技术安全性概述

本文适用于 Citrix Cloud 中托管的 Citrix Workspace 微型应用服务。

在开始部署 Citrix Workspace 微应用服务之前,请查看适用于 Citrix Cloud 平台的安全部署指南

安全性概述

微应用平台集成到 Workspace,并使用现有的身份管理。OAuth 是写入 SaaS 应用程序的主要身份验证机制。存储 Credential Wallet 中特定于每个用户的 SaaS 提供的用户访问令牌,以便为用户操作提供高效的用户体验。

此组件使用名为 Citrix Cloud Connector 的代理连接到云服务。下图说明了服务及其安全边界。

数据流图显示了数据流的详细信息以及应用程序如何连接到微应用服务。此外,通知和页面如何呈现在您的频道

凭据处理

此服务处理应用程序集成的以下类型的凭据:

  • 基本用户凭据
  • OAuth
  • OAuth2

常规安全概述

微应用模板应用程序和集成按原样提供。连接器指南中描述的所有数据、字段和实体均从记录源系统 (SOR) 中提取并传输到 微应用缓存中。目前不可配置模板。

微应用存储来自集成记录系统的数据缓存。对于 HTTP 集成,数据的范围可由客户在设置配置时完全配置,并可随时更改。

系统帐户用于使用记录 API 的目标系统检索缓存的数据。系统帐户通常需要具有对使用 微应用的所有用户所需的所有数据的只读访问权限。

服务帐户的凭据,除了单个用户帐户的 OAuth 令牌用于写入操作之外,微应用使用 Azure 密钥保管库支持的服务安全地存储。

微应用还存储为用户生成的所有通知卡。除了这些卡片的内容之外,还可以由管理员配置触发这些通知的事件。

记录用户与系统的交互。日志数据不包含任何记录数据或机密系统。

内容存储在设置 Citrix Cloud 帐户时所选区域中。当前可用的区域包括美国、欧盟和 AP/S(亚太南部)。

客户内容和日志完全存储在 Citrix 平台中,第三方不可用。

微应用的数据备份用于恢复目的的存储期间为两周。

微应用数据在权利终止后保留 30 天。在此宽限期之后,所有资源都将被删除。

数据

没有显式看到数据,只能看到实体属性和集成表。

此数据显示在两个位置:

  1. 在微应用管理员/生成器页面上(因此 Workspace)

  2. 与记录相关的数据可以显示在数据源卡中(作为定义的变量)。这些定义位于微应用生成器中。微应用可以被定义为导出所有数据,具体取决于管理员定义。

示例: 如果有人同步或添加个人信息(可能是 PII)并设置为显示所有记录和字段。预定义模板是根据安全性最佳实践构建的,并以不显示敏感数据的方式提供的。

注意:

创建集成需要客户组织中的管理员(或等同)权限。微应用提供的工具,这是由客户/管理员利用这些工具尽可能安全的基于客户的要求。

个人身份信息 (PII)

个人身份信息 (PII) 根据地理位置、业务、安全性和合规性考虑因素根据具体情况进行指定。PII 是管理员/客户自行决定的事项,因为每个公司/客户可以对自己的组织内的“敏感”有不同的定义。

个人身份信息根据不同的地理权限而变化,但可能包括姓名、社会保险/国家保险号码、生物识别记录、身份证号码、身份证、身份证、特定于身体、生理、心理、经济、文化或社会身份的因素,或合并的信息与其他数据片段,可以识别个人。

在一般最佳做法方面,考虑以下几点来确定并在处理数据时实践。

  • 识别您的应用集成商店的 PII
  • 查找 PII 存储的所有地方
  • 根据灵敏度对 PII 进行分类

识别 PII

PII 可以包含银行详细信息和登录信息。政府机构存储 PII,包括社会保障号码、地址、护照详细信息和许可证号码。

PII 存储位置

PII 可以存在于一系列不同的位置,例如文件服务器、云服务、员工笔记本电脑、门户等,包括:

正在使用的数据: 员工用于完成工作的数据。

静态数据: 这是存储或存档在硬盘驱动器、数据库、笔记本电脑、Sharepoint 和 Web 服务器等位置的数据。

运动中的数据: 这是从一个位置过渡到另一个位置的数据。例如,数据从本地存储设备移动到云服务器,或者通过电子邮件在员工和业务合作伙伴之间移动。

PII 灵敏度分类

PII 必须根据其灵敏度进行分类。这是 PII 保护的重要组成部分。考虑数据是否为:

可识别: PII 数据有多独特?如果单个记录本身可以识别个人,则表明数据具有高度敏感性。

组合数据: 尝试识别两个或多个数据片段,这些数据组合后,可以识别唯一个体。

合规性: 根据您工作的组织类型,有针对 PII 的各种法规和标准。您可能需要遵守的法规包括支付卡行业数据安全标准 (PCI DSS)、通用数据保护条例 (GDPR) 或 HIPAA。

有关 GDPR 和 Citrix 的更多信息,请参阅Citrix GDPR 常见问题解答

读取访问

微应用平台从缓存中读取。缓存在存储级别的静态加密,由云供应商提供。读取访问权限在源系统中不可用。它在微应用平台上进行审计。

写入访问权限

使用写入 API。如果服务不允许写入 API,我们会回退到服务帐户。在所有情况下,写入访问都是可审核的,并归因于源系统中的用户。

数据流

由于云服务托管的组件不包括 VDA,因此预配所需的客户应用程序数据和黄金映像始终托管在客户设置中。控制层面可以访问元数据(如用户名、计算机名称和应用程序快捷方式),从而限制从控制层面访问客户的知识产权。

在云和客户部署之间流动的数据使用端口 443 上的安全传输层安全 (TLS) 连接。

Citrix Cloud Connector 网络访问要求

Citrix Cloud Connector 只需要端口 443 到 Internet 的出站流量,并且可以托管在 HTTP 代理后面。

Citrix Cloud 中用于 HTTPS 的通信为 TLS 1.0、1.1 或 1.2。(有关正在进行的更改,请参阅 TLS 版本的弃用。)

最佳安全做法

注意:

您的组织可能需要满足特定的安全标准才能满足法规要求。本文档不涉及此主题,因为这些安全标准随着时间的推移而发生变化。有关安全标准和 Citrix 产品的最新信息,请访问 Citrix 安全

为确保您已查看所有安全注意事项:

  • 仅授予用户所需的功能
  • 查看您的组织最低安全准则
  • 使用加密通信 (HTTPS),具有最低传输层安全性 (TLS) 1.2
  • 查看您的费率限制
  • 使用具有最低权限的系统帐户获取数据(批量读取)
  • 考虑一旦同步未运行,您必须保留数据的时间
  • 使用公共 API 进行生产
  • OAuth2 是此 SaaS 服务的首选身份验证协议
  • 始终使用 OAuth2 进行回写
  • 保持集成更新。验证它的工作原理,并且外部 API 没有更改

下一步的去向

有关类似 Citrix Cloud 服务的更多安全信息和安全指南,请参阅以下资源:

注意:

本文档旨在向读者介绍和概述 Citrix Cloud 的安全功能,并定义 Citrix 与客户在确保 Citrix Cloud 部署安全方面的责任分工。其目的不是用作 Citrix Cloud 或其任何组件或服务的配置和管理指导手册。

技术安全性概述