Citrix Secure Hub™

O Citrix Secure Hub é a plataforma de lançamento para a experiência do Citrix Endpoint Management™ (anteriormente, XenMobile). Os usuários registram seus dispositivos no Secure Hub para obter acesso à Loja. Na loja, eles podem adicionar aplicativos de produtividade móvel desenvolvidos pela Citrix e aplicativos de terceiros.

Para os requisitos de sistema do Secure Hub e de outros aplicativos de produtividade móvel, consulte Requisitos do sistema.

Administrando o Secure Hub

Você executa a maioria das tarefas de administração relacionadas ao Secure Hub durante a configuração inicial do Endpoint Management. Para disponibilizar o Secure Hub aos usuários, para iOS e Android, carregue o Secure Hub na iOS App Store e na Google Play Store.

O Secure Hub atualiza a maioria das políticas MDX armazenadas no Endpoint Management para os aplicativos instalados quando a sessão do Citrix Gateway de um usuário é renovada após a autenticação usando o Citrix Gateway.

Importante:

Alterações em qualquer uma dessas políticas exigem que o usuário exclua e reinstale o aplicativo para aplicar a política atualizada: “Grupo de Segurança”, “Habilitar criptografia” e “Servidor Exchange do Secure Mail”.

PIN do Citrix

• Você pode configurar o Secure Hub para usar o PIN do Citrix, um recurso de segurança habilitado no console do Endpoint Management em “Configurações” > “Propriedades do Cliente”. A configuração exige que os usuários de dispositivos móveis registrados façam login no Secure Hub e ativem quaisquer aplicativos MDX empacotados usando um número de identificação pessoal (PIN).

O recurso PIN do Citrix simplifica a experiência de autenticação do usuário ao fazer login nos aplicativos empacotados e seguros. Os usuários não precisam inserir repetidamente outra credencial, como o nome de usuário e a senha do Active Directory.

• Os usuários que fazem login no Secure Hub pela primeira vez devem inserir o nome de usuário e a senha do Active Directory. Durante o login, o Secure Hub salva as credenciais do Active Directory ou um certificado de cliente no dispositivo do usuário e, em seguida, solicita que o usuário insira um PIN. Quando os usuários fazem login novamente, eles inserem o PIN para acessar seus aplicativos Citrix e a Loja com segurança. Eles não usam o PIN novamente até que o próximo período de tempo limite de inatividade termine para a sessão de usuário ativa. As propriedades de cliente relacionadas permitem criptografar segredos usando o PIN, especificar o tipo de senha para o PIN e especificar os requisitos de força e comprimento do PIN. Para obter detalhes, consulte Propriedades do cliente.

• Quando a autenticação por impressão digital (Touch ID) está habilitada, os usuários podem fazer login usando uma impressão digital quando a autenticação offline é necessária devido à inatividade do aplicativo. Os usuários ainda precisam inserir um PIN ao fazer login no Secure Hub pela primeira vez, ao reiniciar o dispositivo e após o término do temporizador de inatividade. Para obter informações sobre como habilitar a autenticação por impressão digital, consulte Autenticação por impressão digital ou Touch ID.

• Fixação de certificado

• O Secure Hub para iOS e Android oferece suporte à fixação de certificado SSL. Esse recurso garante que o certificado assinado pela sua empresa seja usado quando os clientes Citrix se comunicam com o Endpoint Management. A fixação de certificado impede conexões de clientes com o Endpoint Management quando a instalação de um certificado raiz no dispositivo compromete a sessão SSL. Quando o Secure Hub detecta quaisquer alterações na chave pública do servidor, o Secure Hub nega a conexão.

• A partir do Android N, o sistema operacional não permite mais autoridades de certificação (CAs) adicionadas pelo usuário. A Citrix recomenda usar uma CA raiz pública em vez de uma autoridade de certificação adicionada pelo usuário.

Os usuários que atualizam para o Android N podem ter problemas se usarem CAs privadas ou autoassinadas. As conexões em dispositivos Android N são interrompidas nos seguintes cenários:

• CAs privadas/autoassinadas e a opção “CA Confiável Necessária para Endpoint Management” no Serviço de Descoberta Automática está definida como ATIVADA. Para obter detalhes, consulte Serviço de Descoberta Automática do Endpoint Management.
• CAs privadas/autoassinadas e o Serviço de Descoberta Automática (ADS) do Endpoint Management não estão acessíveis. Devido a preocupações de segurança, quando o ADS não está acessível, a “CA Confiável Necessária” é ATIVADA, mesmo que tenha sido definida como DESATIVADA inicialmente.

Antes de registrar dispositivos ou atualizar o Secure Hub, considere habilitar a fixação de certificado. A opção está Desativada por padrão. Ao habilitar a fixação de certificado, os usuários não podem se registrar no Endpoint Management com um certificado autoassinado. Se os usuários tentarem se registrar com um certificado autoassinado, eles serão avisados de que o certificado não é confiável. O registro falha se os usuários não aceitarem o certificado.

Para usar a fixação de certificado, solicite que a Citrix carregue os certificados para o servidor Citrix ADS. Abra um caso de suporte técnico usando o portal de Suporte da Citrix. Em seguida, forneça as seguintes informações:

• O domínio que contém as contas com as quais os usuários se registram.
• O nome de domínio totalmente qualificado (FQDN) do Endpoint Management.
• O nome da instância do Endpoint Management. Por padrão, o nome da instância é zdm e diferencia maiúsculas de minúsculas.
• Tipo de ID de Usuário, que pode ser UPN ou Email. Por padrão, o tipo é UPN.
• A porta usada para o registro do iOS, caso você tenha alterado o número da porta padrão 8443.
• A porta pela qual o Endpoint Management aceita conexões, caso você tenha alterado o número da porta padrão 443.
• A URL completa do seu Citrix Gateway.
• Opcionalmente, um endereço de e-mail para o seu administrador do Endpoint Management.
• Os certificados formatados em PEM que você deseja adicionar ao domínio.

Autenticação por certificado + senha de uso único

Você pode configurar o Citrix ADC para que o Secure Hub se autentique usando um certificado mais um token de segurança que serve como uma senha de uso único. Essa configuração oferece uma opção de segurança forte que não deixa um rastro do Active Directory nos dispositivos.

Para habilitar o Secure Hub a usar esse tipo de autenticação, adicione uma ação de reescrita e uma política de reescrita no Citrix ADC que insere um cabeçalho de resposta personalizado no formato X-Citrix-AM-GatewayAuthType: CertAndRSA para indicar o tipo de logon do Citrix Gateway.

Normalmente, o Secure Hub usa o tipo de logon do Citrix Gateway configurado no console do Endpoint Management. No entanto, essa informação não está disponível para o Secure Hub até que ele conclua o logon pela primeira vez. O cabeçalho personalizado é necessário para permitir que o Secure Hub execute esse método de logon.

Observação:

Se diferentes tipos de logon forem definidos no Endpoint Management e no Citrix ADC, a configuração do Citrix ADC substituirá a configuração. Para obter detalhes, consulte Citrix Gateway e Endpoint Management.

1. No Citrix ADC, navegue até “Configuração” > “AppExpert” > “Reescrever” > “Ações”.

2. Clique em “Adicionar”.

   A tela “Criar Ação de Reescrever” é exibida.

3. Preencha cada campo conforme mostrado na figura a seguir e, em seguida, clique em “Criar”.

   

• O seguinte resultado aparece na tela principal “Ações de Reescrever”.

  

1. Vincule a ação de reescrita ao servidor virtual como uma política de reescrita. Vá para “Configuração” > “NetScaler® Gateway” > “Servidores Virtuais” e, em seguida, selecione seu servidor virtual.

   

2. Clique em “Editar”.

3. Na tela “Configuração de Servidores Virtuais”, role a tela até “Políticas”.

• 1. Clique em ”+” para adicionar uma política.

  

• 1. No campo “Escolher Política”, escolha “Reescrita”.

1. No campo “Escolher Tipo”, escolha “Resposta”.

   

2. Clique em “Continuar”.

   A seção “Associação de Política” se expande.

   

3. Clique em “Selecionar Política”.

   Uma tela com políticas disponíveis aparece.

1. Clique na linha da política que você criou e depois clique em “Selecionar”. A tela “Associação de Política” aparece novamente, com a política selecionada preenchida.

   

2. Clique em “Associar”.

   Se a associação for bem-sucedida, a tela de configuração principal aparece com a política de reescrita concluída exibida.

   

3. Para visualizar os detalhes da política, clique em “Política de Reescrita”.

   

Requisito de porta para conectividade ADS para dispositivos Android

A configuração de porta garante que dispositivos Android que se conectam do Secure Hub possam acessar o Serviço de Descoberta Automática (ADS) do Endpoint Management de dentro da rede corporativa. A capacidade de acessar o ADS é importante ao baixar atualizações de segurança disponibilizadas por meio do ADS. As conexões ADS podem não ser compatíveis com seu servidor proxy. Nesse cenário, permita que a conexão ADS ignore o servidor proxy.

Importante:

O Secure Hub para Android e iOS exige que você permita que dispositivos Android acessem o ADS. Para obter detalhes, consulte Requisitos de porta na documentação do Endpoint Management. Essa comunicação ocorre na porta de saída 443. É altamente provável que seu ambiente existente seja projetado para permitir esse acesso. Clientes que não podem garantir essa comunicação são desencorajados a atualizar para o Secure Hub 10.2. Se tiver alguma dúvida, entre em contato com o suporte da Citrix.

Pré-requisitos

• Colete certificados do Endpoint Management e do Citrix ADC. Os certificados devem estar no formato PEM e devem ser um certificado público, não a chave privada.
• Entre em contato com o suporte da Citrix e faça uma solicitação para habilitar a fixação de certificado. Durante esse processo, seus certificados serão solicitados.

As novas melhorias de fixação de certificado exigem que os dispositivos se conectem ao ADS antes que o dispositivo seja registrado. Conectar-se ao ADS primeiro garante que as informações de segurança mais recentes estejam disponíveis para o Secure Hub para o ambiente no qual o dispositivo está sendo registrado. Se os dispositivos não conseguirem acessar o ADS, o Secure Hub não permitirá o registro do dispositivo. Portanto, abrir o acesso ao ADS dentro da rede interna é fundamental para permitir que os dispositivos sejam registrados.

Para permitir o acesso ao ADS para o Secure Hub para Android, abra a porta 443 para os seguintes endereços IP e FQDN:

Se a fixação de certificado estiver habilitada:

• O Secure Hub fixa seu certificado corporativo durante o registro do dispositivo.

• Durante uma atualização, o Secure Hub descarta qualquer certificado atualmente fixado e então fixa o certificado do servidor na primeira conexão para usuários registrados.

  Observação:

  Se você habilitar a fixação de certificado após uma atualização, os usuários devem se registrar novamente.

• A renovação do certificado não exige novo registro, se a chave pública do certificado não foi alterada.

A fixação de certificado oferece suporte a certificados folha, não a certificados intermediários ou de emissor. A fixação de certificado se aplica a servidores Citrix, como Endpoint Management e Citrix Gateway, e não a servidores de terceiros.

Usando o Secure Hub

Os usuários começam baixando o Secure Hub em seus dispositivos na loja de aplicativos da Apple ou do Android.

Quando o Secure Hub é aberto, os usuários inserem as credenciais fornecidas por suas empresas para registrar seus dispositivos no Secure Hub. Para obter mais detalhes sobre o registro de dispositivos, consulte Usuários, contas, funções e registro.

No Secure Hub para Android, durante a instalação e o registro iniciais, a seguinte mensagem é exibida: Permitir que o Secure Hub acesse fotos, mídias e arquivos em seu dispositivo?

Esta mensagem vem do sistema operacional Android e não da Citrix. Ao tocar em “Permitir”, a Citrix e os administradores que gerenciam o Secure Hub não visualizam seus dados pessoais em nenhum momento. No entanto, se você conduzir uma sessão de suporte remoto com seu administrador, o administrador poderá visualizar seus arquivos pessoais durante a sessão.

Após o registro, os usuários veem todos os aplicativos e desktops que você enviou na guia “Meus Aplicativos”. Os usuários podem adicionar mais aplicativos da Loja. Em telefones, o link da Loja está sob o ícone de hambúrguer “Configurações” no canto superior esquerdo.

Em tablets, a Loja é uma guia separada.

Quando usuários com iPhones executando iOS 9 ou posterior instalam aplicativos de produtividade móvel da loja de aplicativos do Endpoint Management, eles veem uma mensagem. Esta mensagem informa que o desenvolvedor corporativo, Citrix, não é confiável naquele iPhone. A mensagem também informa que o aplicativo não está disponível para uso até que o desenvolvedor seja confiável. Quando esta mensagem é exibida, o Secure Hub solicita aos usuários que visualizem um guia que os orienta no processo de confiar em aplicativos corporativos da Citrix para seus iPhones.

Registro automático no Secure Mail

Para implantações somente MAM, você pode configurar o CEM para que os usuários que se registram no Secure Hub usando credenciais de e-mail sejam registrados automaticamente no Secure Mail. Os usuários não precisam inserir mais informações ou seguir mais etapas para se registrar no Secure Mail.

No primeiro uso do Secure Mail, o Secure Mail obtém o endereço de e-mail, domínio e ID de usuário da pessoa no Secure Hub. O Secure Mail usa o endereço de e-mail para descoberta automática. O servidor Exchange é identificado usando o domínio e o ID de usuário, o que permite que o Secure Mail autentique o usuário automaticamente. É solicitado ao usuário que insira uma senha se a política estiver configurada para não passar a senha. Nesse caso, o usuário não precisa inserir mais nenhuma informação.

Para habilitar este recurso, crie três propriedades:

• A propriedade de servidor MAM_MACRO_SUPPORT. Para obter instruções, consulte Propriedades do servidor.
• As propriedades de cliente ENABLE_CREDENTIAL_STORE e SEND_LDAP_ATTRIBUTES. Para obter instruções, consulte Propriedades do cliente.

Loja Personalizada

Se você quiser personalizar sua Loja, vá para “Configurações > Identidade Visual do Cliente” para alterar o nome, adicionar um logotipo e especificar como os aplicativos aparecem.

Você pode editar descrições de aplicativos no console do Endpoint Management. Clique em “Configurar” e depois em “Aplicativos”. Selecione o aplicativo na tabela e clique em “Editar”. Selecione as plataformas para o aplicativo com a descrição que você está editando e digite o texto na caixa “Descrição”.

Na Loja, os usuários podem navegar apenas pelos aplicativos e desktops que você configurou e protegeu no Endpoint Management. Para adicionar o aplicativo, os usuários tocam em “Detalhes” e depois em “Adicionar”.

Opções de Ajuda Configuradas

O Secure Hub também oferece aos usuários várias maneiras de obter ajuda. Em tablets, tocar no ponto de interrogação no canto superior direito abre as opções de ajuda. Em telefones, os usuários tocam no ícone do menu de hambúrguer no canto superior esquerdo e depois tocam em “Ajuda”.

Seu Departamento de TI mostra o telefone e o e-mail do suporte técnico da sua empresa, que os usuários podem acessar diretamente do aplicativo. Você insere números de telefone e endereços de e-mail no console do Endpoint Management. Clique no ícone de engrenagem no canto superior direito. A página “Configurações” é exibida. Clique em “Mais” e depois em “Suporte ao Cliente”. A tela onde você insere as informações é exibida.

Relatar Problema mostra uma lista de aplicativos. Os usuários selecionam o aplicativo que apresenta o problema. O Secure Hub gera logs automaticamente e, em seguida, abre uma mensagem no Secure Mail com os logs anexados como um arquivo zip. Os usuários adicionam linhas de assunto e descrições do problema. Eles também podem anexar uma captura de tela.

Enviar Feedback para a Citrix abre uma mensagem no Secure Mail com um endereço de suporte da Citrix preenchido. No corpo da mensagem, o usuário pode inserir sugestões para melhorar o Secure Mail. Se o Secure Mail não estiver instalado no dispositivo, o programa de e-mail nativo será aberto.

Os usuários também podem tocar em “Suporte Citrix”, que abre o Citrix Knowledge Center. A partir daí, eles podem pesquisar artigos de suporte para todos os produtos Citrix.

Em “Preferências”, os usuários podem encontrar informações sobre suas contas e dispositivos.

Políticas de localização

O Secure Hub também fornece políticas de geolocalização e geomonitoramento se, por exemplo, você quiser garantir que um dispositivo corporativo não viole um determinado perímetro geográfico. Para obter detalhes, consulte Política de dispositivo de localização.

Coleta e análise de falhas

O Secure Hub coleta e analisa automaticamente as informações de falha para que você possa ver o que levou a uma falha específica. O software Crashlytics oferece suporte a esta função.

Para mais recursos disponíveis para iOS e Android, consulte a matriz de recursos por plataforma para Citrix Secure Hub.