Scénario 2
Ce scénario explique comment activer la protection des applications pour les appareils non fiables.
Il existe de nombreuses définitions pour les appareils fiables et non fiables. Pour ce scénario, considérons qu’un appareil est fiable si l’analyse du point de terminaison (EPA) est réussie. Tous les autres appareils sont considérés comme non fiables.
- Configurer l’authentification adaptative.
-
Créez une stratégie d’authentification avec l’analyse EPA en suivant les étapes ci-dessous :
-
Connectez-vous à l’interface utilisateur d’administration de Citrix ADC. Dans l’onglet Configuration, accédez à Security > AAA-Application Traffic > Virtual Servers. Cliquez sur le serveur virtuel que vous souhaitez utiliser, auth_vs dans ce cas.
-
Accédez à Stratégies d’authentification > Ajouter une liaison.
-
Cliquez sur Ajouter pour créer une stratégie.
-
Créez une stratégie d’authentification basée sur l’analyse EPA. Saisissez le nom de la stratégie. Sélectionnez Type d’action comme EPA. Cliquez sur Ajouter pour créer l’action.
L’écran Créer une action EPA d’authentification s’affiche.
Créer une EPA d’authentification(/fr-fr/citrix-workspace-app/media/create-authentication-epa-action.png)
- Sur l’écran Créer une action EPA d’authentification, saisissez les détails suivants et cliquez sur Créer pour créer une action :
- Nom : Nom de l’action EPA. Dans ce cas, EPA_Action_FileExists.
- Groupe par défaut : Saisissez le nom du groupe par défaut. Si l’expression EPA est True, les utilisateurs sont ajoutés au groupe par défaut. Le Groupe par défaut dans ce cas est FileExists.
- Groupe de quarantaine : Saisissez le nom du groupe de quarantaine. Si l’expression EPA est False, les utilisateurs sont ajoutés au groupe de quarantaine.
-
Expression : Ajoutez l’expression EPA que vous souhaitez analyser. Dans cet exemple, nous considérons que l’analyse EPA est réussie si un fichier particulier est présent :
sys.client_expr("file_0_C:\\\\epa\\\\avinstalled.txt")
Vous revenez à l’écran Créer une stratégie d’authentification.
-
Saisissez true dans l’éditeur d’expressions, puis cliquez sur Créer.
EPA d’authentification true(/fr-fr/citrix-workspace-app/media/create-authentication-epa-action-true.png)
Vous revenez à l’écran Liaison de stratégie.
-
Sur l’écran Liaison de stratégie, effectuez les opérations suivantes :
-
Sélectionnez l’Expression Goto comme NEXT.
-
Dans la section Sélectionner le facteur suivant, sélectionnez la stratégie LDAP que vous avez configurée pour l’authentification dans l’Application Delivery Controller™ (ADC).
-
Cliquez sur Lier.
Détails de la liaison de stratégie(/fr-fr/citrix-workspace-app/media/policy-binding-filled.png)
-
-
-
Créer une stratégie d’accès intelligent pour les appareils approuvés :
-
Sélectionnez Stratégies d’accès intelligent sur la page Serveur virtuel d’authentification du serveur auth_vs.
-
Cliquez sur Ajouter une liaison.
-
Sur l’écran Liaison de stratégie, cliquez sur Ajouter dans la section Sélectionner une stratégie.
L’écran Créer une stratégie d’accès intelligent d’authentification apparaît.
-
Sur l’écran Créer une stratégie d’accès intelligent d’authentification, saisissez le Nom de la stratégie d’accès intelligent et cliquez sur Ajouter pour créer un profil d’accès intelligent.
L’écran Créer un profil d’accès intelligent d’authentification apparaît.
-
Ajoutez un Nom pour l’action. Saisissez trusted dans Balises. La balise est ensuite référencée dans la règle de stratégie d’accès du Broker pour la configuration. Cliquez sur Créer.
Vous revenez à l’écran Créer une stratégie d’accès intelligent d’authentification.
-
Dans la section Expression, saisissez l’expression pour laquelle vous souhaitez pousser la balise. Dans ce cas, puisque la balise est poussée pour les appareils approuvés, saisissez
AAA.USER.IS_MEMBER_OF("FileExists"). Cliquez sur Créer.
Vous revenez à l’écran Liaison de stratégie.
-
Sélectionnez l’Expression de saut comme Fin et cliquez sur Lier.
-
-
Créez une stratégie d’accès intelligent pour les appareils non fiables :
-
Suivez les instructions de l’étape précédente, à l’exception des sous-étapes v et vi.
-
Pour la sous-étape v, sur l’écran Créer un profil d’accès intelligent d’authentification, ajoutez un Nom pour l’action. Saisissez untrusted dans Balises. La balise est ensuite référencée dans la règle de stratégie d’accès du Broker pour la configuration. Cliquez sur Créer.
-
Pour la sous-étape vi, dans la section Expression de l’écran Créer une stratégie d’accès intelligent d’authentification, saisissez l’expression pour laquelle vous souhaitez pousser la balise. Dans ce cas, puisque la balise est poussée pour les appareils non fiables, saisissez
AAA.USER.IS_MEMBER_OF("FileExists").NOT.
-
-
Configurez les règles de stratégie d’accès du Broker :
-
Installez le SDK Citrix PowerShell et connectez-vous à l’API cloud comme expliqué dans le blog Citrix Démarrer avec l’automatisation PowerShell pour Citrix Cloud.
-
Exécutez la commande
Get-BrokerAccessPolicyRule.Une liste de toutes les stratégies d’accès du broker pour tous les groupes de mise à disposition présents s’affiche.
-
Recherchez le DesktopGroupUid du groupe de mise à disposition que vous souhaitez modifier.
-
Obtenez les stratégies qui sont appliquées uniquement à un groupe de mise à disposition particulier à l’aide de la commande :
Get-BrokerAccessPolicyRule -DesktopGroupUid 7 -
Pour filtrer les utilisateurs utilisant des appareils fiables, créez une autre stratégie d’accès Broker à l’aide de la commande :
New-BrokerAccessPolicyRule -Name CAP_Desktops_AG_Trusted-DesktopGroupUid 7 - AllowedConnections ViaAG -AllowedProtocols HDX, RDP -AllowedUsers AnyAuthenticated - AllowRestart $true -Enabled $true-IncludedSmartAccessFilterEnabled $true -
Pour désactiver la protection des applications pour les appareils fiables et activer la protection des applications pour les appareils non fiables, utilisez la commande suivante :
Set-BrokerAccessPolicyRule CAP_Desktops_AG_trusted -IncludedSmartAccessTags Workspace:trusted -AppProtectionKeyLoggingRequired $false -AppProtectionScreenCaptureRequired $falseSet-BrokerAccessPolicyRule CAP_Desktops_AG -IncludedSmartAccessTags Workspace:untrusted -AppProtectionKeyLoggingRequired $true -AppProtectionScreenCaptureRequired $true
-
-
Vérification :
Déconnectez-vous de l’application Citrix Workspace et reconnectez-vous. Lancez la ressource protégée depuis un appareil fiable, un appareil qui remplit la condition d’analyse EPA. Vous constatez que les stratégies de protection des applications ne sont pas appliquées. Lancez la même ressource depuis un appareil non fiable. Vous constatez que les stratégies de protection des applications sont appliquées.