Preuve de concept : Accès sécurisé aux applications SaaS avec Citrix Secure Workspace Access

Aperçu

Comme les utilisateurs consomment davantage d’applications SaaS, les organisations doivent être en mesure d’unifier toutes les applications sanctionnées, de simplifier les opérations de connexion des utilisateurs tout en appliquant les normes d’authentification. Les entreprises doivent être en mesure de sécuriser ces applications même si elles existent au-delà des limites du datacenter. Citrix Workspace fournit aux entreprises un accès sécurisé aux applications SaaS.

Dans ce scénario, un utilisateur s’authentifie auprès de Citrix Workspace à l’aide d’Active Directory, Azure Active Directory, Okta, Google ou Citrix Gateway comme annuaire d’utilisateurs principal. Citrix Workspace fournit des services d’authentification unique pour un ensemble défini d’applications SaaS.

Si le service Citrix Secure Workspace Access est affecté à l’abonnement Citrix, des stratégies de sécurité améliorées, allant de l’application de filigranes basés sur l’écran, la restriction des actions d’impression et de téléchargement, les restrictions d’accaparement d’écran, l’obfuscation du clavier et la protection des utilisateurs contre les liens non fiables sont appliquées. en plus des applications SaaS.

L’animation suivante montre un utilisateur accédant à une application SaaS avec Citrix fournissant l’authentification SSO et sécurisé avec Citrix Secure Workspace Access.

Cette démonstration montre un flux SSO initié par ID dans lequel l’utilisateur lance l’application à partir de Citrix Workspace. Ce guide de PoC prend également en charge un flux SSO initié par SP où l’utilisateur tente d’accéder à l’application SaaS directement à partir de son navigateur préféré.

Ce guide de validation de concept montre comment :

1. Configuration de Citrix Workspace
2. Intégrer un annuaire d’utilisateurs principal
3. Intégrer l’authentification unique pour les applications SaaS
4. Définir des stratégies de filtrage du site
5. Valider la configuration

Configuration de Citrix Workspace

La première étape de configuration de l’environnement consiste à préparer Citrix Workspace pour l’organisation, qui inclut

1. Configuration de l’URL de l’espace de travail
2. Activation des services appropriés

Définir l’URL d’espace de travail

1. Connectez-vous à Citrix Cloud et connectez-vous en tant que compte administrateur
2. Dans Citrix Workspace, accédez à la Configuration de l’espace de travail à partir du menu supérieur gauche
3. Dans l’onglet Accès, entrez une URL unique pour l’organisation et sélectionnez Activé

Activer les services

Dans l’onglet Intégration de services, activez les services suivants pour prendre en charge l’accès sécurisé aux applications SaaS

1. Passerelle
2. Secure Browser

![Services d’espace de]travail(/en-us/tech-zone/learn/media/poc-guides_access-control-citrix-sso_workspace-config-002.png)

Vérifier

Citrix Workspace prend quelques instants pour mettre à jour les services et les paramètres d’URL. Dans un navigateur, vérifiez que l’URL de l’espace de travail personnalisée est active. Toutefois, l’ouverture de session n’est pas disponible tant qu’un répertoire utilisateur principal n’est pas défini et configuré.

Intégrer un annuaire d’utilisateurs principaux

Pour que les utilisateurs puissent s’authentifier auprès de Workspace, un annuaire d’utilisateur principal doit être configuré. L’annuaire d’utilisateurs principal est la seule identité dont l’utilisateur a besoin, car toutes les demandes d’applications dans Workspace utilisent l’authentification unique aux identités secondaires.

Une organisation peut utiliser l’un des répertoires d’utilisateurs principaux suivants

• Active Directory: pour activer l’authentification Active Directory, un connecteur de nuage doit être déployé dans le même centre de données qu’un contrôleur de domaine Active Directory en suivant le guide Installation de Cloud Connector.
• Active Directory avec mot de passe unique basé sur le temps : l’authentification basée sur Active Directory peut également inclure l’authentification multifacteur avec un mot de passe unique basé sur le temps (TOTP). Ce guide détaille les étapes requises pour activer cette option d’authentification.
• Azure Active Directory : les utilisateurs peuvent s’authentifier auprès de Citrix Workspace avec une identité Azure Active Directory. Ce guide fournit des détails sur la configuration de cette option.
• Citrix Gateway : les organisations peuvent utiliser un Citrix Gateway local pour agir en tant que fournisseur d’identité pour Citrix Workspace. Ce guide fournit des détails sur l’intégration.
• Okta : les organisations peuvent utiliser Okta comme répertoire d’utilisateurs principal pour Citrix Workspace. Ce guide fournit des instructions pour configurer cette option.

Configurer l’authentification unique

Pour intégrer avec succès des applications SaaS à Citrix Workspace, l’administrateur doit effectuer les opérations suivantes

• Configurer l’application SaaS
• Autoriser l’application SaaS

Configurer l’application SaaS

• Dans Citrix Cloud, sélectionnez Gérer dans la vignette Gateway.

• Sélectionnez Ajouter une application Web/SaaS
• Dans l’Assistant Choisir un modèle, recherchez et corrigez le modèle, qui dans ce cas est Humanité
• Dans la fenêtre Détails de l’application, tapez le nom de domaine unique de l’organisation pour l’application SaaS. L’URL et les domaines associés seront automatiquement remplis.

Remarque : Les stratégies de sécurité améliorées utilisent le champ domaines associés pour déterminer les URL à sécuriser. Un domaine associé est automatiquement ajouté en fonction de l’URL de l’étape précédente. Les stratégies de sécurité améliorées nécessitent des domaines associés pour l’application. Si l’application utilise plusieurs noms de domaine, le doit être ajouté dans le champ domaines associés, qui est souvent *.<companyID>.SaaSApp.com (à titre d’exemple *.citrix.slack.com)

• Dans la fenêtre Sécurité renforcée, sélectionnez les stratégies de sécurité appropriées pour l’environnement
• Dans la fenêtre Single Sign-On, copiez l’ URL de connexion.
• Sélectionnez le lien pour les métadonnées SAML pour identifier les paramètres SAML nécessaires à l’application SaaS.

• Dans le fichier de métadonnées SAML, copiez le certificat X509, représenté sous la forme d’une chaîne alphanumérique.

• Dans l’application Humanity SaaS, utilisez l’icône d’engrenage dans le coin supérieur droit pour afficher les paramètres. Sélectionner l’ authentification unique

• Pour l’URL de l’émetteur SAML, utilisez l’ URL de connexion obtenue à partir de la configuration Citrix Workspace.
• Passé la chaîne de certificat x.509 du fichier de métadonnées Citrix dans l’application Humanity SaaS.

• Enregistrez les paramètres dans Humanity.
• Dans Citrix Workspace, sélectionnez Enregistrer
• Sélectionner Terminer

Autoriser l’application SaaS

• Dans Citrix Cloud, sélectionnez Bibliothèque dans le menu

• Trouvez l’application SaaS et sélectionnez Gérer les abonnés
• Ajouter les utilisateurs/groupes appropriés qui sont autorisés à lancer l’application

Valider

Validation initiée par l’IdP

• Connectez-vous à Citrix Workspace en tant qu’utilisateur
• Sélectionnez l’application SaaS configurée
• Le lancement de l’application SaaS

Validation initiée par SP

• Lancer un navigateur
• Accédez à l’URL définie par l’entreprise pour l’application SaaS
• Le navigateur redirige vers Citrix Workspace pour l’authentification
• Une fois que l’utilisateur s’est authentifié auprès de l’annuaire des utilisateurs principal, l’application SaaS se lance avec Citrix fournissant une authentification unique

Définir des stratégies de filtrage du site

Le service Citrix Secure Workspace Access fournit le filtrage des sites Web au sein des applications SaaS et Web afin de protéger l’utilisateur contre les attaques par hameçonnage. La section suivante montre comment configurer des stratégies de filtrage de site Web.

• À partir de Citrix Cloud, Gérer dans la vignette Secure Workspace Access

• Si ce guide a été suivi, les étapes Configurer l’authentification de l’utilisateur finalet Configurer l’accès des utilisateurs finaux aux applications SaaS, Web et virtuelles sont terminées. Sélectionnez Configurer l’accès au contenu
• Sélectionner Modifier
• Activer l’option Filtrer les catégories du site
• Dans la zone Catégories bloquées, sélectionnez Ajouter
• Sélectionnez les catégories pour empêcher les utilisateurs d’accéder

• Lorsque toutes les catégories applicables sont sélectionnées, sélectionnez Ajouter

• Faites de même pour les catégories autorisées
• Faites de même pour les catégories redirigées. Ces catégories redirigent vers une instance Secure Browser
• Si nécessaire, les administrateurs peuvent filtrer les actions refusées, autorisées et redirigées pour des URL spécifiques suivant le même processus que celui utilisé pour définir des catégories. Les URL de site Web ont priorité sur les catégories.

Valider la configuration

Validation initiée par l’IdP

• Connectez-vous à Citrix Workspace en tant qu’utilisateur
• Sélectionnez l’application SaaS configurée. Si la sécurité renforcée est désactivée, l’application démarre dans le navigateur local, sinon le navigateur intégré est utilisé
• L’utilisateur se connecte automatiquement à l’application
• Les stratégies de sécurité améliorées appropriées sont appliquées
• Si configuré, sélectionnez une URL dans l’application SaaS qui se trouve dans les catégories bloquées, autorisées et redirigées
• Si configuré, sélectionnez une URL dans l’application SaaS qui se trouve dans les URL bloquées, autorisées et redirigées
• Le lancement de l’application SaaS

Validation initiée par SP

• Lancer un navigateur
• Accédez à l’URL définie par l’entreprise pour l’application SaaS
• Le navigateur dirige le navigateur vers Citrix Workspace pour l’authentification
• Une fois que l’utilisateur s’est authentifié auprès du répertoire principal des utilisateurs, l’application SaaS démarre dans le navigateur local si la sécurité renforcée est désactivée. Si la sécurité renforcée est activée, une instance Secure Browser lance l’application SaaS

Résolution des problèmes

Échec des stratégies de sécurité améliorées

Les utilisateurs peuvent rencontrer des stratégies de sécurité améliorées (filigrane, impression ou accès cliboard) échouent. Généralement, cela se produit parce que l’application SaaS utilise plusieurs noms de domaine. Dans les paramètres de configuration de l’application SaaS, il y avait une entrée pour les domaines associés.

Les stratégies de sécurité améliorées sont appliquées à ces domaines associés. Pour identifier les noms de domaine manquants, un administrateur peut accéder à l’application SaaS à l’aide d’un navigateur local et effectuer les opérations suivantes :

• Accédez à la section de l’application où les stratégies échouent
• Dans Google Chrome et Microsoft Edge (version Chromium), sélectionnez les trois points en haut à droite du navigateur pour afficher un écran de menu.
• Sélectionnez Plus d’outils.
• Sélectionner les outilsde développement
• Dans les outils de développement, sélectionnez Sources. Ceci fournit une liste des noms de domaine d’accès pour cette section de l’application. Afin d’activer les stratégies de sécurité améliorées pour cette partie de l’application, ces noms de domaine doivent être saisis dans le champ domaines associés de la configuration de l’application. Les domaines associés sont ajoutés comme *.domain.com