臨床 - サポートサービス
XM - 慈善プログラム 非臨床 - 慈善プログラム

デリバリーグループとリソースのマッピング

次の表は、このユースケースで各デリバリーグループに割り当てられているリソースを示しています。最初の表はモバイルアプリの割り当てを示し、2番目の表はパブリックアプリ、HDXアプリ、およびデバイス管理リソースを示しています。
XenMobile デリバリーグループ Citrix モバイルアプリ パブリックモバイルアプリ HDX モバイルアプリ
臨床 - 看護師 X
臨床 - 医師
臨床 - 専門医
臨床 - 外部医師 X
臨床 - 在宅医療サービス X
臨床 - 研究専門家 X
臨床 - 教育およびトレーニング X X
非臨床 - 共有サービス X X
非臨床 - 医師サービス X X
非臨床 - サポートサービス X X X
非臨床 - 慈善プログラム X X X
契約社員 X X X
XenMobile デリバリーグループ 公開アプリ: RSA SecurID 公開アプリ: EpicCare Haiku HDX アプリ: Epic Hyperspace パスコードポリシー デバイス制限 自動アクション Wi-Fi ポリシー
臨床看護師 X
臨床 - 医師 X
臨床 - 専門医
臨床 - 外部医師
臨床 - 在宅医療サービス
臨床 - 研究専門家
臨床 - 教育および研修 X X
非臨床 - 共有サービス X X
非臨床 - 医師サービス X X
非臨床サポートサービス X X

注意事項と考慮事項

  • XenMobileは、初期設定時に「All Users」という名前のデフォルトのデリバリーグループを作成します。このデリバリーグループを無効にしない場合、すべてのActive DirectoryユーザーはXenMobileに登録する権利を持ちます。
  • XenMobileは、LDAPサーバーへの動的接続を使用して、Active Directoryユーザーとグループをオンデマンドで同期します。
  • ユーザーがXenMobileにマッピングされていないグループに属している場合、そのユーザーは登録できません。同様に、ユーザーが複数のグループのメンバーである場合、XenMobileはそのユーザーをXenMobileにマッピングされたグループにのみ分類します。
  • MDM登録を必須にするには、XenMobileコンソールのサーバープロパティで「登録必須」オプションをTrueに設定する必要があります。詳細については、「サーバープロパティ」を参照してください。
  • SQL Serverデータベースのdbo.userlistgrpsにあるエントリを削除することで、XenMobileデリバリーグループからユーザーグループを削除できます。 注意： この操作を実行する前に、XenMobileとデータベースのバックアップを作成してください。

XenMobileにおけるデバイスの所有権について

ユーザーのデバイスの所有者に基づいてユーザーをグループ化できます。デバイスの所有権には、企業所有デバイスと、個人所有デバイス (BYOD) としても知られるユーザー所有デバイスが含まれます。BYODデバイスがネットワークに接続する方法は、XenMobileコンソールの2つの場所で制御できます。各リソースタイプの展開ルールと、設定ページのサーバープロパティです。展開ルールの詳細については、XenMobileドキュメントの「展開ルールの構成」を参照してください。サーバープロパティの詳細については、「サーバープロパティ」を参照してください。
すべてのBYODユーザーに、アプリにアクセスする前にデバイスの企業管理を受け入れるよう要求できます。または、デバイスを管理せずに、ユーザーに企業アプリへのアクセスを許可することもできます。
サーバー設定 wsapi.mdm.required.flag を true に設定すると、XenMobileはすべてのBYODデバイスを管理し、登録を拒否したユーザーはアプリへのアクセスを拒否されます。企業ITチームが、XenMobileにユーザーデバイスを登録する際に、高いセキュリティと良好なユーザーエクスペリエンスを必要とする環境では、wsapi.mdm.required.flag を true に設定することを検討してください。
wsapi.mdm.required.flag をデフォルト設定である false のままにすると、ユーザーは登録を拒否できますが、XenMobile Storeを通じてデバイス上のアプリにアクセスできる場合があります。プライバシー、法的、または規制上の制約により、デバイス管理は不要で、企業アプリ管理のみが必要な環境では、wsapi.mdm.required.flag を false に設定することを検討してください。
XenMobileが管理しないデバイスを持つユーザーは、XenMobile Storeを通じてアプリをインストールできます。選択的ワイプや完全ワイプなどのデバイスレベルの制御ではなく、アプリポリシーを通じてアプリへのアクセスを制御します。設定した値に応じて、ポリシーはデバイスが定期的にXenMobileサーバーをチェックし、アプリが引き続き実行を許可されていることを確認するよう要求します。

セキュリティ要件

XenMobile環境を展開する際のセキュリティに関する考慮事項は、すぐに圧倒されるほど多くなります。多くの相互に関連する要素と設定があります。Citrixは、開始を支援し、許容可能な保護レベルを選択するために、次の表に示すように、高、より高、最高のセキュリティに関する推奨事項を提供しています。
展開モードの選択は、セキュリティ上の懸念だけではありません。ユースケースの要件も確認し、展開モードを選択する前にセキュリティ上の懸念を軽減できるかどうかを判断することが重要です。
高: これらの設定を使用すると、ほとんどの組織で許容される基本的なセキュリティレベルを維持しながら、最適なユーザーエクスペリエンスが提供されます。
より高: これらの設定は、セキュリティとユーザビリティのより強力なバランスを生み出します。
最高: これらの推奨事項に従うと、ユーザビリティとユーザーの採用を犠牲にして、高いレベルのセキュリティが提供されます。

展開モードのセキュリティに関する考慮事項

次の表は、各セキュリティレベルの展開モードを示しています。
高セキュリティ より高いセキュリティ 最高のセキュリティ
MAMまたはMDM MDM+MAM MDM+MAM; およびFIPS
注記:
  • ユースケースに応じて、MDMのみまたはMAMのみの展開でセキュリティ要件を満たし、優れたユーザーエクスペリエンスを提供できます。
  • アプリのコンテナ化、マイクロVPN、またはアプリ固有のポリシーが不要な場合、MDMはデバイスの管理と保護に十分です。
  • アプリのコンテナ化だけでビジネスおよびセキュリティ要件をすべて満たせるBYODのようなユースケースでは、CitrixはMAMのみのモードを推奨します。
  • 高セキュリティ環境（および企業支給デバイス）の場合、Citrixは利用可能なすべてのセキュリティ機能を活用するためにMDM+MAMを推奨します。MDM登録を必ず適用してください。
  • 連邦政府など、最高のセキュリティニーズを持つ環境向けのFIPSオプション。
FIPSモードを有効にする場合、SQLトラフィックを暗号化するようにSQL Serverを構成する必要があります。

Citrix ADCおよびCitrix Gatewayのセキュリティに関する考慮事項

次の表は、各セキュリティレベルにおけるCitrix ADCおよびCitrix Gatewayの推奨事項を示しています。
高セキュリティ より高いセキュリティ 最高のセキュリティ
Citrix ADCを推奨します。Citrix GatewayはMAMおよびENTに必須であり、MDMに推奨されます。 XenMobileがDMZにある場合は、SSLブリッジを使用したXenMobileウィザード構成用の標準Citrix ADC。または、XenMobile Serverが内部ネットワークにある場合にセキュリティ標準を満たすために必要な場合は、SSLオフロード。 エンドツーエンド暗号化によるSSLオフロード
注：
  • XenMobile ServerをNATまたは既存のサードパーティ製プロキシおよびロードバランサーを介してインターネットに公開することは、MDMのオプションとなり得ます。ただし、この設定ではSSLトラフィックがXenMobile Serverで終端される必要があり、潜在的なセキュリティリスクをもたらします。
  • 高セキュリティ環境では、デフォルトのXenMobile構成のCitrix ADCは通常、セキュリティ要件を満たすか、それを上回ります。
  • 最高のセキュリティニーズを持つMDM環境では、Citrix ADCでのSSL終端により、境界でのトラフィック検査が可能になり、エンドツーエンドのSSL暗号化が維持されます。
  • SSL/TLS暗号を定義するオプション。
  • SSL FIPS Citrix ADCハードウェアも利用可能です。
  • 詳細については、「Citrix GatewayおよびCitrix ADCとの統合」を参照してください。

登録セキュリティに関する考慮事項

次の表は、各セキュリティレベルにおけるCitrix ADCおよびCitrix Gatewayの推奨事項を示しています。
高セキュリティ より高いセキュリティ 最高セキュリティ
Active Directoryグループメンバーシップのみ。すべてのユーザーのデリバリーグループは無効。 招待制の登録セキュリティモード。Active Directoryグループメンバーシップのみ。すべてのユーザーのデリバリーグループは無効。 デバイスIDに紐付けられた登録セキュリティモード。Active Directoryグループメンバーシップのみ。すべてのユーザーのデリバリーグループは無効。
注：
  • Citrix は、登録を事前定義された Active Directory グループのユーザーのみに制限することを一般的に推奨しています。この設定では、組み込みの「すべてのユーザー」デリバリーグループを無効にする必要があります。
  • 登録招待を使用して、招待されたユーザーのみに登録を制限できます。登録招待は Windows デバイスでは利用できません。
  • ワンタイムPIN (OTP) 登録招待を二要素認証ソリューションとして使用し、ユーザーが登録できるデバイスの数を制御できます。OTP招待は Windows デバイスでは利用できません。

デバイスパスコードのセキュリティに関する考慮事項

次の表は、各セキュリティレベルにおけるデバイスパスコードの推奨事項を示しています。
高セキュリティ より高いセキュリティ 最高セキュリティ
推奨。デバイスレベルの暗号化には高セキュリティが必要です。MDMを使用して適用されます。MDXポリシー「非準拠デバイスの動作」を使用して、MAM専用として高セキュリティを必須に設定できます。 MDM、MDXポリシー、またはその両方を使用して適用されます。 MDMとMDXポリシーを使用して適用されます。MDMの複雑なパスコードポリシー。
注:
  • Citrix はデバイスパスコードの使用を推奨しています。
  • MDMポリシーを介してデバイスパスコードを適用できます。
  • MDXポリシーを使用して、管理対象アプリを使用するためのデバイスパスコードを必須にすることができます。たとえば、BYODのユースケースなどです。
  • Citrixは、MDM+MAM環境におけるセキュリティ強化のため、MDMおよびMDXポリシーオプションを組み合わせることを推奨します。
  • 最高のセキュリティ要件を持つ環境では、複雑なパスコードポリシーを設定し、MDMでそれらを強制できます。デバイスがパスコードポリシーに準拠しない場合、管理者に通知したり、デバイスの選択的/完全ワイプを実行したりする自動アクションを設定できます。