设置 安全私有访问

Last published : Oct 24, 2026
您可以通过创建新站点或加入现有站点来设置 Secure Private Access。在这两种情况下，您都可以使用 Web 管理控制台来设置 Secure Private Access 环境。
Related information
安装以及配置

先决条件

  • 您必须使用域用户登录 Secure Private Access 管理控制台，该域用户也是安装 Secure Private Access 的计算机的本地计算机管理员。
  • 在创建站点之前，必须安装 SQL 数据库服务器。
  • 如果您有多个域环境，请确保在位于不同林的 Active Directory 域之间建立域信任。有关详细信息，请参阅 多域环境。

通过创建新站点设置安全私有访问

步骤 1: 设置安全私有访问站点

站点是 Secure Private Access 部署的名称。您可以创建站点或加入现有站点。
  1. 启动安全私有访问网页管理控制台。
  2. 在“创建或加入站点”页面上，“创建新的 Secure Private Access 站点”默认处于选中状态。
  3. 单击“下一步”。
站点选择
当您选择创建站点时，您必须自动或手动为新站点配置数据库，因为与站点名称对应的数据库可能在设置中不可用。

步骤 2：配置数据库

您必须为新的 Secure Private Access 站点创建数据库。这可以手动或自动完成。
  1. 在 SQL Server 主机中，输入服务器主机名。例如，sql1.fabrikam.local\citrix。
    您可以通过以下任一形式指定数据库地址：
    • 服务器名称
    • 服务器名称\实例名称
    • 服务器名称,端口号
    有关详细信息，请参阅数据库。
  2. 在 站点中，键入安全私有访问站点的名称。
    注意：
    您输入的站点名称将作为后缀添加到数据库名称中。数据库名称格式为 CitrixAccessSecurity<sitename> 且无法修改。如果您需要自定义数据库名称，请联系 Citrix 支持。
  3. 单击 测试连接 以检查 SQL Server 实例是否有效，并确认站点存在指定的数据库。
数据库配置新站点
注意：
  • 如果站点没有可用的 SQL 服务器，则连接性检查将失败。
  • 如果 SQL 服务器可用但数据库不存在，则连接性检查将通过。但是，会显示一条警告消息。
  • Secure Private Access 使用 Windows 身份验证（通过计算机身份）对 SQL 服务器进行身份验证。
自动配置：
  • 仅当计算机身份具有所需的数据库权限时，才能使用“自动配置”选项。
  • 如果指定地址不存在数据库，则会自动创建一个数据库。
  • 创建数据库时，请确保它是空的，但具有所需的数据库权限。有关权限的详细信息，请参阅设置数据库所需的权限。
手动配置：
您可以使用“手动配置”选项来设置数据库。
在手动配置中，您必须首先下载脚本，然后在您在“SQL Server 主机”字段中指定的数据库服务器上运行这些脚本。
注意：
如果计算机没有在 SQL 服务器上的数据库中创建表所需的读取、写入、更新权限，则数据库创建可能会失败。您必须在计算机上启用相应的权限。有关详细信息，请参阅设置数据库所需的权限。

步骤 3：集成服务器

您必须指定 StoreFront 和 NetScaler® 网关服务器详细信息，以将安全私有访问与 StoreFront 和 NetScaler® 网关服务器连接。必须建立此连接才能使 StoreFront 和 NetScaler® 网关将流量路由到安全私有访问。您还必须指定 Director 服务器和许可证服务器详细信息。
  1. 输入以下详细信息。
    • 安全私有访问服务器地址。例如，https://secureaccess.domain.com。
    • StoreFront 应用商店网址。例如，https://storefront.domain.com/Citrix/StoreMain。
    • 公共 NetScaler 网关 地址 – NetScaler 网关 的统一资源定位符。例如，https://gateway.domain.com。
    • 虚拟 IP 地址 – 此虚拟 IP 地址必须与 StoreFront 中为回调配置的地址相同。
    • 回调 URL – 此 URL 必须与 StoreFront 中配置的 URL 相同。例如，https://gateway.domain.com。
    • Director URL： - 用于将安全专用访问与 Citrix Director 连接的 Director 服务器 IP 地址或完全限定域名。
    • 许可证服务器 URL： - 用于收集和处理许可数据的许可证服务器 IP 地址。
  2. 单击验证所有 URL
  3. 单击下一步，然后单击保存。
集成选项卡

步骤 4：配置摘要

配置完成后，将进行验证以确保所配置的服务器可访问。此外，还会进行检查以确保 Secure Private Access 服务器可访问。
如果配置摘要页面显示任何错误，请参阅故障排除错误了解详细信息。如果这不能解决问题，请联系 Citrix 支持。
摘要
设置完成后，单击摘要页面上的关闭后将显示以下页面。
设置完成(/zh-cn/citrix-secure-private-access/media/setup-done.png)
注意：
  • 设置完环境后，您可以从 Web 管理控制台中的 设置 > 集成 修改设置。
  • 首次安装 Secure Private Access 的管理员被授予完全权限。该管理员随后可以将其他管理员添加到设置中。您可以从 设置 > 管理员 查看管理员列表。
  • 您还可以添加管理员组，以便该组中的所有管理员都启用访问权限。
有关详细信息，请参阅 安装后管理设置。

通过加入现有站点设置安全私有访问

  1. 在 创建或加入站点 页面上，选择 加入现有站点，然后单击 下一步。
    数据库配置(/zh-cn/citrix-secure-private-access/media/spaop-firsttime-select-site1a.png)
  2. 在 SQL Server 主机 中，输入服务器主机名。确保您输入的站点名称对应的数据库已存在于您选择的 SQL Server 中。您可以采用以下任一形式指定数据库地址：
    • 服务器名称
    • 服务器名称\实例名称
    • 服务器名称,端口号
    有关详细信息，请参阅 数据库。
  3. 在 站点 中，键入安全私有访问站点的名称。
  4. 点击 测试连接 以检查 SQL 服务器实例是否有效，并确认数据库中存在指定的站点。
    数据库配置(/zh-cn/citrix-secure-private-access/media/spaop-databse-config-1a.png)
    如果站点没有对应的数据库，连接性检查将失败。
  5. 点击 保存。
配置验证检查旨在确保 SQL 数据库服务器已配置，并检查 Secure Private Access 服务器是否可访问。

禁用 HTTP2 设置

本地部署的 Secure Private Access 在 Internet Information Services (IIS) 环境中运行。因此，任何影响 IIS 中 HTTP/2 的潜在常见漏洞都将由 Microsoft 直接解决和修补。在此期间，客户可以通过直接在 IIS 中手动修改 HTTP/2 设置来缓解此漏洞，从而确保本地部署的 Secure Private Access 解决方案在官方补丁发布之前仍然受到保护。
执行以下步骤以按站点禁用 HTTP2。
  1. 打开互联网信息服务 (IIS) 管理器。
  2. 在导航窗格中，展开 站点 并选择 Default Web Site。
  3. 在 操作 窗格中，点击 绑定 并通过选择 禁用 HTTP/2 复选框来修改 HTTPS 绑定。
  4. 保存并重新启动 IIS 管理器。
禁用 HTTP2 功能

多域环境的设置

本地部署的 Secure Private Access 支持多域环境，其中计算机服务器和用户帐户服务器位于不同的 Active Directory 域中。这种跨域部署能力为管理基础架构和用户身份提供了灵活性。但是，为了使此环境成功运行，必须在位于不同林的 Active Directory 域之间建立至少单向信任关系。
建立信任
要在多域环境中为本地部署的 Secure Private Access 建立域信任，必须满足以下先决条件：
  • 用于初始配置的计算机域（例如，域 B）中的服务帐户必须在用户帐户域（例如，域 A）中进行预配。
    注意：
    必须将服务帐户添加到 IIS 中的 Citrix Access Security Runtime Service Pool。服务帐户不需要管理员权限。有关详细信息，请参阅 配置服务帐户的步骤。
  • 如果安装服务器（在域 A 中，称为“服务器域 a”）也在域 A 中，则必须将服务帐户创建为具有相关数据库实例中“db owner”权限的数据库用户。

如何配置服务帐户

要配置服务帐户，请执行以下步骤：
  1. 启动 Internet 信息服务 (IIS) 管理器。
  2. 在站点服务器下，选择 应用程序池 > Citrix 访问安全运行时池 > 高级设置。
    IIS 管理器
  3. 单击 标识 > 应用程序池标识 中的编辑图标。
    标识池
  4. 在“自定义帐户”中，单击“设置”。
    设置自定义凭据
  5. 为用户设置凭据。
  6. 单击 确定。
    输入凭据

后续步骤