证书和身份验证
在 Citrix Endpoint Management 操作期间，有多个组件在身份验证中发挥作用：
-
Citrix Endpoint Management： Citrix Endpoint Management 服务器是您定义注册安全性和注册体验的位置。用户入门选项包括：
-
注册是向所有人开放还是仅限邀请。
-
是否需要双因素身份验证或三因素身份验证。Citrix Endpoint Management 客户端属性允许您启用 Citrix PIN 身份验证并配置 PIN 复杂性和过期时间。
-
-
NetScaler Gateway： NetScaler Gateway 为微 VPN SSL 会话提供终止。NetScaler Gateway 还提供网络传输中安全性，并允许您定义用户每次访问应用程序时使用的身份验证体验。
-
Citrix Secure Hub： Citrix Secure Hub 和 Citrix Endpoint Management 在注册操作中协同工作。Citrix Secure Hub 是设备上与 NetScaler Gateway 通信的实体：当会话过期时，Citrix Secure Hub 从 NetScaler Gateway 获取身份验证票证，并将票证传递给 MDX 应用程序。Citrix 建议使用证书锁定，这可以防止中间人攻击。有关详细信息，请参阅 Citrix Secure Hub 文章中的此部分：证书锁定。Citrix Secure Hub 还促进了 MDX 安全容器：Citrix Secure Hub 推送策略，在应用程序超时时与 NetScaler Gateway 创建会话，并定义 MDX 超时和身份验证体验。Citrix Secure Hub 还负责越狱检测、地理位置检查以及您应用的任何策略。
-
MDX 策略： MDX 策略在设备上创建数据保管库。MDX 策略将微 VPN 连接导回 NetScaler Gateway，强制执行离线模式限制，并强制执行客户端策略（例如超时）。
Citrix Endpoint Management 使用以下身份验证方法对用户进行资源身份验证：
-
移动设备管理 (MDM)
-
云托管身份提供程序 (IdPs)
-
轻量级目录访问协议 (LDAP)
-
邀请 URL + PIN
-
双因素身份验证
-
-
-
移动应用程序管理 (MAM)
-
LDAP
-
证书
-
安全令牌 MAM 身份验证需要 NetScaler Gateway。
-
有关其他配置详细信息，请参阅以下文章：
证书
Citrix Endpoint Management 在安装过程中生成自签名安全套接字层 (SSL) 证书，以保护与服务器的通信流。请使用来自知名证书颁发机构的受信任 SSL 证书替换此 SSL 证书。
Citrix Endpoint Management 还使用其自己的公钥基础结构 (PKI) 服务，或从 CA 获取客户端证书。所有 Citrix 产品都支持通配符和主题备用名称 (SAN) 证书。对于大多数部署，您只需要两个通配符或 SAN 证书。
客户端证书身份验证为移动应用程序提供了额外的安全层，并允许用户无缝访问 HDX 应用程序。配置客户端证书身份验证后，用户输入其 Citrix PIN 即可对启用 Citrix Endpoint Management 的应用程序进行单点登录 (SSO) 访问。Citrix PIN 还简化了用户身份验证体验。Citrix PIN 用于保护客户端证书或在设备本地保存 Active Directory 凭据。
要使用 Citrix Endpoint Management 注册和管理 iOS 设备，请设置并创建 Apple 推送通知服务 (APNs) 证书。有关步骤，请参阅APNs 证书。
下表显示了每个 Citrix Endpoint Management 组件的证书格式和类型：
| 思杰端点管理组件 | 证书格式 | 所需证书类型 |
|---|---|---|
| NetScaler 网关 | PEM (BASE64)、PFX (PKCS #12) | SSL、根 (NetScaler Gateway 会自动将 PFX 转换为 PEM。 |
| 思杰端点管理 | .p12（在基于 Windows 的计算机上为 .pfx） | SSL、SAML、APN（Citrix Endpoint Management 还在安装过程中生成完整的 PKI。）重要提示： Citrix Endpoint Management 不支持 .pem 扩展名的证书。要使用 .pem 证书，请将 .pem 文件拆分为证书和密钥，然后将每个文件导入 Citrix Endpoint Management。 |
| StoreFront | PFX (PKCS #12) | SSL，根 |
Citrix Endpoint Management 支持位长度为 4096 和 2048 的客户端证书。
对于 NetScaler Gateway 和 Citrix Endpoint Management，建议从公共 CA（例如 Verisign、DigiCert 或 Thawte）获取服务器证书。您可以从 NetScaler Gateway 或 Citrix Endpoint Management 配置实用程序创建证书签名请求 (CSR)。创建 CSR 后，将其提交给 CA 进行签名。当 CA 返回签名证书时，您可以将证书安装在 NetScaler Gateway 或 Citrix Endpoint Management 上。
重要提示：
iOS、iPadOS 和 macOS 中受信任证书的要求
Apple 对 TLS 服务器证书有新的要求。请验证所有证书是否符合 Apple 的要求。请参阅 Apple 的出版物，
<https://support.apple.com/zh-cn/HT210176>。
Apple 正在缩短 TLS 服务器证书的最大允许有效期。此更改仅影响 2020 年 9 月之后颁发的服务器证书。请参阅 Apple 的出版物，
<https://support.apple.com/zh-cn/HT211025>。
LDAP 身份验证
Citrix Endpoint Management 支持针对一个或多个符合轻型目录访问协议 (LDAP) 的目录进行基于域的身份验证。LDAP 是一种软件协议，提供对组、用户帐户和相关属性信息的访问。有关详细信息，请参阅域或域加安全令牌身份验证。
身份提供程序身份验证
您可以通过 Citrix Cloud 配置身份提供程序 (IdP) 来注册和管理用户设备。
IdP 的支持用例：
-
通过 Citrix 云 的 Azure 活动目录
-
Workspace 集成是可选的
-
配置为基于证书身份验证的 NetScaler Gateway
-
Android Enterprise（预览版。支持 BYOD、完全托管设备和增强型注册配置文件）
-
适用于 MDM+MAM 和 MDM 注册的 iOS
-
适用于 Apple Business Manager 注册的 iOS 和 macOS
-
旧版 Android (DA)
自动注册功能（例如 Apple School Manager）目前不受支持。 -
-
通过 Citrix Cloud 的 Okta
-
Workspace 集成是可选的
-
配置为基于证书身份验证的 NetScaler Gateway
-
Android Enterprise（预览版。支持 BYOD、完全托管设备和增强型注册配置文件）
-
适用于 MDM+MAM 和 MDM 注册的 iOS
-
适用于 Apple Business Manager 注册的 iOS 和 macOS
-
旧版 Android (DA)
自动注册功能（例如 Apple School Manager）目前不受支持。 -
-
通过 Citrix Cloud 的本地 NetScaler Gateway
-
NetScaler Gateway 配置为基于证书的身份验证
-
Android Enterprise (预览版。支持 BYOD、完全托管设备和增强型注册配置文件)
-
iOS 用于 MDM+MAM 和 MDM 注册
-
旧版 Android (DA) 自动注册功能（例如 Apple Deployment Program）目前不受支持。
-