SmartAccess para aplicaciones HDX
Esta funcionalidad permite controlar el acceso a aplicaciones HDX en función de las propiedades del dispositivo, las propiedades de un usuario o las aplicaciones instaladas en un dispositivo. Puede usar esta función mediante acciones automatizadas que marcan el dispositivo como no conforme para denegarle el acceso a las aplicaciones. Las aplicaciones HDX utilizadas con esta función se configuran en Citrix Virtual Apps and Desktops mediante una directiva de SmartAccess que deniega el acceso a los dispositivos no conformes. Citrix Endpoint Management comunica el estado del dispositivo a StoreFront mediante una etiqueta firmada y cifrada. A continuación, StoreFront permite o deniega el acceso en función de la directiva del control de acceso de la aplicación.
Para usar esta función, su implementación requiere:
- Citrix Virtual Apps and Desktops
- Citrix Endpoint Management
- Citrix Endpoint Management configurado con un certificado SAML que se utilizará para firmar y cifrar las etiquetas. El mismo certificado sin clave privada se carga en el servidor de StoreFront.
Para empezar a usar esta funcionalidad:
- Configure el certificado del servidor Citrix Endpoint Management para el almacén de StoreFront
- Configure al menos un grupo de entrega de Citrix Virtual Apps and Desktops con la directiva de SmartAccess requerida
- Establezca la acción automatizada en Citrix Endpoint Management
SmartAccess en aplicaciones HDX para dispositivos de punto final
Con esta funcionalidad, puede aplicar un control de acceso basado en directivas para restringir el acceso del dispositivo a las aplicaciones HDX. Puede aplicar los siguientes niveles de acceso a las aplicaciones HDX:
- Acceso completo. Un dispositivo puede acceder a todas las aplicaciones HDX que proporciona el almacén Citrix Secure Hub.
- Acceso restringido. Un dispositivo puede acceder a una o varias aplicaciones HDX, pero no a todas.
- Sin acceso. Un dispositivo no puede acceder a ninguna aplicación HDX.
El siguiente gráfico ilustra cómo funciona el control de acceso. Al intentar iniciar una aplicación HDX en Citrix Secure Hub, se desencadena una solicitud a un Delivery Controller. A continuación, el Delivery Controller reenvía la solicitud al servidor de Citrix Endpoint Management para su validación. El resultado de la validación determina el nivel de acceso que tiene el dispositivo. Por ejemplo, si el dispositivo está liberado por jailbreak, se deniega el acceso a una aplicación HDX.
Exportar, configurar el certificado de Citrix Endpoint Management y cargarlo en el almacén de StoreFront
SmartAccess usa etiquetas cifradas y firmadas para la comunicación entre los servidores Citrix Endpoint Management y StoreFront. Para habilitar esta comunicación, agregue el certificado del servidor Citrix Endpoint Management al almacén de StoreFront.
Para obtener más información sobre la integración de StoreFront y Citrix Endpoint Management cuando Citrix Endpoint Management tiende habilitada la autenticación basada en certificados y dominios, consulte los artículos de Knowledge Center.
Exportar el certificado SAML desde Citrix Endpoint Management
-
En la consola de Citrix Endpoint Management, haga clic en el icono con forma de engranaje situado en la esquina superior derecha. Aparecerá la página Parámetros. Haga clic en Certificados.
-
Busque el certificado SAML para el servidor Citrix Endpoint Management.
-
Compruebe que Exportar clave privada está establecido en No. Haga clic en Exportar para exportar el certificado al directorio de descargas.
-
Busque el certificado en el directorio de descargas. El certificado raíz tiene el formato PEM.
Convertir el certificado de PEM a CER
-
Abra Microsoft Management Console (MMC) y haga clic con el botón secundario en Certificados > Todas las tareas > Importar.
-
Cuando aparezca el asistente para la importación de certificados, haga clic en Siguiente.
-
Vaya al certificado ubicado en el directorio de descargas.
-
Seleccione Colocar todos los certificados en el siguiente almacén y, a continuación, seleccione Personal como almacén de certificados. Haga clic en Siguiente.
-
Revise los cambios y haga clic en Finalizar. Haga clic en Aceptar en la ventana de confirmación.
-
En la MMC, haga clic con el botón secundario en el certificado y seleccione Todas las tareas > Exportar.
-
Cuando aparezca el asistente para la exportación de certificados, haga clic en Siguiente.
-
Seleccione el formato DER binario codificado X.509 (.CER). Haga clic en Siguiente.
-
Vaya al certificado. Escriba un nombre para el certificado y haga clic en Siguiente.
-
Guarde el certificado.
-
Vaya al certificado y haga clic en Siguiente.
-
Revise los cambios y haga clic en Finalizar. Haga clic en Aceptar en la ventana de confirmación.
-
Busque el certificado en el directorio de descargas. El certificado está en formato CER.
Copiar el certificado al servidor de StoreFront
-
En el servidor de StoreFront, cree una carpeta llamada SmartCert.
-
Copie el certificado a la carpeta SmartCert.
Configurar el certificado en el almacén de StoreFront
En el servidor de StoreFront, ejecute el siguiente comando de PowerShell para configurar el certificado del servidor Citrix Endpoint Management convertido que se encuentra en el almacén:
Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath “C:\xms\xms.cer” –ServerName “XMS server”
<!--NeedCopy-->
Si ya hay certificados existentes en el almacén de StoreFront, ejecute este comando de PowerShell para revocarlos:
Revoke-STFStorePnaSmartAccess –StoreService $store –All
<!--NeedCopy-->
También puede ejecutar cualquiera de estos comandos de PowerShell en el servidor de StoreFront para revocar los certificados existentes en el almacén de StoreFront:
- Revocar por nombre:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
<!--NeedCopy-->
- Revocar por huella digital:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint "[Thumbprint]
<!--NeedCopy-->
- Revocar por objeto de servidor:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
$access = Get-STFStorePnaSmartAccess –StoreService $store
Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]
<!--NeedCopy-->
Configurar la directiva de SmartAccess para Citrix Virtual Apps and Desktops
Para agregar la directiva de SmartAccess requerida al grupo que entrega la aplicación HDX:
-
Abra Citrix Studio desde la consola de Citrix Cloud.
-
Seleccione Grupos de entrega en el panel de navegación de Studio.
-
Seleccione el grupo que entrega las aplicaciones a las que quiere controlar el acceso. Seleccione Modificar grupo de entrega en el panel Acciones.
-
En la página Directiva de acceso, seleccione Conexiones a través de NetScaler Gateway y Conexiones que cumplan cualquiera de estos filtros.
-
Haga clic en Agregar.
-
Agregue una directiva de acceso donde Comunidad es XM y Filtro es XMCompliantDevice.
-
Haga clic en Aplicar para aplicar los cambios que haya hecho y dejar la ventana abierta, o bien haga clic en Aceptar para aplicar los cambios y cerrar la ventana.
Establecer acciones automatizadas en Citrix Endpoint Management
La directiva de SmartAccess que se estableció en el grupo de entrega para una aplicación HDX deniega el acceso a un dispositivo cuando el dispositivo no es conforme. Puede utilizar acciones automatizadas para marcar el dispositivo como no conforme.
-
En la consola de Citrix Endpoint Management, haga clic en Configurar > Acciones. Aparecerá la página Acciones.
-
Haga clic en Agregar para agregar una acción. Aparecerá la página Información de la acción.
-
En la página Información de la acción, escriba un nombre y una descripción para la acción.
-
Haga clic en Siguiente. Aparecerá la página Detalles de la acción. En el siguiente ejemplo, se crea un desencadenador que marca inmediatamente los dispositivos como no conformes si tienen el nombre de la propiedad de usuario eng5 o eng6.
-
En la lista Desencadenador, elija Propiedad de dispositivo, Propiedad de usuario o Nombre de la aplicación instalada. SmartAccess no admite desencadenadores de eventos.
-
En la lista Acción:
- Elija Marcar dispositivo como No conforme.
- Elija Es.
- Elija Verdadero.
- Para que el dispositivo se marque como no conforme en cuanto se cumpla la condición del desencadenador, establezca el marco de tiempo en 0.
-
Elija el grupo o grupos de entrega de Citrix Endpoint Management a los que aplicar esta acción.
-
Revise el resumen de la acción.
-
Haga clic en Siguiente y, a continuación, seleccione Guardar.
Cuando el dispositivo se marca como no conforme, las aplicaciones HDX ya no aparecen en el almacén Citrix Secure Hub. El usuario ya no está suscrito a la aplicación. No se envía ninguna notificación al dispositivo y nada en el almacén Citrix Secure Hub indica que las aplicaciones HDX estaban disponibles anteriormente.
Si quiere que se notifique a los usuarios cuando un dispositivo se marque como no conforme, cree una notificación y luego cree una acción automatizada para enviar esa notificación.
En este ejemplo se crea y se envía esta notificación cuando un dispositivo se marca como no conforme: “El número de serie o el número de teléfono del dispositivo ya no sigue la directiva de dispositivo y las aplicaciones HDX se bloquearán”.
Crear la notificación que ven los usuarios cuando un dispositivo se marca como no conforme
-
En la consola de Citrix Endpoint Management, haga clic en el icono con forma de engranaje, situado en la esquina superior derecha de la consola. Aparecerá la página Parámetros.
-
Haga clic en Plantillas de notificaciones. Aparecerá la página Plantillas de notificaciones.
-
Haga clic en Agregar para agregar una nueva plantilla de notificaciones en la página Plantillas de notificaciones.
-
Configure estos parámetros:
- Nombre: Bloqueo de aplicaciones HDX
- Descripción: Notificación del agente cuando el dispositivo no es conforme
- Tipo: Notificación ad hoc
- Citrix Secure Hub: Activado
-
Mensaje: El dispositivo
${firstnotnull(device.TEL_NUMBER,device.serialNumber)}ya no sigue la directiva de dispositivo. Las aplicaciones HDX se bloquearán.
-
Haga clic en Guardar.
Crear la acción que envía la notificación cuando un dispositivo se marca como no conforme
-
En la consola de Citrix Endpoint Management, haga clic en Configurar > Acciones. Aparecerá la página Acciones.
-
Haga clic en Agregar para agregar una acción. Aparecerá la página Información de la acción.
-
En la página Información de la acción, escriba un nombre y una descripción para la acción:
- Nombre: Notificación de HDX bloqueado
- Descripción: Notificación de HDX bloqueado porque el dispositivo no es conforme
-
Haga clic en Siguiente. Aparecerá la página Detalles de la acción.
-
En la lista Desencadenador:
- Elija Propiedad de dispositivo.
- Elija No conforme.
- Elija Es.
- Elija Verdadero.
-
En la lista Acción, especifique las acciones que se producen cuando se cumple el desencadenador:
- Elija Enviar notificación.
- Elija Bloqueo de aplicaciones HDX, la notificación que ha creado.
- Elija 0. Si este valor es 0, la notificación se enviará cuando se cumpla la condición del desencadenador.
-
Seleccione el grupo o grupos de entrega de Citrix Endpoint Management a los que aplicar esta acción. En este ejemplo, se ha elegido AllUsers.
-
Revise el resumen de la acción.
-
Haga clic en Siguiente y, a continuación, seleccione Guardar.
Para obtener información detallada acerca de la configuración de acciones automatizadas, consulte Acciones automatizadas.
Cómo los usuarios recuperan el acceso a las aplicaciones HDX
Los usuarios pueden volver a obtener el acceso a las aplicaciones HDX después de que el dispositivo vuelva a ser conforme:
-
En el dispositivo, vaya al almacén Citrix Secure Hub para actualizar las aplicaciones en el almacén.
-
Vaya a la aplicación y toque Agregar en la aplicación.
Una vez agregada la aplicación, aparece en “Mis aplicaciones” con un punto azul, porque es una aplicación recién instalada.
En este artículo
- SmartAccess en aplicaciones HDX para dispositivos de punto final
- Exportar, configurar el certificado de Citrix Endpoint Management y cargarlo en el almacén de StoreFront
- Configurar la directiva de SmartAccess para Citrix Virtual Apps and Desktops
- Establecer acciones automatizadas en Citrix Endpoint Management
- Crear la acción que envía la notificación cuando un dispositivo se marca como no conforme