Verhalten & Fallstricke
2020 war ein wichtiges Jahr für das Internet! Im Juni begann Microsoft mit dem automatischen Rollout des neuen Edge-Browsers auf Basis der Chrome-Plattform. Zwar enthält dieser noch eine Hintertür zum IE11-Modus, den man gezielt für bestimmte inkompatible Webseiten aktivieren kann. Dennoch wurde damit definitiv das Ende einer Ära eingeläutet, die nicht unbedingt nur aus Höhen bestand. Während der Internet Explorer noch bis Juni 2022 auf bestimmten Microsoft-Plattformen überlebt und der IE-Modus im neuen Edge nach Aussage von Microsoft noch „mindestens bis 2029“ Bestand hat, wird der Edge „Legacy“-Browser seit März 2021 nicht mehr unterstützt.
Lifecycle FAQ – Internet Explorer and Microsoft Edge | Microsoft Docs
In diesem kleinen Beitrag möchten wir die Fallstricke bei der Nutzung des neuen Edge-Browsers mit Citrix StoreFront beleuchten, denn leider ist das Verhalten des Browsers nicht so „straight forward“, wie man es jahrelang vom guten alten Internet Explorer gewohnt war.
Neuerungen & Probleme
Citrix StoreFront Web-Services im Browser
Als Front-End zu einer Citrix Virtual Apps und Desktops (CVAD) Infrastruktur kommt den StoreFront Web-Services eine wichtige Bedeutung zu. Deshalb werden diese in der Regel redundant ausgelegt und über einen zentralen DNS-Namen angesprochen. Die Nutzung erfolgt sowohl von extern via Citrix Gateway als auch intern über einen Browser.
Der Anmeldevorgang, die Prüfung der Berechtigungen, soll für den Benutzer möglichst transparent und ohne Unterbrechungen und Missverständnisse erfolgen. Speziell, wenn in Unternehmen vom Internet Explorer auf den neuen Edge-Browser gewechselt wird ist das Browserverhalten jedoch spürbar „umständlicher“ und bedarf einiger Anpassungen.
Beim Aufruf der Seite aus dem internen Netz wird zunächst geprüft, ob auf dem Endgerät eine Citrix Workspace-App installiert ist:
Der nachfolgende Bildschirm verwirrt mehr, als dass er dem Benutzer hilft:
Fehlbedienungen sind hier fast zu erwarten.
Bricht der Benutzer die Erkennung beispielsweise ab, setzt er damit gleichzeitig das Single-Sign-On außer Kraft und muss sich manuell authentifizieren:
Was der Benutzer aber eigentlich sofort zu sehen bekommen sollte:
Hier hat er jetzt die Wahl (auf Wunsch dauerhaft) mit seinem lokalen Benutzer automatisch angemeldet zu werden oder sich mit einem anderen (z.B. administrativen) Userkonto anzumelden.
Lösung
Bei der internen Nutzung der StoreFront Services (also ohne Anmeldung über ein Citrix Gateway) wird in der Regel ein Corporate Device genutzt. Eine Abfrage des installierten Clients kann damit entfallen.
Zunächst deaktiviere ich deshalb in der StoreFront-Konsole den Client-Download für den Store:
Wenn man danach sucht, wie man die Client-Erkennung auf der StoreFront-Anmeldeseite deaktivieren kann, findet man schnell diese „einfache Lösung“ in der Knowledge Base des Herstellers:
How to disable Receiver client detection in StoreFront (citrix.com)
Das Abschalten des ProtocolHandler in der „web.config“-Datei des StoreFront Servers gemäß diesem Artikel führt jedoch zu mehr Unbequemlichkeit als zuvor, da damit auch das Single-Sign-On permanent verloren geht.
Im Anschluss kümmere ich mich daher um die Popup-Fenster der eigentlichen Client-Erkennung und nutze dazu eine spezielle Edge-Policy namens „AutoLaunchProtocolsFromOrigins“. Diese steht seit der Edge-Version 85 sowohl als Gruppenrichtlinie (GPO) als auch über den Microsoft Endpoint Manager (Intune) zur Verfügung. Für Tests eignet sich natürlich auch ein manueller Registry-Eintrag oder die Implementierung einer REG-Datei.
Microsoft Edge Browser Policy Documentation | Microsoft Docs
Die Syntax ist ein wenig knifflig, da eine kommaseparierte Liste mit mehreren Einträgen erlaubt ist, z.B.:
[{"allowed_origins": ["*"],"protocol": "onenote"},
{"allowed_origins": ["*"], "protocol": "msteams"} ,
{"allowed_origins": ["*"], "protocol": "ms-word"} ,
{"allowed_origins": ["*"], "protocol": "ms-powerpoint"},
{"allowed_origins": ["*"],"protocol": "ms-excel"}]
In unserem Fall genügt die folgende Zeile, um den Citrix Workspace Launcher automatisch zu bedienen:
[{"allowed_origins": ["company.com"], "protocol": "receiver"}"protocol": "ms-excel"}]
Wobei „company.com“ dem „*“ gegenüber zu bevorzugen ist, da nur die eigene Seite als vertrauenswürdig angegeben wird.
Microsoft schreibt dazu in der Dokumentation:
If you don't configure this policy, no protocols can launch without a prompt. Users can opt out of prompts on a per-protocol/per-site basis unless the ExternalProtocolDialogShowAlwaysOpenCheckbox policy is set to Disabled. This policy has no impact on per-protocol/per-site prompt exemptions set by users.
Die hier erwähnte Policy ist diese:
Ob die Policy in der Praxis zieht kann man übrigens auch direkt im Edge-Browser abfragen:
Ergebnis
Die Erkennung läuft automatisch ab
Die Anmeldung erfolgt wie beim seligen Internet Explorer via Single-Sign-On.
Stand heute ist der „Edge Chromium“ Browser vollständig nutzbar und wird auch von Citrix für StoreFront-Umgebungen unterstützt. Um das Benutzererlebnis erfreulich werden zu lassen und Anrufe beim internen Help-Desk zu vermeiden, sind jedoch ein paar Feinjustierungen dringend empfohlen.
