设置安全私有访问

Last published : Oct 24, 2026
您可以通过创建新站点或加入现有站点来设置 Secure Private Access。在这两种情况下，您都可以使用 Web 管理控制台来设置 Secure Private Access 环境。
Related information
安装和进行配置

先决条件

  • 您必须使用域用户登录 Secure Private Access 管理控制台，该域用户也是安装 Secure Private Access 的计算机的本地计算机管理员。
  • 在创建站点之前，必须安装 SQL 数据库服务器。
  • 如果您有多个域环境，请确保在位于不同林的 Active Directory 域之间建立域信任。有关详细信息，请参阅 多域环境。

通过创建新站点设置安全私有访问

步骤 1: 设置安全私有访问站点

站点是您的 Secure Private Access 部署的名称。您可以创建站点或加入现有站点。
  1. 启动安全私有访问 Web 管理控制台。
  2. 在“创建或加入站点”页面上，“创建新的 Secure Private Access 站点”默认处于选中状态。
  3. 单击“下一步”。
站点选择
当您选择创建站点时，您必须自动或手动为新站点配置数据库，因为设置中可能没有与站点名称对应的数据库。

步骤 2：配置数据库

您必须为新的 Secure Private Access 站点创建数据库。这可以手动或自动完成。
  1. 在 SQL Server 主机中，输入服务器主机名。例如，sql1.fabrikam.local\citrix。
    您可以采用以下任一形式指定数据库地址：
    • 服务器名称
    • 服务器名称\实例名称
    • 服务器名称,端口号
    有关更多信息，请参阅数据库。
  2. 在 站点 字段中，输入 Secure Private Access 站点的名称。
    注意：
    您输入的站点名称将作为后缀添加到数据库名称中。数据库名称格式为 CitrixAccessSecurity<sitename>，无法修改。如果必须自定义数据库名称，请联系 Citrix 支持。
  3. 单击 测试连接 以检查 SQL Server 实例是否有效，并确认站点存在指定的数据库。
新站点数据库配置
注意：
  • 如果站点的 SQL 服务器不可用，则连接性检查失败。
  • 如果 SQL 服务器可用但数据库不存在，则连接性检查通过。但是，会显示一条警告消息。
  • Secure Private Access 使用 Windows 身份验证（通过计算机身份）对 SQL 服务器进行身份验证。
自动配置：
  • 仅当计算机身份具有所需的数据库权限时，才能使用自动配置选项。
  • 如果指定地址不存在数据库，则会自动创建一个数据库。
  • 创建数据库时，请确保它是空的，但具有所需的数据库权限。有关权限的详细信息，请参阅设置数据库所需的权限。
手动配置：
您可以使用手动配置选项来设置数据库。
在手动配置中，您必须首先下载脚本，然后在SQL Server 主机字段中指定的数据库服务器上运行这些脚本。
注意：
如果计算机没有在 SQL 服务器上的数据库中创建表所需的读取、写入、更新权限，则数据库创建可能会失败。您必须在计算机上启用相应的权限。有关详细信息，请参阅设置数据库所需的权限。

步骤 3：集成服务器

You must specify StoreFront and NetScaler® Gateway server details to connect Secure Private Access with StoreFront and NetScaler Gateway servers. This connection must be established to enable StoreFront and NetScaler Gateway to route traffic to Secure Private Access. You must also specify the Director server and license server details.
  1. 输入以下详细信息。
    • 安全专用访问服务器地址。例如，https://secureaccess.domain.com。
    • StoreFront 应用商店网址。例如，https://storefront.domain.com/Citrix/StoreMain。
    • Public NetScaler Gateway Address – URL of the NetScaler Gateway. For example, https://gateway.domain.com.
    • 虚拟 IP 地址 – 此虚拟 IP 地址必须与 StoreFront 中为回调配置的地址相同。
    • 回调 URL – 此 URL 必须与 StoreFront 中配置的 URL 相同。例如，https://gateway.domain.com。
    • 导向器 URL： - （可选）用于将安全私有访问连接到 Citrix 导向器的导向器服务器 IP 地址或 FQDN。
    • 许可证服务器 URL： - 用于收集和处理许可数据的许可证服务器 IP 地址。
  2. 单击验证所有 URL
  3. 单击下一步，然后单击保存。
集成选项卡

步骤 4：配置摘要

配置完成后，将进行验证以确保所配置的服务器可访问。此外，还会检查 Secure Private Access 服务器是否可访问。
如果配置摘要页面显示任何错误，请参阅故障排除错误 了解详细信息。如果这不能解决问题，请联系 Citrix 支持。
摘要
设置完成后，在摘要页面上单击关闭后，将显示以下页面。
设置完成
注意：
  • 设置完环境后，您可以从 Web 管理控制台中的 设置 > 集成 修改设置。
  • 首次安装 Secure Private Access 的管理员被授予完全权限。此管理员随后可以将其他管理员添加到设置中。您可以从 设置 > 管理员 查看管理员列表。
  • 您还可以添加管理员组，以便为该组中的所有管理员启用访问权限。
有关详细信息，请参阅 安装后管理设置。

通过加入现有站点设置安全私有访问

  1. 在 创建或加入站点 页面上，选择 加入现有站点，然后单击 下一步。
    数据库配置
  2. 在 SQL Server 主机 中，输入服务器主机名。确保您输入的站点名称对应的数据库已存在于您选择的 SQL Server 中。您可以采用以下形式之一指定数据库地址：
    • 服务器名称
    • 服务器名称\实例名称
    • 服务器名称,端口号
    有关详细信息，请参阅 数据库。
  3. 在 站点 中，键入安全私有访问站点的名称。
  4. 点击 测试连接 以检查 SQL 服务器实例是否有效，并确认数据库中存在指定的站点。
    数据库配置
    如果站点没有对应的数据库，则连接性检查将失败。
  5. 点击 保存。
执行配置验证检查是为了确保 SQL 数据库服务器已配置，并检查 Secure Private Access 服务器是否可访问。

禁用 HTTP2 设置

本地部署的 Secure Private Access 在 Internet Information Services (IIS) 环境中运行。因此，任何影响 IIS 中 HTTP/2 的潜在常见漏洞都将由 Microsoft 直接解决和修补。在此期间，客户可以通过直接在 IIS 中手动修改 HTTP/2 设置来缓解此漏洞，从而确保本地部署的 Secure Private Access 解决方案在官方补丁发布之前仍然受到保护。
执行以下步骤以按站点禁用 HTTP2。
  1. 打开 Internet 信息服务 (IIS) 管理器。
  2. 在导航窗格中，展开 站点 并选择 默认网站。
  3. 在 操作 窗格中，点击 绑定，然后通过选中 禁用 HTTP/2 复选框来修改 HTTPS 绑定。
  4. 保存并重新启动 IIS 管理器。
禁用 HTTP2 设置

多域环境的配置

Secure Private Access 本地部署支持多域环境，其中计算机服务器和用户帐户服务器位于不同的 Active Directory 域中。这种跨域部署能力为管理基础设施和用户身份提供了灵活性。但是，要使此环境成功运行，必须在位于不同林的 Active Directory 域之间建立至少单向信任关系。
建立信任
要在多域环境中为本地部署的 Secure Private Access 建立域信任，必须满足以下先决条件：
  • 用于初始配置的计算机域（例如，域 B）中的服务帐户必须在用户帐户域（例如，域 A）中预配。
    注意：
    必须在 IIS 中为 Citrix Access Security Runtime Service Pool 添加服务帐户。该服务帐户不需要管理员权限。有关详细信息，请参阅配置服务帐户的步骤。
  • 如果安装服务器（在域 A 中，称为“服务器域 a”）也位于域 A 中，则必须将服务帐户创建为具有相关数据库实例中“db owner”权限的数据库用户。

配置和设置服务帐户

请按照以下步骤操作，以配置服务帐户：
  1. 启动 互联网信息服务 (IIS) 管理器。
  2. 在站点服务器下，选择 应用程序池 > Citrix 访问安全运行时池 > 高级设置。
    IIS 管理器
  3. 单击 身份 > 应用程序池标识 中的编辑图标。
    身份池
  4. 在 自定义帐户： 中，单击 设置。
    设置自定义凭据
  5. 为用户设置凭据。
  6. 单击 确定。
    输入凭据 (/zh-cn/citrix-secure-private-access/media/spaop-multidomain-service-credentials.png)

后续步骤

  • 进行 NetScaler 网关的配置
  • 配置应用程序 (/zh-cn/citrix-secure-private-access/2405/spa-onprem-configure-apps)
  • 配置应用程序的访问策略 (/zh-cn/citrix-secure-private-access/2405/spa-onprem-configure-access-policies)