设置安全专用访问

Last published : Oct 24, 2026
您可以通过创建新站点或加入现有站点来设置安全专用访问。在这两种情况下，您都可以使用 Web 管理控制台来设置安全专用访问环境。
Related information
配置安全私有访问插件

先决条件

  • 您必须使用域用户登录安全专用访问管理控制台，该域用户也是安装安全专用访问的计算机的本地计算机管理员。
  • 在创建站点之前，必须安装 SQL 数据库服务器。
  • 如果您有多个域环境，请确保在位于不同林的 Active Directory 域之间建立域信任。有关详细信息，请参阅多域环境。

通过创建新站点设置安全专用访问

步骤 1：设置安全专用访问站点

站点是您的安全专用访问部署的名称。您可以创建站点或加入现有站点。
  1. 启动安全专用访问 Web 管理控制台。
  2. 在“创建或加入站点”页面上，“创建新的安全专用访问站点”默认处于选中状态。
  3. 单击“下一步”。
站点选择
当您选择创建站点时，您必须自动或手动为新站点配置数据库，因为设置中可能没有与站点名称对应的数据库。

步骤 2：配置数据库

您必须为新的 Secure Private Access 站点创建数据库。这可以通过手动或自动方式完成。
  1. 在 SQL Server 主机中，输入服务器主机名。例如，sql1.fabrikam.local\citrix。
    您可以通过以下任一形式指定数据库地址：
    • 服务器名称
    • 服务器名称\实例名称
    • 服务器名称,端口号
    有关详细信息，请参阅数据库。
  2. 在 站点 中，键入安全私有访问站点的名称。
    注意：
    您输入的站点名称将作为数据库名称的后缀。数据库名称格式为 CitrixAccessSecurity<sitename>，无法修改。如果必须自定义数据库名称，请联系 Citrix 支持。
  3. 单击 测试连接 以检查 SQL Server 实例是否有效，并确认站点存在指定的数据库。
数据库配置新站点
注意：
  • 如果站点的 SQL 服务器不可用，则连接性检查将失败。
  • 如果 SQL 服务器可用但数据库不存在，则连接性检查将通过。但是，会显示一条警告消息。
  • Secure Private Access 使用 Windows 身份验证（通过计算机身份）对 SQL 服务器进行身份验证。
自动配置：
  • 仅当计算机身份具有所需的数据库权限时，才能使用自动配置选项。
  • 如果指定地址处不存在数据库，则会自动创建一个数据库。
  • 创建数据库时，请确保它是空的，但具有所需的数据库权限。有关权限的详细信息，请参阅设置数据库所需的权限。
手动配置：
您可以使用手动配置选项来设置数据库。
在手动配置中，您必须首先下载脚本，然后在您在SQL Server 主机字段中指定的数据库服务器上运行这些脚本。
注意：
如果计算机没有在 SQL 服务器上的数据库中创建表的 READ、WRITE、UPDATE 权限，则数据库创建可能会失败。您必须在计算机上启用相应的权限。有关详细信息，请参阅设置数据库所需的权限。

步骤 3：集成服务器

您必须指定 StoreFront 和 NetScaler® Gateway 服务器详细信息，以将安全私有访问与 StoreFront 和 NetScaler Gateway 服务器连接。必须建立此连接，才能使 StoreFront 和 NetScaler Gateway 将流量路由到安全私有访问。您还必须指定 Director 服务器和许可证服务器详细信息。
  1. 输入以下详细信息。
    • 安全私有访问服务器地址。例如，https://secureaccess.domain.com。
    • 店面商店网址。例如，https://storefront.domain.com/Citrix/StoreMain。
    • 公共 NetScaler Gateway 地址 – 其统一资源定位符。例如，https://gateway.domain.com。
    • 虚拟 IP 地址 – 此虚拟 IP 地址必须与 StoreFront 中为回调配置的地址相同。
    • 回调 URL – 此 URL 必须与 StoreFront 中配置的 URL 相同。例如，https://gateway.domain.com。
    • 导向器 URL： - （可选）用于将 Secure Private Access 连接到 Citrix Director 的 导向器 服务器 IP 地址或完全限定域名。
    • 许可证服务器 URL： - 用于收集和处理许可数据的许可证服务器 IP 地址。
  2. 单击验证所有 URL
  3. 单击下一步，然后单击保存。
集成选项卡

步骤 4：配置摘要

配置完成后，将进行验证以确保所配置的服务器可访问。此外，还会检查以确保 Secure Private Access 服务器可访问。
如果配置摘要页面显示任何错误，请参阅故障排除错误了解详细信息。如果这不能解决问题，请联系 Citrix 支持。
摘要
设置完成后，单击摘要页面上的关闭后，将显示以下页面。
设置完成
注意：
  • 设置环境后，您可以在 Web 管理控制台中通过设置 > 集成修改设置。
  • 首次安装安全私有访问的管理员将获得完全权限。此管理员随后可以将其他管理员添加到设置中。您可以通过设置 > 管理员查看管理员列表。
  • 您还可以添加管理员组，以便该组中的所有管理员都获得访问权限。
有关详细信息，请参阅安装后管理设置。

通过加入现有站点设置安全私有访问

  1. 在创建或加入站点页面上，选择加入现有站点，然后单击下一步。
    数据库配置
  2. 在SQL Server 主机中，输入服务器主机名。确保您输入的站点名称对应的数据库已存在于您选择的 SQL Server 中。您可以采用以下任一形式指定数据库地址：
    • 服务器名称
    • 服务器名称\实例名称
    • 服务器名称,端口号
    有关详细信息，请参阅数据库。
  3. 在站点中，为安全私有访问站点键入一个名称。
  4. 单击测试连接以检查 SQL 服务器实例是否有效，并确认数据库中存在指定的站点。
    数据库配置
    如果站点没有对应的数据库，连接性检查将失败。
  5. 单击保存。
执行配置验证检查，以确保 SQL 数据库服务器已配置，并检查 Secure Private Access 服务器是否可访问。

禁用 HTTP2 设置

本地部署的 Secure Private Access 在 Internet Information Services (IIS) 环境中运行。因此，Microsoft 会直接解决并修补 IIS 中影响 HTTP/2 的任何潜在常见漏洞。在此期间，客户可以通过直接在 IIS 中手动修改 HTTP/2 设置来缓解此漏洞，从而确保本地部署的 Secure Private Access 解决方案在官方补丁发布之前也受到保护。
执行以下步骤以禁用每个站点的 HTTP2。
  1. 打开 Internet 信息服务 (IIS) 管理器。
  2. 在导航窗格中，展开站点并选择默认网站。
  3. 在操作窗格中，单击绑定，并通过选中禁用 HTTP/2复选框来修改 HTTPS 绑定。
  4. 保存并重新启动 IIS 管理器。
禁用 HTTP2 设置(/zh-cn/citrix-secure-private-access/media/disable-http2.png)

多域环境的部署

本地部署的 Secure Private Access 支持多域环境，其中计算机服务器和用户帐户服务器位于不同的 Active Directory 域中。这种跨域部署功能为管理基础架构和用户身份提供了灵活性。但是，要使此环境成功运行，必须在位于不同林的 Active Directory 域之间建立至少单向信任关系。
建立信任
为了在多域环境中为本地部署的 Secure Private Access 建立域信任，必须满足以下先决条件：
  • 用于初始配置的计算机域（例如，域 B）中的服务帐户必须在用户帐户域（例如，域 A）中进行预配。
    注意：
    必须在 IIS 中为 Citrix Access Security Runtime Service Pool 添加服务帐户。该服务帐户不需要管理员权限。有关详细信息，请参阅 配置服务帐户的步骤。
  • 如果安装服务器（在域 A 中，称为“服务器域 a”）也位于域 A 中，则必须将服务帐户创建为数据库用户，并在相关数据库实例中拥有“db owner”权限。

如何配置服务帐户

请按照以下步骤操作，以完成服务帐户的配置：
  1. 启动互联网信息服务 (IIS) 管理器。
  2. 在站点服务器下，选择 应用程序池 > Citrix 访问安全运行时池 > 高级设置。
    IIS 管理器
  3. 请点击位于 标识 > ApplicationPoolIdentity 选项旁边的编辑图标。
    标识池
  4. 在 自定义帐户： 中，单击 设置。
    设置自定义凭据
  5. 为用户设置凭据。
  6. 单击 确定。
    输入凭据

后续步骤