SmartAccess pour les applications HDX™
Cette fonctionnalité vous permet de contrôler l’accès aux applications HDX en fonction des propriétés de l’appareil, des propriétés utilisateur d’un appareil ou des applications installées sur un appareil. Vous utilisez cette fonctionnalité en définissant des actions automatisées pour marquer l’appareil comme non conforme afin de lui refuser l’accès. Les applications HDX utilisées avec cette fonctionnalité sont configurées dans Virtual Apps and Desktops à l’aide d’une stratégie SmartAccess qui refuse l’accès aux appareils non conformes. XenMobile communique l’état de l’appareil à StoreFront™ à l’aide d’une balise signée et chiffrée. StoreFront autorise ou refuse ensuite l’accès en fonction de la stratégie de contrôle d’accès de l’application.
Pour utiliser cette fonctionnalité, votre déploiement nécessite :
- Virtual Apps and Desktops 7.6
- StoreFront 3.7 ou 3.8
- Serveur XenMobile® configuré pour agréger les applications HDX à partir d’un serveur StoreFront
- Serveur XenMobile configuré avec un certificat SAML à utiliser pour la signature et le chiffrement des balises. Le même certificat sans clé privée est téléchargé sur le serveur StoreFront.
Pour commencer à utiliser cette fonctionnalité :
- Configurez le certificat du serveur XenMobile pour le magasin StoreFront
- Configurez au moins un groupe de mise à disposition Virtual Apps and Desktops avec la stratégie SmartAccess requise
- Définissez l’action automatisée dans XenMobile
Exporter et configurer le certificat du serveur XenMobile, puis le télécharger vers le magasin StoreFront
SmartAccess utilise des balises signées et chiffrées pour communiquer entre les serveurs XenMobile et StoreFront. Pour activer cette communication, vous ajoutez le certificat du serveur XenMobile au magasin StoreFront.
Pour plus d’informations sur l’intégration de StoreFront et XenMobile lorsque XenMobile est activé avec l’authentification basée sur le domaine et les certificats, consultez le Centre de connaissances du support.
Exporter le certificat SAML du serveur XenMobile
-
Dans la console XenMobile, cliquez sur l’icône d’engrenage dans le coin supérieur droit. La page Paramètres apparaît. Cliquez sur Certificats.
-
Localisez le certificat SAML pour le serveur XenMobile.
-
Assurez-vous que l’option Exporter la clé privée est définie sur Désactivé. Cliquez sur Exporter pour exporter le certificat vers votre répertoire de téléchargement.
-
Localisez le certificat dans votre répertoire de téléchargement. Le certificat est au format PEM.
Convertir le certificat de PEM en CER
-
Ouvrez la console de gestion Microsoft (MMC) et cliquez avec le bouton droit sur Certificats > Toutes les tâches > Importer.
-
Lorsque l’assistant d’importation de certificat apparaît, cliquez sur Suivant.
-
Accédez au certificat dans le répertoire de téléchargement.
-
Sélectionnez Placer tous les certificats dans le magasin suivant et sélectionnez Personnel comme magasin de certificats. Cliquez sur Suivant.
-
Vérifiez vos sélections et cliquez sur Terminer. Cliquez sur OK pour fermer la fenêtre de confirmation.
-
Dans la MMC, cliquez avec le bouton droit sur le certificat, puis choisissez Toutes les tâches > Exporter.
-
Lorsque l’assistant d’exportation de certificat apparaît, cliquez sur Suivant.
-
Choisissez le format X.509 binaire encodé DER (.CER). Cliquez sur Suivant.
-
Accédez au certificat. Saisissez un nom pour le certificat, puis cliquez sur Suivant.
-
Enregistrez le certificat.
-
Accédez au certificat et cliquez sur Suivant.
-
Vérifiez vos sélections et cliquez sur Terminer. Cliquez sur OK pour fermer la fenêtre de confirmation.
-
Localisez le certificat dans votre répertoire de téléchargement. Le certificat est au format CER.
Copier le certificat sur le serveur StoreFront
-
Sur le serveur StoreFront, créez un dossier nommé SmartCert.
-
Copiez le certificat dans le dossier SmartCert.
Configurer le certificat sur le magasin StoreFront
Sur le serveur StoreFront, exécutez cette commande PowerShell pour configurer le certificat du serveur XenMobile converti sur le magasin :
Grant-STFStorePnaSmartAccess –StoreService $store –CertificatePath “C:\xms\xms.cer” –ServerName “XMS server”
<!--NeedCopy-->
S’il existe des certificats sur le magasin StoreFront, exécutez cette commande PowerShell pour les révoquer :
Revoke-STFStorePnaSmartAccess –StoreService $store –All
<!--NeedCopy-->
Vous pouvez également exécuter l’une de ces commandes PowerShell sur le serveur StoreFront pour révoquer les certificats existants sur le magasin StoreFront :
- Révoquer par nom :
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –ServerName “My XM Server"
<!--NeedCopy-->
- Révoquer par empreinte numérique :
$store = Get-STFStoreService –VirtualPath /Citrix/Store
Revoke-STFStorePnaSmartAccess –StoreService $store –CertificateThumbprint “ReplaceWithThumbprint”
<!--NeedCopy-->
- Révoquer par objet serveur :
$store = Get-STFStoreService –VirtualPath /Citrix/Store
$access = Get-STFStorePnaSmartAccess –StoreService $store
Revoke-STFStorePnaSmartAccess –StoreService $store –SmartAccess $access.AccessConditionsTrusts[0]
<!--NeedCopy-->
Configurer la stratégie SmartAccess pour Virtual Apps and Desktops
Pour ajouter la stratégie SmartAccess requise au groupe de mise à disposition qui fournit l’application HDX :
-
Sur le serveur Virtual Apps and Desktops, ouvrez Citrix Studio.
-
Sélectionnez Groupes de mise à disposition dans le volet de navigation de Studio.
-
Sélectionnez un groupe qui fournit l’application ou les applications dont vous souhaitez contrôler l’accès. Sélectionnez ensuite Modifier le groupe de mise à disposition dans le volet Actions.
-
Sur la page Stratégie d’accès, sélectionnez Connexions via NetScaler® Gateway et Connexion répondant à l’une des conditions suivantes.
-
Cliquez sur Ajouter.
-
Ajoutez une stratégie d’accès où Batterie de serveurs est XM et Filtre est XMCompliantDevice.
-
Cliquez sur Appliquer pour appliquer les modifications que vous avez apportées et laisser la fenêtre ouverte, ou cliquez sur OK pour appliquer les modifications et fermer la fenêtre.
Définir des actions automatisées dans XenMobile
La stratégie SmartAccess que vous définissez dans le groupe de mise à disposition pour une application HDX refuse l’accès à un appareil lorsque celui-ci n’est pas conforme. Utilisez des actions automatisées pour marquer l’appareil comme non conforme.
-
Depuis la console XenMobile, cliquez sur Configurer > Actions. La page Actions apparaît.
-
Cliquez sur Ajouter pour ajouter une action. La page Informations sur l’action apparaît.
-
Sur la page Informations sur l’action, saisissez un nom et une description pour l’action.
-
Cliquez sur Suivant. La page Détails de l’action apparaît. Dans l’exemple suivant, un déclencheur est créé qui marque immédiatement les appareils comme non conformes s’ils ont le nom de propriété utilisateur eng5 ou eng6.
-
Dans la liste Déclencheur, choisissez Propriété de l’appareil, Propriété de l’utilisateur ou Nom de l’application installée. SmartAccess ne prend pas en charge les déclencheurs d’événements.
-
Dans la liste Action :
- Choisissez Marquer l’appareil comme non conforme.
- Choisissez Est.
- Choisissez Vrai.
- Pour définir l’action de manière à marquer l’appareil comme non conforme immédiatement lorsque la condition de déclenchement est remplie, définissez la période sur 0.
-
Choisissez le ou les groupes de mise à disposition XenMobile auxquels appliquer cette action.
-
Vérifiez le résumé de l’action.
-
Cliquez sur Suivant, puis sur Enregistrer.
Lorsque l’appareil est marqué comme non conforme, les applications HDX n’apparaissent plus dans le magasin Secure Hub. L’utilisateur n’est plus abonné à l’application. Aucune notification n’est envoyée à l’appareil et rien dans le magasin Secure Hub n’indique que les applications HDX étaient auparavant disponibles.
Si vous souhaitez que les utilisateurs soient avertis lorsqu’un appareil est marqué comme non conforme, créez une notification, puis créez une action automatisée pour envoyer cette notification.
Cet exemple crée et envoie cette notification lorsqu’un appareil est marqué comme non conforme : « Le numéro de série ou le numéro de téléphone de l’appareil n’est plus conforme à la stratégie d’appareil et les applications HDX sont bloquées. »
Créer la notification que les utilisateurs voient lorsqu’un appareil est marqué comme non conforme
-
Dans la console XenMobile, cliquez sur l’icône d’engrenage dans le coin supérieur droit de la console. La page Paramètres apparaît.
-
Cliquez sur Modèles de notification. La page Modèles de notification apparaît.
-
Cliquez sur Ajouter sur la page Modèles de notification.
-
Lorsque vous êtes invité à configurer d’abord le serveur SMS, cliquez sur Non, configurer plus tard.
-
Configurez les paramètres suivants :
- Nom : Blocage d’application HDX
- Description : Notification de l’agent lorsqu’un appareil n’est pas conforme
- Type : Notification ad hoc
- Secure Hub : Activé
- Message : L’appareil ${firstnotnull(device.TEL_NUMBER,device.serialNumber)} n’est plus conforme à la stratégie d’appareil et les applications HDX sont bloquées.
-
Cliquez sur Enregistrer.
Créer l’action qui envoie la notification lorsqu’un appareil est marqué comme non conforme
-
Depuis la console XenMobile, cliquez sur Configurer > Actions. La page Actions apparaît.
-
Cliquez sur Ajouter pour ajouter une action. La page Informations sur l’action apparaît.
-
Sur la page Informations sur l’action, saisissez un nom et une description pour l’action :
- Nom : Notification de blocage HDX
- Description : Notification de blocage HDX car l’appareil n’est pas conforme
-
Cliquez sur Suivant. La page Détails de l’action apparaît.
-
Dans la liste Déclencheur :
- Choisissez Propriété de l’appareil.
- Choisissez Non conforme.
- Choisissez Est.
- Choisissez Vrai.
-
Dans la liste Action, spécifiez les actions qui se produisent lorsque le déclencheur est rempli :
- Choisissez Envoyer une notification
- Choisissez Blocage d’application HDX, la notification que vous avez créée.
- Choisissez 0. La définition de cette valeur sur 0 entraîne l’envoi de la notification lorsque la condition de déclenchement est remplie.
-
Sélectionnez le ou les groupes de mise à disposition XenMobile auxquels appliquer cette action. Dans cet exemple, choisissez AllUsers.
-
Vérifiez le résumé de l’action.
-
Cliquez sur Suivant, puis sur Enregistrer.
Pour plus d’informations sur la définition des actions automatisées, consultez Actions automatisées.
Comment les utilisateurs retrouvent l’accès aux applications HDX
Les utilisateurs peuvent retrouver l’accès aux applications HDX une fois que l’appareil est de nouveau conforme :
-
Sur l’appareil, accédez au magasin Secure Hub pour actualiser les applications du magasin.
-
Accédez à l’application et appuyez sur Ajouter à l’application.
Une fois l’application ajoutée, elle apparaît dans Mes applications avec un point bleu à côté, car il s’agit d’une application nouvellement installée.
Dans cet article
- Exporter et configurer le certificat du serveur XenMobile, puis le télécharger vers le magasin StoreFront
- Configurer la stratégie SmartAccess pour Virtual Apps and Desktops
- Définir des actions automatisées dans XenMobile
- Créer l’action qui envoie la notification lorsqu’un appareil est marqué comme non conforme