安全性和用户体验
对于任何组织而言,安全性都至关重要,但在提高安全性和改善用户体验方面,您必须在两者之间实现权衡。例如,您的环境可能非常安全,但用户使用起来很困难。或者,您的环境可能具有良好的用户体验,但访问控制却不那么严格。本虚拟手册中的其他部分详细介绍了安全功能。本文的目的是全面概述XenMobile中的常见安全问题和可用的安全选项。
下面是针对每种用例需要谨记的一些主要注意事项:
- 您要保护某些应用程序的安全还是整个设备的安全?或者还是同时保护这两者的安全?
- 您希望您的用户如何进行身份验证?您计划使用LDAP还是基于证书的身份验证吗?或者组合使用这两者?
- 您希望如何处理用户会话超时?请谨记,后台服务,Citrix ADC以及能够在脱机时访问应用程序的超时值不同。
- 您希望用户设置设备级别通行码、应用程序级别通行码还是两者?您希望允许用户可以尝试登录多少次?请谨记,使用老妈实现的额外每应用程序身份验证要求可能会影响用户体验。
- 您还希望对用户实施其他哪些限制?您是否希望用户访问Siri等云服务吗?他们可以使用您为其提供的每个应用程序执行哪些操作以及不能执行哪些操作?您是否要部署企业wi - fi策略,以防止在办公室内部使用手机网络数据流量套餐吗?
应用程序与设备
首先要考虑的事情之一是是否通过使用移动应用程序管理(MAM)来保护某些应用程序。或者,如果您还希望使用移动设备管理(MDM)来管理整个设备。通常情况下,如果您不需要设备级别控制,则仅管理移动应用程序,尤其是当贵组织支持自带设备(BYOD)时。
使用XenMobile不进行管理的设备的用户可以通过应用商店安装应用程序。您可以通过应用程序策略控制对应用程序的访问,而不是通过设备级别控制,如选择性擦除或完全擦除。根据您设置的值,策略需要设备定期检查XenMobile以确认仍允许运行应用程序。
MDM允许您保护整个设备的安全,包括对设备上的所有软件执行清单操作的能力。您可以在设备越狱,获得根权限或安装了不安全的软件时阻止注册。但是,采用此级别的控制会使用户极不愿意允许对其私人设备拥有太多控制权限,因此可能会降低注册率。
身份验证
身份验证对用户体验有很大的影响。如果贵组织已在运行活动目录,则使用活动目录是您的用户访问系统的最简单方法。
身份验证用户体验的另一个重要方面是超时。高安全性环境会要求用户每次访问系统时进行登录,但这种方式对所有组织都不适用。例如,要求用户每次要访问其电子邮件时都输入其凭据会显著影响用户体验。
用户熵
要提高安全性,可以启用一项名为用户熵的功能。Citrix Secure Hub 与其他一些应用程序通常共享通用数据(例如,密码、PIN 和证书)以确保一切正常运行。此信息存储在 Secure Hub 中的一个通用保管库中。如果您通过加密机密(加密机密)选项启用用户熵,XenMobile将创建一个名为UserEntropy的新保管库。XenMobile将信息从通用保管库移动到新保管库中。为使安全中心或其他应用程序访问这些数据,用户必须输入密码或销。
启用用户熵将会在多个位置添加另一层身份验证。因此,每当应用程序要求访问UserEntropy保管库中的共享数据(包括证书)时,用户都必须输入密码或销。
您可以阅读XenMobile文档中的关于MDX工具包,了解有关用户熵的详细信息。要启用用户熵,您可以在客户端属性中找到相关设置。
策略
MDX和MDM策略都为组织提供了很大的灵活性,但也可以限制用户。例如,您可能希望阻止对可能会向各种位置发送敏感数据的云应用程序(例如Siri或iCloud)进行访问。您可以设置一个策略来阻止访问这些服务,但请谨记,此类策略会导致发生意外结果。iOS键盘麦克风也依赖于云访问,因此,您可能也会阻止访问该功能。
应用程序
企业移动性管理(EMM)分为移动设备管理(MDM)和移动应用程序管理(MAM)。MDM让组织能够保护和控制移动设备,而老妈有助于应用程序交付和管理。随着越来越多的人采用自带设备,通常可以实施老妈解决方案,以帮助进行应用程序交付,软件许可,配置和应用程序生命周期管理。
通过XenMobile,您可以配置特定的老妈策略和VPN设置以防止数据泄漏和其他安全威胁,进一步保护这些应用程序的安全。XenMobile为组织提供了部署以下任何解决方案的灵活性:
- 仅老妈环境
- 仅MDM环境
- 在同一平台中同时提供MDM和老妈功能的统一XenMobile企业环境
除了能够将应用程序交付到移动设备外,XenMobile还通过MDX技术提供应用程序容器化。MDX通过平台提供的独立于设备级别加密的加密来保护应用程序的安全。您可以擦除或锁定该应用程序,并且这些应用程序受到基于策略的精细控制的限制。独立软件供应商(ISV)可以使用移动应用程序SDK应用这些控制。
在企业环境中,用户使用各种各样的移动应用程序来协助完成自己的工作职责。这些应用程序可能包括公共应用商店中的应用程序、内部开发的应用程序和本机应用程序。XenMobile按如下所示对这些应用程序进行分类:
公共应用商店:这些应用程序包括公共应用商店(例如苹果应用商店或谷歌玩)中提供的免费或付费应用程序。组织外的供应商通常在公共应用商店中提供其应用程序。这种方式让其客户可以直接从互联网下载应用程序。根据用户的需求,您可以在组织中使用很多公共应用程序。例如,GoToMeeting, Salesforce和EpicCare应用程序属于此类应用程序。
Citrix不支持直接从公共应用商店下载应用程序二进制文件,然后使用MDX工具包将其打包以进行企业分发。要通过MDX启用第三方应用程序,请与您的应用程序供应商联系以获取应用程序二进制文件。可以使用MDX工具包封装二进制文件,也可以将老妈SDK与二进制文件集成。
内部应用程序:许多组织都有内部开发人员,他们创建提供特定功能并在组织内独立开发和分发的应用程序。在某些情况下,一些组织可能还有ISV提供的应用程序。您可以将此类应用程序作为本机应用程序进行部署,也可以通过使用老妈解决方案(例如XenMobile)容器化这些应用程序。例如,某医疗机构会创建一个内部应用程序,以允许医师在移动设备上查看患者信息。然后,组织可以启用老妈SDK或通过MDM封装应用程序,以保护患者信息的安全并启用对后端患者数据库服务器的VPN访问。
Web和SaaS应用程序:这些应用程序包括通过内部网络访问的应用程序(Web应用程序)或通过公用网络访问的应用程序(SaaS)。XenMobile还允许您使用一组应用程序连接器创建自定义Web和SaaS应用程序。这些应用程序连接器便于对现有网络应用程序进行单点登录(SSO)。有关详细信息,请参阅应用程序连接器类型。例如,您可以使用基于安全声明标记语言(SAML)的谷歌应用SAML为SSO登录谷歌应用程序。
移动生产力应用程序:Citrix开发且在XenMobile许可证中附带的应用程序。有关详细信息,请参阅关于移动生产力应用程序。Citrix 还提供 ISV 使用移动应用程序 SDK 开发的其他业务就绪型应用程序。
HDX应用程序:您通过店面发布且由Windows托管的应用程序。如果您有Citrix虚拟应用程序和桌面环境,则可以将这些应用程序与XenMobile集成以向注册用户提供这些应用程序。
根据您计划通过XenMobile部署和管理的移动应用程序的类型,基础配置和体系结构会有所差别。例如,如果具有不同权限级别的多组用户使用某一个应用程序,您可能需要独立的交付组以部署该应用程序的两个版本。此外,您还必须确保用户组成员身份相互排斥,以避免在用户设备上出现策略不匹配。
您还可能希望使用苹果批量购买管理iOS应用程序许可。此选项将要求您注册加入苹果批量购买,并在XenMobile控制台中配置XenMobile批量购买设置,以便使用批量购买许可证分发应用程序。鉴于各种此类用例,在实施XenMobile环境之前务必要评估和规划您的老妈策略。规划您的老妈策略时,您可以先明确以下各项:
应用程序类型:列出您计划支持的不同类型的应用程序,然后对其进行组织整理。例如:公共应用程序,本机应用程序,移动生产力应用程序,网络应用程序,内部应用程序,ISV应用程序等。此外,还按不同的设备平台(例如iOS和Android)对应用程序进行分类。此分类可帮助您调整每种类型的应用程序所需的XenMobile设置。例如,某些应用程序可能不符合封装条件,或者可能需要移动应用程序SDK来启用特殊API才能与其他应用程序进行交互。
网络要求:通过适当的设置为应用程序配置特定的网络访问要求。例如,某些应用程序可能需要通过VPN访问您的内部网络。某些应用程序可能需要互联网访问权限才能通过DMZ对访问进行路由。为了允许此类应用程序连接到所需网络,您必须相应地配置各种设置。明确每个应用程序网络要求有助于在早期做出您的体系结构决策,这将简化整体实施流程。
安全要求:定义适用于单个应用程序或所有应用程序的安全要求非常重要。该规划可确保您在安装XenMobile服务器时创建正确的配置。尽管MDX策略等设置适用于各个应用程序,但会话和身份验证设置应用于所有应用程序。某些应用程序可能具有特定的加密、容器化、封装、加密、身份验证、地理围栏、通行码或数据共享要求,您可以提前指明这些要求,以简化部署。
部署要求:您可能希望使用基于策略的部署以仅允许合规用户下载已发布的应用程序。例如,您可能希望某些应用程序要求满足以下任意要求:
- 基于设备平台的加密已启用
- 设备已托管
- 设备满足最低操作系统版本
- 某些应用程序仅适用于企业用户
您可能还希望某些应用程序仅供企业用户使用。请提前列出此类要求,以便您可以配置适当的部署规则或操作。
许可要求:保留应用程序相关的许可要求的记录。这些笔记有助于您有效地管理许可证使用情况,以及决定是否在XenMobile中配置特定功能以便于进行许可。例如,如果部署免费或付费iOS应用程序,苹果会通过要求用户登录其iTunes帐户来强制对该应用程序执行许可要求。您可以注册加入苹果批量购买以通过XenMobile分发和管理这些应用程序。批量购买允许用户无需登录其iTunes帐户即可下载应用程序。此外,三星安全诺克斯和三星等工具有特殊的许可要求,您需要在部署这些功能之前先完成这些要求。
允许列表和阻止列表要求:您可能希望阻止用户安装或使用某些应用程序。创建使设备不合规的应用程序允许列表。然后,设置在设备不合规时触发的策略。另一方面,某个应用程序可能可以使用,但可能会出于某个原因而被列入阻止列表。在这种情况,可以将该应用程序添加到允许列表中,并指出该应用程序是可以使用的但不是必需的。此外,请谨记,预先安装在新设备上的应用程序可能包括一些不属于操作系统的常用应用程序。这些应用程序可能会与您的阻止列表策略相冲突。
应用程序用例
某医疗机构计划部署XenMobile以用作其移动应用程序的老妈解决方案。移动应用程序将交付给公司和自带设备用户。它决定交付和管理以下应用程序:
- 移动生产力应用程序:由Citrix提供的iOS和Android应用程序。
- 安全邮件:电子邮件、日历和联系人应用程序。
- 安全的网络:用于访问互联网和内联网站点的安全Web浏览器。
- Citrix文件:用于访问共享数据以及共享、同步和编辑文件的应用程序。
公共应用商店
- 安全中心:所有移动设备用来与XenMobile通信的客户端。它通过安全中心客户端向移动设备推送安全设置,配置和移动应用程序。安卓和 iOS 设备通过 Secure Hub 在 XenMobile 中注册。
- Citrix接收机:允许用户在移动设备上打开虚拟应用程序和桌面托管的应用程序的移动应用程序。
- 进行交流:在线会议,桌面共享和视频会议客户端,让用户可以通过互联网实时与其他计算机用户,客户,客户端或同事联系。
- SalesForce1:SalesForce1允许用户从移动设备访问Salesforce,并将所有聊天,CRM,自定义应用程序和业务流程集中在一起,以使Salesforce任何用户拥有统一的体验。
- RSA SecurID:用于双重身份验证的基于软件的令牌。
- EpicCare应用程序:这些应用程序让医疗工作人员可以安全便携地访问患者图表、患者列表、计划和消息。
- 俳句:适用于iPhone和Android手机的移动应用程序。
- 章:适用于iPad的移动应用程序
- 探测器:适用于iPhone和iPad的移动应用程序。
HDX:这些应用程序通过Citrix虚拟应用程序和桌面交付。
- 史诗多维空间:用于电子病历管理的史诗客户端应用程序。
ISV
- Vocera:HIPAA合规VoIP和消息传送移动应用程序,通过iPhone和Android智能手机随时随地扩展Vocera语音技术的优势。
内部应用程序
- HCMail:该应用程序用于撰写加密邮件、在内部邮件服务器上搜索通讯簿以及使用电子邮件客户端将加密邮件发送给联系人。
内部网络应用程序
- PatientRounding:该网站应用程序用于按不同的部门记录患者健康信息。
- Outlook Web Access:允许通过网页浏览器访问电子邮件。
- SharePoint:用于组织范围的文件和数据共享。
下表列出了老妈配置所需的基本信息。
应用程序名称 | 应用程序类型 | MDX打包 | iOS | 安卓 |
安全邮件 | XenMobile应用 | 版本10.4.1及更高版本不使用 | 是 | 是 |
安全的网络 | XenMobile应用 | 版本10.4.1及更高版本不使用 | 是 | 是 |
Citrix文件 | XenMobile应用 | 版本10.4.1及更高版本不使用 | 是 | 是 |
安全中心 | 公共应用程序 | 不适用 | 是 | 是 |
Citrix接收机 | 公共应用程序 | 不适用 | 是 | 是 |
进行交流 | 公共应用程序 | 不适用 | 是 | 是 |
SalesForce1 | 公共应用程序 | 不适用 | 是 | 是 |
RSA SecurID | 公共应用程序 | 不适用 | 是 | 是 |
史诗俳句 | 公共应用程序 | 不适用 | 是 | 是 |
史诗篇 | 公共应用程序 | 不适用 | 是 | 否 |
史诗探测器 | 公共应用程序 | 不适用 | 是 | 否 |
史诗多维空间 | HDX应用程序 | 不适用 | 是 | 是 |
Vocera | ISV应用程序 | 是 | 是 | 是 |
HCMail | 内部应用程序 | 是 | 是 | 是 |
PatientRounding | 网络应用程序 | 不适用 | 是 | 是 |
Outlook Web Access | 网络应用程序 | 不适用 | 是 | 是 |
SharePoint | 网络应用程序 | 不适用 | 是 | 是 |
以下各表列出了您在XenMobile中配置老妈策略时可以查询的特定要求。
|应用程序名称|需要VPN|交互|交互|基于设备平台的加密| | | |(与容器外部的应用程序)|(从容器外部的应用程序)| | |——————| -| ———————————— | ———————————— | ———— | | 安全邮件| Y |选择性允许|允许|不需要| |安全Web Y | |允许|允许|不需要| | | Citrix文件Y |允许|允许|不需要| | |安全中心Y |不适用|不适用|不适用| | Citrix接收机Y | |不适用|不适用|不适用| | GoToMeeting N | |不适用|不适用|不适用| | SalesForce1 N | |不适用|不适用|不适用| | RSA SecurID N | |不适用|不适用|不适用| |史诗俳句Y | |不适用|不适用|不适用| | |章史诗Y |不适用|不适用|不适用| |史诗罗孚Y | |不适用|不适用|不适用| |史诗多维空间Y | |不适用|不适用|不适用| | Vocera Y | |已阻止|已阻止|不需要| | HCMail Y | |已阻止|已阻止|必需| | PatientRounding Y | |不适用|不适用|必需| | Outlook Web Access Y | |不适用|不适用|不需要| | SharePoint Y | |不适用|不适用|不需要|
应用程序名称 | 代理过滤 | 许可 | 地理围栏 | 移动应用程序SDK | 最低操作系统版本 |
---|---|---|---|---|---|
安全邮件 | 必需 | 不适用 | 选择性必需 | 不适用 | 强制执行 |
安全的网络 | 必需 | 不适用 | 不需要 | 不适用 | 强制执行 |
Citrix文件 | 必需 | 不适用 | 不需要 | 不适用 | 强制执行 |
安全中心 | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
Citrix接收机 | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
进行交流 | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
SalesForce1 | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
RSA SecurID | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
史诗俳句 | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
史诗篇 | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
史诗探测器 | 不需要 | 批量购买 | 不需要 | 不适用 | 不强制执行 |
史诗多维空间 | 不需要 | 不适用 | 不需要 | 不适用 | 不强制执行 |
Vocera | 必需 | 不适用 | 必需 | 必需 | 强制执行 |
HCMail | 必需 | 不适用 | 必需 | 必需 | 强制执行 |
PatientRound-ing | 必需 | 不适用 | 不需要 | 不适用 | 不强制执行 |
Outlook Web Access | 必需 | 不适用 | 不需要 | 不适用 | 不强制执行 |
SharePoint | 必需 | 不适用 | 不需要 | 不适用 | 不强制执行 |
用户社区
每个组织都由多个以不同的功能角色运作的用户社区组成。这些用户社区使用您通过用户移动设备提供的各种资源执行不同的任务和办公功能。用户可能会使用您提供的移动设备在家中或远程办公室工作。或者,用户可能会使用其私人移动设备,这允许其访问遵从某些安全合规规则的工具。
越来越多的用户设备开始使用移动设备,企业移动性管理(EMM)将对防止数据泄漏以及强制执行安全限制至关重要。为了实现高效率以及更加复杂的移动设备管理,您可以对用户社区进行分类。这样可以简化将用户映射到资源的过程,并确保正确的安全策略应用到正确的用户。
以下示例说明了如何对医疗机构的用户社区进行分类以实现电解加工。
用户社区用例
本示例医疗机构提供技术资源以及向多个用户提供访问权限,包括网络和附属机构员工和志愿者。此机构已选择仅向非执行用户推电解加工出解决方案。
此机构的用户角色和功能可以划分为几个子组,包括:临床、非临床和合同工。选定的一组用户将收到企业移动设备,而其他用户可以从其私人设备访问有限的公司资源。要强制执行正确的安全限制级别以及防止数据泄漏,此机构决定企业,负责管理注册的每个设备(企业发放或BYOD)。此外,用户只能注册一个设备。
下面的部分概述了每个子组的角色和功能:
临床
- 护士
- 医师(医生、外科医生等)
- 专家(营养学家、麻醉师、放射科医师、心脏病专家、肿瘤学家等)
- 外部医师(从远程办公室工作的非雇员医师和办公室工作人员)
- 家庭医疗服务(执行患者家访的医师服务的办公室和移动工作人员)
- 研究专家(在六家研究机构执行临床研究以寻找医学问题答案的知识型工作者和高级用户)
- 教育和培训(护士、医师以及教育和培训专家)
非临床
- 共享服务(执行以下各种后勤职能的办公室工作人员:人力资源、工资单,应付账款,供应链服务等)
- 医师服务(执行各种医疗保健管理、管理服务以及针对提供商的业务流程解决方案的办公室工作人员,包括:管理服务、分析和业务智能、业务系统、客户服务、财务、托管式医疗管理、患者访问解决方案、收支周期解决方案等)
- 支持服务(执行各种非临床功能的办公室工作人员,包括:收益管理,临床整合,沟通,薪酬与绩效管理,设施和物业服务,HR技术系统,信息服务,内部审计和流程改进等)。
- 慈善活动(执行支持慈善活动的各项功能的办公室和移动工作人员)
合同工
- 制造商和供应商合作伙伴(通过站点到站点VPN现场连接和远程连接,提供各种非临床支持功能)
根据上述信息,此机构创建了以下实体。有关XenMobile中的交付组的详细信息,请参阅部署资源。
活动目录组织单位(OU)和组
针对欧=XenMobile资源:
- OU =临床;组=
- XM -护士
- XM -医师
- XM -专家
- XM -外部医师
- XM -家庭医疗服务
- XM -研究专家
- XM -教育和培训
- OU =非临床;组=
- XM -共享服务
- XM -医师服务
- XM -支持服务
- XM -慈善活动
XenMobile本地用户和组
针对组= 合同工,用户 =
- 供应商 1
- 供应商 2
- 供应商 3
- …供应商10
XenMobile交付组
- 临床-护士
- 临床-医师
- 临床-专家
- 临床-外部医师
- 临床-家庭医疗服务
- 临床-研究专家
- 临床-教育和培训
- 非临床-共享服务
- 非临床-医师服务
- 非临床-支持服务
- 非临床-慈善活动
交付组和用户组映射
活动目录组 | XenMobile交付组 |
XM -护士 | 临床-护士 |
XM -医师 | 临床-医师 |
XM -专家 | 临床-专家 |
XM -外部医师 | 临床-外部医师 |
XM -家庭医疗服务 | 临床-家庭医疗服务 |
XM -研究专家 | 临床-研究专家 |
XM -教育和培训 | 临床-教育和培训 |
XM -共享服务 | 非临床-共享服务 |
XM -医师服务 | 非临床-医师服务 |
XM -支持服务 | 非临床-支持服务 |
XM -慈善活动 | 非临床-慈善活动 |
交付组和资源映射
以下各表列出了分配给此用例中每个交付组的资源。第一个表显示了移动应用程序分配。第二个表显示了公共应用程序,HDX应用程序和设备管理资源。
XenMobile交付组 | Citrix移动应用程序 | 公共移动应用程序 | HDX移动应用程序 |
临床-护士 | X | ||
临床-医师 | |||
临床-专家 | |||
临床-外部医师 | X | ||
临床-家庭医疗服务 | X | ||
临床-研究专家 | X | ||
临床-教育和培训 | X | X | |
非临床-共享服务 | X | X | |
非临床-医师服务 | X | X | |
非临床-支持服务 | X | X | X |
非临床-慈善活动 | X | X | X |
合同工 | X | X | X |
XenMobile交付组 | 公共应用程序:RSA SecurID | 公共应用程序:EpicCare俳句 | HDX应用程序:史诗多维空间 | 通行码策略 | 设备限制 | 自动化操作 | WiFi策略 |
临床-护士 | X | ||||||
临床-医师 | X | ||||||
临床-专家 | |||||||
临床-外部医师 | |||||||
临床-家庭医疗服务 | |||||||
临床-研究专家 | |||||||
临床-教育和培训 | X | X | |||||
非临床-共享服务 | X | X | |||||
非临床-医师服务 | X | X | |||||
非临床-支持服务 | X | X |
备注和注意事项
- XenMobile在初始配置过程中创建名为“所有用户”的默认交付组。如果不禁用此交付组,所有活动目录用户都将具有在XenMobile中注册的权限。
- XenMobile使用与LDAP服务器的动态连接按需同步Active Directory用户和组。
- 如果某个用户所属的组未在XenMobile中映射,该用户将无法注册。同样,如果某个用户属于多个组的成员,XenMobile将仅对在映射到XenMobile的组中的用户进行分类。
- 要强制进行MDM注册,必须在XenMobile控制台的“服务器属性”中将“需要注册”选项设置为“真”。有关详细信息,请参阅服务器属性。
- 您可以通过删除SQL Server数据库中dbo。userlistgrps下的条目,将用户组从XenMobile交付组中删除。警告:执行此操作之前,请创建XenMobile和数据库的备份。
关于XenMobile中的设备所有权
可以根据用户设备的所有者对用户进行分组。设备所有权包括公司拥有的设备和用户拥有的设备(也称为自带设备 (BYOD))。您可以在 XenMobile 控制台中的两个位置控制 BYOD 设备连接到您网络的方式:在每种资源的“部署规则”页面上以及通过设置页面上的服务器属性。有关部署规则的详细信息,请参阅XenMobile文档中的配置部署规则。有关服务器属性的详细信息,请参阅服务器属性。
可以要求所有BYOD用户在接受公司对其设备的管理后才能访问应用程序。或者,也可以在不管理用户设备的情况下直接允许其访问公司应用程序。
将服务器设置wsapi.mdm.required.flag设为真正的时,XenMobile将托管所有BYOD设备,并且任何拒绝注册的用户都将无法访问应用程序。在企业这团队需要高安全性和积极用户体验(在XenMobile中注册用户设备时)的环境中,请考虑将wsapi.mdm.required.flag设置为真正的。
如果让wsapi.mdm.required.flag保留假(默认设置),用户可以拒绝注册,但仍可以在其设备上通过XenMobile店访问应用程序。在隐私、法律或规制不需要设备管理而仅需要企业应用程序管理的环境中,请考虑将wsapi.mdm.required.flag设置为假。
使用XenMobile未托管的设备的用户可以通过XenMobile商店安装应用程序。您可以通过应用程序策略控制对应用程序的访问,而不是通过设备级别控制,如选择性擦除或完全擦除。根据您设置的值,策略需要设备定期检查XenMobile服务器以确认仍允许运行应用程序。
安全要求
部署XenMobile环境时的安全注意事项数量很快会变得难以应对。有许多连锁件和设置。为了帮助您入门并选择可接受的保护级别,Citrix提供了高安全性,更高安全性和最高安全性的建议,如下表中所述。
您的部署模式选择不仅涉及安全问题。此外,务必要查看用例的要求,并确定是否可以在选择部署模式之前缓解安全问题。
高:使用这些设置可提供最佳的用户体验,同时保持大多数组织可接受的基本安全级别。
较高:这些设置在安全性和可用性之间建立更加稳健的权衡。
最高:遵循这些建议,安全级别非常高,但可用性和用户采用率会降低。
部署模式安全注意事项
下表列出了实现每种安全级别的部署模式。
高安全性 | 更高的安全性 | 最高安全性 |
老妈或MDM | MDM +老妈 | MDM +老妈;以及FIPS |
注意:
- 根据用例,仅MDM部署或仅老妈部署可以满足安全要求,并提供良好的用户体验。
- 如果您不需要应用程序容器化,微VPN或应用程序特定的策略,MDM就足以管理和保护设备。
- 对单独执行应用程序容器化即可满足所有业务和安全要求的用例(例如BYOD), Citrix建议采用仅老妈模式。
- 对于高安全性环境(和公司发放的设备),Citrix建议采用MDM +老妈以充分利用可用的所有安全功能。请确保强制执行MDM注册。
- FIPS选项适用于具有最高安全性需求的环境,例如联邦政府。
如果启用FIPS模式,则必须配置SQL Server以加密SQL流量。
Citrix ADC和Citrix网关安全注意事项
下表列出了针对每种安全级别的Citrix ADC和Citrix网关建议。
高安全性 | 更高的安全性 | 最高安全性 |
推荐使用Citrix ADC。老妈和ENT需要使用Citrix网关;对于MDM,建议使用 | 如果XenMobile位于DMZ中,则使用带SSL桥接的标准Citrix的ADC XenMobile向导配置。或者,如果XenMobile服务器位于内部网络中时,如有必要,则使用SSL卸载以满足安全标准。 | SSL卸载与端到端加密 |
注意:
- 通过NAT或现有的第三方代理和负载平衡器将XenMobile服务器公开给互联网可能是MDM的一个选项。但是,该设置要求SSL流量在XenMobile服务器上终止,这会带来潜在的安全风险。
- 对于高安全性环境,采用默认XenMobile配置的Citrix ADC通常可以满足或超过安全要求。
- 对于具有最高安全性需求的MDM环境,Citrix ADC上的SSL终止支持在外围执行流量检查,并维护端到端SSL加密。
- 用于定义SSL / TLS密码的选项。
- 此外,还提供SSL FIPS Citrix ADC硬件。
- 有关详细信息,请参阅与Citrix网关和Citrix ADC集成。
注册安全注意事项
下表列出了针对每种安全级别的Citrix ADC和Citrix网关建议。
高安全性 | 更高的安全性 | 最高安全性 |
仅限活动目录组成员身份。禁用“所有用户”交付组。 | 仅限邀请的注册安全模式。仅限活动目录组成员身份。禁用“所有用户”交付组 | 注册安全模式关联到设备ID。仅限活动目录组成员身份。禁用“所有用户”交付组 |
注意:
- Citrix通常建议只允许预定义的活动目录组中的用户进行注册。该设置需要禁用内置的“所有用户”交付组。
- 您可以使用注册邀请来限制收到邀请的用户才可以注册。注册邀请不适用于Windows设备。
- 您可以使用一次性销(OTP)注册邀请作为双重身份验证解决方案以及控制用户可以注册的设备数。OTP邀请不适用于Windows设备。
设备通行码安全注意事项
下表列出了针对每种安全级别的设备通行码建议。
高安全性 | 更高的安全性 | 最高安全性 |
推荐。设备级别加密要求高安全性。通过使用 MDM 强制执行。通过使用 MDX 策略“不合规设备行为”,您可以根据需要为仅 MAM 设置高安全性。 | 通过使用MDM, MDX策略或两者强制执行。 | 通过使用MDM和MDX策略强制要求。MDM复杂通行码策略。 |
注意:
- Citrix建议使用设备通行码。
- 可以通过MDM策略强制要求输入设备通行码。
- 可以通过MDX策略要求在使用托管应用程序时输入设备通行码。例如,对于BYOD用例。
- Citrix建议组合使用MDM和MDX策略选项来提高MDM +老妈环境的安全性。
- 对于具有最高安全性要求的环境,可以配置复杂通行码策略,并通过MDM强制实施这些策略。您可以配置自动操作,以便在设备不符合通行码策略时通知管理员或执行选择性设备擦除/完全设备擦除。