Modos de administración
Para cada instancia de XenMobile® (un solo servidor o un clúster de nodos), puedes elegir si administrar dispositivos, aplicaciones o ambos. XenMobile utiliza los siguientes términos para los modos de administración de dispositivos y aplicaciones:
- Modo de administración de dispositivos móviles (modo MDM)
- Modo de administración de aplicaciones móviles (modo MAM)
- Modo MDM+MAM (modo Enterprise)
Administración de dispositivos móviles (modo MDM)
Importante:
Si configuras el modo MDM y luego cambias al modo ENT, asegúrate de usar la misma autenticación (Active Directory). XenMobile no admite cambiar el modo de autenticación después de la inscripción de usuarios. Para obtener más información, consulta Actualizar.
Con MDM, puedes configurar, proteger y dar asistencia a los dispositivos móviles. MDM te permite proteger los dispositivos y los datos de los dispositivos a nivel de sistema. Puedes configurar políticas, acciones y funciones de seguridad. Por ejemplo, puedes borrar un dispositivo de forma selectiva si se pierde, es robado o no cumple con las normativas. Aunque la administración de aplicaciones no está disponible con el modo MDM, puedes entregar aplicaciones móviles, como las de tiendas de aplicaciones públicas y aplicaciones empresariales, en este modo. Los siguientes son casos de uso comunes para el modo MDM:
- MDM es una consideración para los dispositivos propiedad de la empresa donde se requieren políticas o restricciones de administración a nivel de dispositivo, como borrado completo, borrado selectivo o geolocalización.
- Cuando los clientes requieren la administración de un dispositivo real, pero no requieren políticas MDX, como la contenerización de aplicaciones, los controles sobre el uso compartido de datos de aplicaciones o la micro VPN.
- Cuando los usuarios solo necesitan que el correo electrónico se entregue a sus clientes de correo electrónico nativos en sus dispositivos móviles, y Exchange ActiveSync o Client Access Server ya son accesibles externamente. En este caso de uso, puedes usar MDM para configurar la entrega de correo electrónico.
- Cuando implementas aplicaciones empresariales nativas (no MDX), aplicaciones de tiendas de aplicaciones públicas o aplicaciones MDX entregadas desde tiendas públicas. Ten en cuenta que una solución MDM por sí sola podría no evitar la fuga de datos de información confidencial entre aplicaciones en el dispositivo. La fuga de datos podría ocurrir con operaciones de copiar y pegar o Guardar como en las aplicaciones de Office 365.
Administración de aplicaciones móviles (modo MAM)
MAM protege los datos de las aplicaciones y te permite controlar el uso compartido de datos de las aplicaciones. MAM también permite la administración de datos y recursos corporativos, por separado de los datos personales. Con XenMobile configurado para el modo MAM, puedes usar aplicaciones móviles habilitadas para MDX para proporcionar contenerización y control por aplicación. El término modo MAM también se denomina modo solo MAM. Este término distingue este modo de un modo MAM heredado.
Al usar las políticas MDX, XenMobile proporciona control a nivel de aplicación sobre el acceso a la red (como micro VPN), la interacción entre aplicaciones y dispositivos, el cifrado de datos y el acceso a las aplicaciones.
MAM suele ser adecuado para dispositivos de tipo “trae tu propio dispositivo” (BYO) porque, aunque el dispositivo no está administrado, los datos corporativos permanecen protegidos. MDX tiene muchas políticas solo para MAM que no requieren un control MDM.
MAM también es compatible con las aplicaciones de productividad móvil. Esta compatibilidad incluye la entrega segura de correo electrónico a Citrix Secure Mail, el uso compartido de datos entre las aplicaciones de productividad móvil protegidas y el almacenamiento seguro de datos en Citrix Files. Para obtener más detalles, consulta aplicaciones de productividad móvil.
MAM suele ser adecuado para los siguientes ejemplos:
- Entregas aplicaciones móviles, como aplicaciones MDX, administradas a nivel de aplicación.
- No se te exige administrar dispositivos a nivel de sistema.
MDM+MAM (modo Enterprise)
MDM+MAM es un modo híbrido, también llamado modo Enterprise, que habilita todos los conjuntos de funciones disponibles en la solución XenMobile Enterprise Mobility Management (EMM). La configuración de XenMobile con el modo MDM+MAM habilita las funciones de MDM y MAM.
XenMobile te permite especificar si los usuarios pueden optar por no participar en la administración de dispositivos o si tú requieres la administración de dispositivos. Esta flexibilidad es útil para entornos que incluyen una combinación de casos de uso. Estos entornos pueden requerir o no la administración de un dispositivo a través de políticas MDM para acceder a tus recursos MAM.
MDM+MAM es adecuado para los siguientes ejemplos:
- Tienes un único caso de uso en el que se requieren tanto MDM como MAM. MDM es necesario para acceder a tus recursos MAM.
- Algunos casos de uso requieren MDM, mientras que otros no.
- Algunos casos de uso requieren MAM, mientras que otros no.
Especificas el modo de administración para el servidor XenMobile a través de la propiedad Modo de servidor. Configuras el ajuste en la consola de XenMobile. El modo puede ser MDM, MAM o ENT (para MDM+MAM).
La edición de XenMobile para la que tienes una licencia determina los modos de administración y otras funciones disponibles, como se muestra en la siguiente tabla.
| Edición XenMobile MDM | Edición XenMobile Advanced |
| Funciones MDM | Funciones MDM |
| - | Funciones MAM |
| - | SDK de MAM |
| Secure Hub | Secure Hub |
| - | Secure Mail |
| - | Secure Web |
Modos de administración y perfiles de inscripción
Los modos de administración y los perfiles de inscripción funcionan juntos. Utilizas un perfil de inscripción para configurar las opciones de inscripción de administración de dispositivos y aplicaciones para dispositivos Android e iOS. Para Android, las opciones de inscripción disponibles para el modo de servidor MDM+MAM difieren de las opciones para el modo MDM. Para obtener más información, consulta Perfiles de inscripción.
Administración de dispositivos e inscripción MDM
Un entorno XenMobile Enterprise puede incluir una combinación de casos de uso, algunos de los cuales requieren la administración de dispositivos a través de políticas MDM para permitir el acceso a los recursos MAM. Antes de implementar aplicaciones de productividad móvil para los usuarios, evalúa completamente tus casos de uso y decide si requieres la inscripción MDM. Si más tarde decides cambiar el requisito de inscripción MDM, es probable que los usuarios deban volver a inscribir sus dispositivos.
Nota:
Para especificar si requieres que los usuarios se inscriban en MDM, usa la propiedad del servidor XenMobile Inscripción obligatoria en la consola de XenMobile (Configuración > Propiedades del servidor). Esa propiedad global del servidor se aplica a todos los usuarios y dispositivos de la instancia de XenMobile. La propiedad se aplica solo cuando el modo de servidor de XenMobile es ENT.
A continuación, se presenta un resumen de las ventajas y desventajas (junto con las mitigaciones) de requerir la inscripción MDM en una implementación en modo XenMobile Enterprise.
Cuando la inscripción MDM es opcional
Ventajas:
- Los usuarios pueden acceder a los recursos MAM sin someter sus dispositivos a la administración MDM. Esta opción puede aumentar la adopción por parte de los usuarios.
- Capacidad para asegurar el acceso a los recursos MAM para proteger los datos empresariales.
- Las políticas MDX, como Código de acceso de la aplicación, pueden controlar el acceso a la aplicación para cada aplicación MDX.
- La configuración de Citrix ADC, XenMobile Server y los tiempos de espera por aplicación, junto con el PIN de Citrix, proporcionan una capa adicional de protección.
- Aunque las acciones MDM no se aplican al dispositivo, algunas políticas MDX están disponibles para denegar el acceso a MAM. La denegación se basaría en la configuración del sistema, como dispositivos con jailbreak o rooteados.
- Los usuarios pueden elegir si inscribir su dispositivo en MDM durante el primer uso.
Desventajas:
- Los recursos MAM están disponibles para dispositivos no inscritos en MDM.
- Las políticas y acciones MDM solo están disponibles para dispositivos inscritos en MDM.
Opciones de mitigación:
- Haz que los usuarios acepten los términos y condiciones de la empresa que los responsabilizan si deciden incumplir las normativas. Haz que los administradores supervisen los dispositivos no administrados.
- Administra el acceso y la seguridad de las aplicaciones mediante temporizadores de aplicaciones. La disminución de los valores de tiempo de espera aumenta la seguridad, pero podría afectar la experiencia del usuario.
- Un segundo entorno XenMobile con inscripción MDM obligatoria es una opción. Al considerar esta opción, ten en cuenta la sobrecarga adicional de administrar dos entornos y los recursos adicionales necesarios.
Cuando la inscripción MDM es obligatoria
Ventajas:
- Capacidad para restringir el acceso a los recursos MAM solo a dispositivos administrados por MDM.
- Las políticas y acciones MDM se pueden aplicar a todos los dispositivos del entorno según se desee.
- Los usuarios no pueden optar por no inscribir su dispositivo.
Desventajas:
- Requiere que todos los usuarios se inscriban en MDM.
- Podría disminuir la adopción por parte de los usuarios que se oponen a la administración corporativa de sus dispositivos personales.
Opciones de mitigación:
- Educa a los usuarios sobre lo que XenMobile realmente administra en sus dispositivos y a qué información pueden acceder los administradores.
- Puedes usar un segundo entorno XenMobile, con un modo de servidor MAM (también llamado modo solo MAM), para dispositivos que no necesitan administración MDM. Al considerar esta opción, ten en cuenta la sobrecarga adicional de administrar dos entornos y los recursos adicionales necesarios.
Acerca de los modos MAM y MAM heredado
XenMobile 10.3.5 introdujo un nuevo modo de servidor solo MAM. Para distinguir los modos MAM anteriores y nuevos, la documentación utiliza estos términos. El nuevo modo se denomina solo MAM o MA, el modo MAM anterior se denomina modo MAM heredado.
El modo solo MAM está en vigor cuando la propiedad Modo de servidor de XenMobile es MAM. Los dispositivos se registran en modo MAM.
La funcionalidad MAM heredada está en vigor cuando la propiedad Modo de servidor de XenMobile es ENT y los usuarios eligen no participar en la administración de dispositivos. En ese caso, los dispositivos se registran en modo MAM. Los usuarios que optan por no participar en la administración MDM continúan recibiendo la funcionalidad MAM heredada.
Nota:
Anteriormente, establecer la propiedad Modo de servidor en MAM tenía el mismo efecto que establecerla en ENT: los usuarios que optaban por no participar en la administración MDM recibían la funcionalidad MAM heredada.
La siguiente tabla resume la configuración del Modo de servidor que se debe usar para un tipo de licencia particular y el modo de dispositivo deseado:
| Tus licencias son para esta edición | Quieres que los dispositivos se registren en este modo | Establece la propiedad Modo de servidor en |
| Enterprise/Advanced/MDM | Modo MDM | MDM |
| Enterprise/Advanced | Modo MAM (también llamado modo solo MAM) | MAM |
| Enterprise/Advanced | Modo MDM+MAM | ENT (Los usuarios que optan por no participar en la administración de dispositivos operan bajo el modo MAM heredado). |
El modo solo MAM admite las siguientes funciones que antes solo estaban disponibles para ENT.
- Autenticación basada en certificados: El modo solo MAM admite la autenticación basada en certificados. Los usuarios experimentan un acceso continuo a sus aplicaciones incluso cuando su contraseña de Active Directory caduca. Si usas la autenticación basada en certificados para dispositivos MAM, debes configurar tu Citrix Gateway. De forma predeterminada, en Configuración de XenMobile > Citrix Gateway, la opción Entregar el certificado de usuario para autenticación está establecida en Desactivado, lo que significa que se utiliza la autenticación de nombre de usuario y contraseña. Cambia esa configuración a Activado para habilitar la autenticación de certificados.
- Portal de autoayuda: Para permitir que los usuarios realicen su propio bloqueo y borrado de aplicaciones. Esas acciones se aplican a todas las aplicaciones del dispositivo. Puedes configurar las acciones Bloquear aplicación y Borrar aplicación en Configurar > Acciones.
- Todos los modos de seguridad de inscripción: Incluidos Alta seguridad, URL de invitación y Doble factor, configurados a través de Administrar > Invitaciones de inscripción.
- Límite de registro de dispositivos para dispositivos Android e iOS: La propiedad del servidor Número de dispositivos por usuario se ha movido a Configurar > Perfiles de inscripción y ahora se aplica a todos los modos de servidor.
- API solo para MAM: Para dispositivos solo MAM, puedes llamar a servicios REST usando cualquier cliente REST y la API REST de XenMobile para llamar a los servicios que expone la consola de XenMobile.
- Las API solo para MAM te permiten:
- Enviar una URL de invitación y un PIN de un solo uso.
- Emitir bloqueo y borrado de aplicaciones en dispositivos.
La siguiente tabla resume las diferencias entre la funcionalidad MAM heredada y la funcionalidad solo MAM.
| Escenarios de inscripción y otras funciones | MAM heredado (el modo de servidor es ENT) | Modo solo MAM (el modo de servidor es MAM) |
| Autenticación de certificados | No compatible. | Compatible. Para la autenticación de certificados, se requiere Citrix Gateway. |
| Requisito de implementación | El servidor XenMobile no necesita ser directamente accesible desde los dispositivos. | El servidor XenMobile no necesita ser directamente accesible desde los dispositivos. |
| Opción de inscripción | Usa el FQDN de Citrix Gateway o, al usar el FQDN de MDM, opta por no inscribirte. | Usa el FQDN del servidor XenMobile. |
| Métodos de inscripción* | Nombre de usuario + Contraseña | Nombre de usuario + Contraseña, Alta seguridad, URL de invitación, URL de invitación+PIN, URL de invitación + Contraseña, Doble factor, Nombre de usuario + PIN |
| Bloqueo y borrado de aplicaciones | Compatible. | Compatible. |
| Opciones del portal de autoayuda para bloqueo y borrado de aplicaciones | No compatible. | Compatible. |
| Comportamiento de borrado de aplicaciones | Las aplicaciones permanecen en el dispositivo pero no se pueden usar. XenMobile elimina la cuenta solo en el cliente. | Las aplicaciones permanecen en el dispositivo pero no se pueden usar. XenMobile elimina la cuenta solo en el cliente. |
| Acciones automatizadas para usuarios solo MAM. | Se admiten acciones de evento, propiedad de dispositivo, propiedad de usuario. No se admiten acciones automatizadas basadas en aplicaciones instaladas. | Admite acciones de evento, propiedad de dispositivo, propiedad de usuario y algunas acciones basadas en aplicaciones, incluido el borrado y bloqueo de aplicaciones. |
| Acción integrada cuando se elimina un usuario de Active Directory | Admite el borrado de aplicaciones. | Admite el borrado de aplicaciones. |
| Límite de inscripción | Compatible; configurado a través de un perfil de inscripción. | Compatible; configurado a través de un perfil de inscripción. |
| Inventario de software | Compatible. XenMobile enumera las aplicaciones instaladas en un dispositivo. | No compatible. |
*En cuanto a las notificaciones: SMTP es el único método compatible para enviar invitaciones de inscripción.
Importante:
Para el modo solo MAM, los usuarios inscritos anteriormente deben volver a inscribir sus dispositivos. Asegúrate de proporcionar a los usuarios el FQDN del servidor XenMobile que necesitan para la inscripción. En el modo solo MAM, al igual que en el modo ENT, los dispositivos se inscriben utilizando el FQDN del servidor XenMobile. (En el modo MAM heredado, los dispositivos se inscriben utilizando el FQDN de Citrix Gateway.)
En este artículo
- Administración de dispositivos móviles (modo MDM)
- Administración de aplicaciones móviles (modo MAM)
- MDM+MAM (modo Enterprise)
- Modos de administración y perfiles de inscripción
- Administración de dispositivos e inscripción MDM
- Cuando la inscripción MDM es opcional
- Cuando la inscripción MDM es obligatoria
- Acerca de los modos MAM y MAM heredado