シナリオ 2
このシナリオでは、信頼されていないデバイス向けに App Protection を有効にする方法について説明します。
信頼されているデバイスと信頼されていないデバイスには、多くの定義があります。このシナリオでは、エンドポイント分析 (EPA) スキャンが成功した場合にデバイスが信頼されていると見なします。その他のすべてのデバイスは、信頼されていないデバイスと見なされます。
- アダプティブ認証を構成する(/ja-jp/citrix-secure-private-access/adaptive-authentication-service.html)。
-
次の手順で、EPA スキャンを使用した認証ポリシーを作成します。
-
Citrix ADC 管理 UI にサインインします。構成タブで、セキュリティ > AAA-アプリケーション トラフィック > 仮想サーバーに移動します。使用する仮想サーバー (この場合は auth_vs) をクリックします。
仮想サーバー(/ja-jp/citrix-workspace-app/media/virtual-servers.png)
-
認証ポリシー > バインディングの追加に移動します。
認証ポリシー(/ja-jp/citrix-workspace-app/media/authentication-policies.png)
バインドの追加(/ja-jp/citrix-workspace-app/media/step-2-b.png)
-
Add をクリックしてポリシーを作成します。
ポリシーバインド(/ja-jp/citrix-workspace-app/media/step-2-c.png)
-
EPA スキャンに基づいて認証ポリシーを作成します。ポリシーの名前を入力します。Action Type で EPA を選択します。Add をクリックしてアクションを作成します。
認証ポリシーの作成(/ja-jp/citrix-workspace-app/media/step-2-d.png)
「認証EPAアクションの作成」画面が表示されます。
-
認証EPAアクションの作成画面で、次の詳細を入力し、作成をクリックしてアクションを作成します。
- 名前: EPAアクションの名前。この場合はEPA_Action_FileExists。
- デフォルトグループ: デフォルトグループ名を入力します。EPA式がTrueの場合、ユーザーはデフォルトグループに追加されます。この場合のデフォルトグループはFileExistsです。
- 隔離グループ: 隔離グループ名を入力します。EPA式がFalseの場合、ユーザーは隔離グループに追加されます。
-
式: スキャンするEPA式を追加します。この例では、特定のファイルが存在する場合にEPAスキャンが成功したと見なします。
sys.client_expr("file_0_C:\\\\epa\\\\avinstalled.txt")
認証ポリシーの作成画面に戻ります。
-
式エディターにtrueと入力し、作成をクリックします。
ポリシーバインディング画面に戻ります。
-
ポリシーバインディング画面で、次の操作を行います。
-
「ジャンプ式」を「次」として選択します。
-
次の要素の選択セクションで、Application Delivery Controller™ (ADC) で認証用に構成したLDAPポリシーを選択します。
-
バインドをクリックします。
-
-
-
信頼済みデバイス向けのスマートアクセス ポリシーを作成します。
-
auth_vsサーバーの認証仮想サーバーページで、スマートアクセス ポリシーを選択します。
認証仮想サーバー(/ja-jp/citrix-workspace-app/media/step-3-a.png)
-
バインドの追加をクリックします。
バインドの追加(/ja-jp/citrix-workspace-app/media/step-3-b.png)
-
ポリシーバインド画面で、ポリシーの選択セクションの追加をクリックします。
ポリシーの選択(/ja-jp/citrix-workspace-app/media/step-3-c.png)
認証スマートアクセス ポリシーの作成画面が表示されます。
認証スマートアクセス(/ja-jp/citrix-workspace-app/media/step-3-d.png)
-
認証スマートアクセス ポリシーの作成画面で、スマートアクセス ポリシーの名前を入力し、スマートアクセス プロファイルを作成するために追加をクリックします。
認証スマートアクセス プロファイルの作成画面が表示されます。
-
アクションの名前を追加します。タグに「trusted」と入力します。このタグは、後で構成用のBroker Access Policyルールで参照されます。作成をクリックします。
認証プロファイルの作成(/ja-jp/citrix-workspace-app/media/step-3-e.png)
認証スマートアクセス ポリシーの作成画面に戻ります。
-
式セクションで、タグをプッシュする式を入力します。この場合、タグは信頼済みデバイスにプッシュされるため、
AAA.USER.IS_MEMBER_OF("FileExists")と入力します。作成をクリックします。信頼済みデバイスのタグ(/ja-jp/citrix-workspace-app/media/step-3-f.png)
ポリシーバインディング画面に戻ります。
-
Goto ExpressionをEndとして選択し、Bindをクリックします。
式に移動を選択(/ja-jp/citrix-workspace-app/media/step-3-g.png)
-
-
信頼されていないデバイスのスマートアクセスポリシーを作成します。
-
サブステップvとviを除き、前のステップの指示に従います。
-
サブステップvでは、Create Authentication Smart Access Profile画面で、アクションの名前を追加します。タグにuntrustedと入力します。このタグは、後で構成用のBroker Access Policyルールで参照されます。作成をクリックします。
-
サブステップviでは、Create Authentication Smart Access Policy画面のExpressionセクションで、タグをプッシュする式を入力します。この場合、タグは信頼されていないデバイスにプッシュされるため、
AAA.USER.IS_MEMBER_OF("FileExists").NOTと入力します。
-
-
Broker Accessポリシーのルールを構成します。
-
Citrix PowerShell SDK をインストールし、Citrix ブログ Citrix Cloud の PowerShell 自動化入門 で説明されているようにクラウド API に接続します。
-
コマンド
Get-BrokerAccessPolicyRuleを実行します。存在するすべてのデリバリーグループのすべてのブローカーアクセスポリシーのリストが表示されます。
-
変更するデリバリーグループのDesktopGroupUidを見つけます。
デスクトップグループUID(/ja-jp/citrix-workspace-app/media/contextual-app-desktop-group-uid.png)
-
特定のデリバリーグループにのみ適用されるポリシーを次のコマンドを使用して取得します。
Get-BrokerAccessPolicyRule -DesktopGroupUid 7 -
信頼されたデバイスを使用しているユーザーをフィルタリングするには、次のコマンドを使用して別のBroker Accessポリシーを作成します。
New-BrokerAccessPolicyRule -Name CAP_Desktops_AG_Trusted-DesktopGroupUid 7 - AllowedConnections ViaAG -AllowedProtocols HDX, RDP -AllowedUsers AnyAuthenticated - AllowRestart $true -Enabled $true-IncludedSmartAccessFilterEnabled $true -
信頼されたデバイスのApp Protectionを無効にし、信頼されていないデバイスのApp Protectionを有効にするには、次のコマンドを使用します。
Set-BrokerAccessPolicyRule CAP_Desktops_AG_trusted -IncludedSmartAccessTags Workspace:trusted -AppProtectionKeyLoggingRequired $false -AppProtectionScreenCaptureRequired $falseSet-BrokerAccessPolicyRule CAP_Desktops_AG -IncludedSmartAccessTags Workspace:untrusted -AppProtectionKeyLoggingRequired $true -AppProtectionScreenCaptureRequired $true
-
-
検証方法:
Citrix Workspaceアプリからサインアウトし、再度サインインします。EPAスキャン条件を満たす信頼されたデバイスから、保護されたリソースを起動します。App Protectionポリシーが適用されていないことがわかります。信頼されていないデバイスから同じリソースを起動します。App Protectionポリシーが適用されていることがわかります。