技术安全性概述

本文适用于 Citrix Cloud 中托管的 Citrix Workspace 微型应用服务。

在开始部署 Citrix Workspace 微应用服务之前,请查看适用于 Citrix Cloud 平台的安全部署指南

安全性概述

微应用平台集成到 Workspace,并使用现有的身份管理。OAuth 是写入 SaaS 应用程序的主要身份验证机制。存储特定于 Credential Wallet 中每个用户的 SaaS 提供的用户访问令牌,以便为用户操作提供高效的用户体验。

此组件使用名为 Citrix Cloud Connector 的代理连接到云服务。使用 Citrix Workspace,您还可以选择使用 Citrix Gateway 服务,而不是在其数据中心内运行 Citrix 网关。下图说明了服务及其安全边界。

数据流图显示了数据流的详细信息以及应用程序如何连接到微应用服务。此外,通知和页面如何呈现在您的频道

凭据处理

此服务处理以下类型的应用程序集成凭据:

  • 基本用户凭据
  • OAuth
  • OAuth2

一般安全概述

微应用模板应用程序和集成按原样提供。连接器指南中描述的所有数据、字段和实体均从记录源系统 (SOR) 中提取并传输到 微应用缓存中。

微应用存储来自集成记录系统的数据缓存。客户在设置配置时完全可以配置数据的范围,并且可以随时更改。

系统帐户用于使用记录 API 的目标系统检索缓存的数据。系统帐户通常需要具有对使用 微应用的所有用户所需的所有数据的只读访问权限。

服务帐户的凭据,除了单个用户帐户的 OAuth 令牌用于写入操作之外,微应用使用 Azure 密钥保管库支持的服务安全地存储。

微应用还存储为用户生成的所有通知卡。除了这些卡的内容之外,触发这些通知的事件也可以由管理员配置。

记录用户与系统的交互。日志数据不包含任何记录数据或秘密系统。

内容存储在设置 Citrix Cloud 帐户时所选区域中。目前可用的地区包括美国、欧盟和 AP/S(亚太南部)。

客户内容和日志完全存储在 Citrix 平台中,第三方不可用。

微应用的数据备份用于恢复目的的存储期间为两周。

微应用数据在权利终止后保留 30 天。在此宽限期之后,将删除所有资源。

数据

数据没有显式看到,只有实体属性和集成表。

此数据显示在两个位置:

  1. 在微应用管理员/生成器页面上(因此 Workspace)

  2. 与记录相关的数据可以显示在数据源卡中(作为定义的变量)。这些定义位于微应用生成器中。微应用可以被定义为导出所有数据,具体取决于管理员定义。

示例: 如果有人同步或添加个人信息(可能是 PII)并设置为显示所有记录和字段。预定义模板是根据安全性最佳实践构建的,并以不显示敏感数据的方式提供。

注意:

创建集成需要客户组织中的管理员(或同等)权限。微应用提供的工具,这是由客户/管理员利用这些工具尽可能安全的基于客户的要求。

个人身份信息 (PII)

个人身份信息 (PII) 是根据地理、业务、安全和法规遵从性考虑因素逐案指定的。PII 是管理员/客户自行决定的事项,因为每个公司/客户可以对自己的组织内的“敏感”有不同的定义。

个人识别信息根据不同地理机构而变化,但可能包括姓名、社会保障/国家保险号码、生物识别记录、身份证号码、身份证号码、身份证号码、身体、心理、经济、文化或社会身份特定因素,或组合的信息与其他数据片段,可以识别个体。

就一般的最佳实践而言,在处理数据时,请考虑以下内容来确定和实践。

  • 确定您的应用程序集成存储的 PII
  • 查找 PII 存储的所有位置
  • 根据灵敏度对 PII 进行分类

识别 PII

PII 可以包括银行详细信息和登录信息。政府机构存储 PII,包括社会保险号码、地址、护照详细信息和许可证号码。

PII 存储位置

PII 可以存在于各种不同的位置,如文件服务器、云服务、员工笔记本电脑、门户等,包括:

正在使用的数据: 员工用于完成工作的数据。

静态数据: 这是存储或存档在硬盘驱动器、数据库、笔记本电脑、Sharepoint 和 Web 服务器等位置的数据。

动态数据: 这是从一个位置过渡到另一个位置的数据。例如,数据从本地存储设备移动到云服务器,或者通过电子邮件在员工和业务合作伙伴之间移动。

PII 敏感度分类

PII 必须根据其灵敏度进行分类。这是 PII 保护的重要组成部分。考虑数据是否为:

可识别: PII 数据的唯一性如何?如果单个记录可以自行识别个人,则表明数据具有高度敏感性。

组合数据: 尝试识别两个或多个数据片段,这些数据组合后可以识别一个独特的个体。

合规性: 根据您工作的组织类型,PII 有各种法规和标准。您可能需要遵守的法规包括支付卡行业数据安全标准 (PCI DSS)、一般数据保护条例 (GDPR) 或 HIPAA。

有关 GDPR 和 Citrix 的更多信息,请参阅Citrix 通用数据保护条例常见问题

读取访问权限

微应用平台从缓存中读取。缓存在存储级别的静态加密,如云供应商提供的那样。读取访问在源系统中不可用。它在微应用平台上进行审计。

写访问权限

使用写入 API。如果服务不允许写入 API,我们会回退到服务帐户。在所有情况下,写访问权限都是可审核的,并归属于源系统中的用户。

数据流

由于云服务托管的组件不包括 VDA,因此预配所需的客户应用程序数据和黄金映像始终托管在客户设置中。控制平面可以访问元数据(如用户名、计算机名称和应用程序快捷方式),从而限制从控制平面访问客户的知识产权。

在云和客户本地之间流动的数据使用端口 443 上的安全传输层安全性 (TLS) 连接。

部署注意事项

Citrix 建议用户查阅已发布的文档,以便在其环境中部署 Citrix Gateway 应用程序。

Citrix Cloud Connector 网络访问要求

Citrix Cloud Connector 只需要端口 443 到 Internet 的出站流量,并且可以托管在 HTTP 代理后面。

Citrix Cloud 中用于 HTTPS 的通信为 TLS 1.0、1.1 或 1.2。(有关正在进行的更改,请参阅弃用 TLS 版本。)

最佳安全做法

注意:

您的组织可能需要满足特定的安全标准才能满足法规要求。本文档不涉及此主题,因为这些安全标准随着时间的推移而发生变化。有关安全标准和 Citrix 产品的最新信息,请访问 Citrix 安全性

为确保您已查看所有安全注意事项:

  • 仅授予用户所需的功能
  • 查看您的组织最低安全准则
  • 使用加密通信 (HTTPS),至少具有传输层安全性 (TLS) 1.2
  • 检查您的费率限制
  • 使用具有最低权限的系统帐户获取数据(批量读取)
  • 考虑在同步未运行时必须保留数据的时间
  • 使用公共 API 进行生产
  • OAuth2 是此 SaaS 服务的首选身份验证协议
  • 始终使用 OAuth2 进行回写
  • 保持集成更新。验证其工作正常,并且外部 API 没有更改

下一步的去向

有关类似 Citrix Cloud 服务的更多安全信息和安全指南,请参阅以下资源:

注意:

本文档旨在向读者介绍和概述 Citrix Cloud 的安全功能,并定义 Citrix 与客户在确保 Citrix Cloud 部署安全方面的责任分工。其目的不是用作 Citrix Cloud 或其任何组件或服务的配置和管理指导手册。