SmartAccess para aplicaciones HDX™
Esta función te permite controlar el acceso a las aplicaciones HDX en función de las propiedades del dispositivo, las propiedades de usuario de un dispositivo o las aplicaciones instaladas en un dispositivo. Utilizas esta función configurando acciones automatizadas para marcar el dispositivo como no conforme y denegarle el acceso. Las aplicaciones HDX que se utilizan con esta función se configuran en Citrix Virtual Apps and Desktops mediante una directiva de SmartAccess que deniega el acceso a los dispositivos no conformes. Citrix Endpoint Management comunica el estado del dispositivo a StoreFront mediante una etiqueta firmada y cifrada. StoreFront permite o deniega el acceso en función de la directiva de control de acceso de la aplicación.
-
Para usar esta función, tu implementación requiere:
- Citrix Virtual Apps and Desktops™
- Citrix Endpoint Management
- Citrix Endpoint Management configurado con un certificado SAML que se utilizará para firmar y cifrar etiquetas. El mismo certificado, sin clave privada, se carga en el servidor de StoreFront.
Para empezar a usar esta función:
- Configura el certificado del servidor de Citrix Endpoint Management en el almacén de StoreFront
- Configura al menos un grupo de entrega de Citrix Virtual Apps and Desktops con la directiva de SmartAccess requerida
- Establece la acción automatizada en Citrix Endpoint Management
SmartAccess a aplicaciones HDX para puntos finales
Con esta función, puedes aplicar un control de acceso basado en directivas para restringir el acceso de los dispositivos a las aplicaciones HDX. Puedes aplicar estos niveles de acceso a las aplicaciones HDX:
- Acceso completo. Un dispositivo puede acceder a todas las aplicaciones HDX que proporciona el almacén de Citrix Secure Hub.
- Acceso restringido. Un dispositivo puede acceder a una o varias aplicaciones HDX, pero no a todas.
- Sin acceso. Un dispositivo no puede acceder a ninguna aplicación HDX.
El siguiente gráfico ilustra cómo funciona el control de acceso. Un intento de iniciar una aplicación HDX en Citrix Secure Hub activa una solicitud a un Delivery Controller. El Delivery Controller reenvía la solicitud al servidor de Citrix Endpoint Management para su validación. El resultado de la validación determina el nivel de acceso que tiene el dispositivo. Por ejemplo, se deniega el acceso a una aplicación HDX si el dispositivo tiene jailbreak.
Exporta y configura el certificado del servidor de Citrix Endpoint Management y cárgalo en el almacén de StoreFront
SmartAccess utiliza etiquetas firmadas y cifradas para comunicarse entre los servidores de Citrix Endpoint Management y StoreFront. Para habilitar esa comunicación, agregas el certificado del servidor de Citrix Endpoint Management al almacén de StoreFront.
Para obtener más información sobre la integración de StoreFront y Citrix Endpoint Management cuando Citrix Endpoint Management está habilitado con autenticación basada en dominio y certificado, consulta el Centro de conocimientos de asistencia.
Exporta el certificado SAML de Citrix Endpoint Management
-
En la consola de Citrix Endpoint Management, haz clic en el icono de engranaje en la esquina superior derecha. Aparece la página Configuración. Haz clic en Certificados.
-
Busca el certificado SAML del servidor de Citrix Endpoint Management.
-
Asegúrate de que Exportar clave privada esté establecido en Desactivado. Haz clic en Exportar para exportar el certificado a tu directorio de descargas.
-
Busca el certificado en tu directorio de descargas. El certificado está en formato PEM.
Convierte el certificado de PEM a CER
-
Abre la Consola de administración de Microsoft (MMC) y haz clic con el botón derecho en Certificados > Todas las tareas > Importar.
-
Cuando aparezca el asistente para la importación de certificados, haz clic en Siguiente.
-
Busca el certificado en el directorio de descargas.
-
Selecciona Colocar todos los certificados en el siguiente almacén y selecciona Personal como almacén de certificados. Haz clic en Siguiente.
-
Revisa tus selecciones y haz clic en Finalizar. Haz clic en Aceptar para cerrar la ventana de confirmación.
-
- En la MMC, haz clic con el botón derecho en el certificado y, a continuación, elige Todas las tareas > Exportar.
-
Cuando aparezca el asistente para la exportación de certificados, haz clic en Siguiente.
-
Elige el formato X.509 binario codificado en DER (.CER). Haz clic en Siguiente.
-
Busca el certificado. Escribe un nombre para el certificado y, a continuación, haz clic en Siguiente.
-
Guarda el certificado.
-
Busca el certificado y haz clic en Siguiente.
-
Revisa tus selecciones y haz clic en Finalizar. Haz clic en Aceptar para cerrar la ventana de confirmación.
-
Busca el certificado en tu directorio de descargas. El certificado está en formato CER.
Copia el certificado al servidor de StoreFront
-
En el servidor de StoreFront, crea una carpeta llamada SmartCert.
-
- Copia el certificado a la carpeta SmartCert.
-
Configura el certificado en el almacén de StoreFront
En el servidor de StoreFront, ejecuta este comando de PowerShell para configurar el certificado convertido del servidor de Citrix Endpoint Management en el almacén:
Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath “C:\xms\xms.cer” –ServerName “XMS server”
<!--NeedCopy-->
Si hay certificados existentes en el almacén de StoreFront, ejecuta este comando de PowerShell para revocarlos:
- Revoke-STFStorePnaSmartAccess –StoreService $store –All
<!--NeedCopy-->
- 
De lo contrario, puedes ejecutar cualquiera de estos comandos de PowerShell en el servidor de StoreFront para revocar los certificados existentes en el almacén de StoreFront:
- Revocar por nombre:
- $store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
<!--NeedCopy-->
- Revocar por huella digital:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
- Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint "[Thumbprint]
<!--NeedCopy-->
- Revocar por objeto de servidor:
$store = Get-STFStoreService –VirtualPath /Citrix/Store
$access = Get-STFStorePnaSmartAccess –StoreService $store
Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]
<!--NeedCopy-->
Configurar la directiva SmartAccess para Citrix Virtual Apps and Desktops
Para agregar la directiva SmartAccess requerida al grupo de entrega que distribuye la aplicación HDX:
-
Abre Citrix Studio desde la consola de Citrix Cloud.
-
Selecciona Grupos de entrega en el panel de navegación de Studio.
-
Selecciona un grupo que distribuye las aplicaciones a las que quieres controlar el acceso. Luego, selecciona Modificar grupo de entrega en el panel Acciones.
-
En la página Directiva de acceso, selecciona Conexiones a través de NetScaler Gateway y Conexión que cumpla cualquiera de los siguientes requisitos.
-
Haz clic en Agregar.
-
Agrega una directiva de acceso donde Granja sea XM y Filtro sea XMCompliantDevice.
-
Haz clic en Aplicar para aplicar los cambios que hayas hecho y mantener la ventana abierta, o haz clic en Aceptar para aplicar los cambios y cerrar la ventana.
Configurar acciones automatizadas en Citrix Endpoint Management
La directiva SmartAccess que configuraste en el grupo de entrega para una aplicación HDX deniega el acceso a un dispositivo cuando este no cumple con las normativas. Usa las acciones automatizadas para marcar el dispositivo como no conforme.
-
Desde la consola de Citrix Endpoint Management, haz clic en Configurar > Acciones. Aparece la página Acciones.
-
Haz clic en Agregar para agregar una acción. Aparece la página Información de la acción.
-
En la página Información de la acción, escribe un nombre y una descripción para la acción.
-
Haz clic en Siguiente. Aparece la página Detalles de la acción. En el siguiente ejemplo, se crea un desencadenador que marca inmediatamente los dispositivos como no conformes si tienen el nombre de propiedad de usuario eng5 o eng6.
-
En la lista Desencadenador, elige Propiedad del dispositivo, Propiedad del usuario o Nombre de la aplicación instalada. SmartAccess no admite desencadenadores de eventos.
-
En la lista Acción:
- Elige Marcar el dispositivo como no conforme.
- Elige Es.
- Elige Verdadero.
- Para configurar la acción de marcar el dispositivo como no conforme inmediatamente cuando se cumpla la condición del desencadenador, establece el período de tiempo en 0.
-
Elige el grupo o los grupos de entrega de Citrix Endpoint Management a los que aplicar esta acción.
-
Revisa el resumen de la acción.
-
Haz clic en Siguiente y luego en Guardar.
Cuando el dispositivo se marca como no conforme, las aplicaciones HDX ya no aparecen en la tienda de Citrix Secure Hub. El usuario ya no está suscrito a la aplicación. No se envía ninguna notificación al dispositivo y nada en la tienda de Citrix Secure Hub indica que las aplicaciones HDX estaban disponibles anteriormente.
Si quieres que los usuarios reciban una notificación cuando un dispositivo se marque como no conforme, crea una notificación y luego crea una acción automatizada para enviar esa notificación.
Este ejemplo crea y envía esta notificación cuando un dispositivo se marca como no conforme: “El número de serie o el número de teléfono del dispositivo ya no cumple con la directiva del dispositivo y las aplicaciones HDX están bloqueadas”.
Crear la notificación que ven los usuarios cuando un dispositivo se marca como no conforme
-
En la consola de Citrix Endpoint Management, haz clic en el icono de engranaje en la esquina superior derecha de la consola. Aparece la página Configuración.
-
Haz clic en Plantillas de notificación. Aparece la página Plantillas de notificación.
-
Haz clic en Agregar en la página Plantillas de notificación.
-
Configura estos ajustes:
- Nombre: Bloqueo de aplicación HDX
- Descripción: Notificación del agente cuando un dispositivo no cumple con las normativas
- Tipo: Notificación ad hoc
- Citrix Secure Hub: Activado
-
Mensaje: El dispositivo
${firstnotnull(device.TEL_NUMBER,device.serialNumber)}ya no cumple con la directiva del dispositivo y las aplicaciones HDX están bloqueadas.
-
Haz clic en Guardar.
Crear la acción que envía la notificación cuando un dispositivo se marca como no conforme
-
Desde la consola de Citrix Endpoint Management, haz clic en Configurar > Acciones. Aparece la página Acciones.
-
Haz clic en Agregar para agregar una acción. Aparece la página Información de la acción.
-
En la página Información de la acción, introduce un nombre y una descripción para la acción:
- Nombre: Notificación de bloqueo de HDX
- Descripción: Notificación de bloqueo de HDX porque el dispositivo no cumple con las normativas
-
Haz clic en Siguiente. Aparece la página Detalles de la acción.
-
En la lista Desencadenador:
- Elige Propiedad del dispositivo.
- Elige No conforme.
- Elige Es.
- Elige Verdadero.
-
En la lista Acción, especifica las acciones que ocurren cuando se cumple el desencadenador:
- Elige Enviar notificación
- Elige Bloqueo de aplicación HDX, la notificación que creaste.
- Elige 0. Establecer este valor en 0 hace que la notificación se envíe cuando se cumpla la condición del desencadenador.
-
Selecciona el grupo o los grupos de entrega de Citrix Endpoint Management a los que aplicar esta acción. En este ejemplo, elige Todos los usuarios.
-
Revisa el resumen de la acción.
-
Haz clic en Siguiente y luego en Guardar.
Para obtener más información sobre cómo configurar acciones automatizadas, consulta Acciones automatizadas.
Cómo los usuarios recuperan el acceso a las aplicaciones HDX
Los usuarios pueden volver a acceder a las aplicaciones HDX una vez que el dispositivo vuelve a cumplir con las normativas:
-
En el dispositivo, ve a la tienda de Citrix Secure Hub para actualizar las aplicaciones.
-
Ve a la aplicación y pulsa Agregar a la aplicación.
Después de agregar la aplicación, aparece en Mis aplicaciones con un punto azul al lado, porque es una aplicación recién instalada.
En este artículo
- SmartAccess a aplicaciones HDX para puntos finales
- Exporta y configura el certificado del servidor de Citrix Endpoint Management y cárgalo en el almacén de StoreFront
- Configurar la directiva SmartAccess para Citrix Virtual Apps and Desktops
- Configurar acciones automatizadas en Citrix Endpoint Management
- Crear la acción que envía la notificación cuando un dispositivo se marca como no conforme