用于安全专用访问的连接器设备

• *.nssvc.net
• *.netscalermgmt.net
• *.citrixworkspacesapi.net
• *.citrixnetworkapi.net
• *.citrix.com
• *.servicebus.windows.net
• *.adm.cloud.com

使用连接器设备配置安全专用访问

1. 在您的资源位置中安装两个或更多连接器设备。
   有关设置连接器设备的更多信息，请参阅适用于云服务的连接器设备。
2. 要配置安全专用访问以使用 KCD 连接到本地 Web 应用程序，请完成以下步骤来配置 KCD：
   1. 将您的连接器设备加入到 Active Directory 域。
      加入 Active Directory 林使您能够在配置 Secure Private Access 时使用 Kerberos 约束委派 (KCD)，但这并不能使身份请求或身份验证使用 Connector Appliance。
      • 使用 Connector Appliance 控制台中提供的 IP 地址，在浏览器中连接到 Connector Appliance 管理网页。
      • 在 Active Directory 域部分，单击 + 添加 Active Directory 域。
        如果您的管理页面中没有 Active Directory 域部分，请联系 Citrix® 请求加入预览版。
      • 在 域名字段中输入域名。单击添加。
      • Connector Appliance 检查域。如果检查成功，将打开加入 Active Directory 对话框。
      • 输入具有此域加入权限的 Active Directory 用户的用户名和密码。
      • Connector Appliance 会建议一个计算机名称。您可以选择覆盖建议的名称，并提供您自己的计算机名称，长度最多为 15 个字符。记下计算机帐户名称。
        当 Connector Appliance 加入 Active Directory 域时，此计算机名称将在其中创建。
      • 单击加入。
   2. 为没有负载均衡器的 Web 服务器配置 Kerberos 约束委派。
      
      • 识别连接器设备的计算机名称。您可以从托管位置或直接从连接器 UI 获取此名称。
      • 在您的 Active Directory 控制器上，查找连接器设备计算机。
      • 转到 Connector Appliance 计算机帐户的属性，然后导航到委派选项卡。
      • 选择仅信任此计算机以委派给指定服务。，然后选择使用任何身份验证协议。
        
      • 单击添加。
      • 单击用户或计算机。
      • 输入目标 Web 服务器计算机名称，然后单击检查名称。 在上图中，KCD2K8 是 Web 服务器。
      • 单击确定。
      • 选择服务类型 http。
        
      • 单击确定。
      • 单击应用，然后单击确定。
        
      至此，为 Web 服务器添加委派的过程已完成。
   3. 为负载均衡器后面的 Web 服务器配置 Kerberos 约束委派 (KCD)。
      • 使用以下 setspn 命令将负载均衡器 SPN 添加到服务帐户。 setspn -S HTTP/<web_server_fqdn> <service_account>
        
      • 使用以下命令确认服务帐户的 SPN。 setspn -l <service_account>
        
      • 为连接器设备计算机帐户创建委派。
        • 按照步骤为 Web 服务器配置 Kerberos 约束委派（不带负载均衡器），以识别 CA 计算机并导航到委派 UI。
        • 在选择用户和计算机中，选择服务帐户（例如，aaa\svc_iis3）。
        • 在服务中，选择条目ServiceType: HTTP和用户或计算机：Web 服务器（例如，kcd-lb.aaa.local）
        • 单击确定。
        • 单击应用，然后单击确定。
   4. 为组托管服务帐户配置 Kerberos 约束委派 (KCD)。
      • 如果尚未完成，请将 SPN 添加到组托管服务帐户。 setspn -S HTTP/<web_server_fqdn> <group_manged_service_account>
      • 使用以下命令确认 SPN。 setspn -l <group_manged_service_account>
      由于在为计算机帐户添加委派条目时，组托管服务帐户无法在 Users and Computers 搜索中显示，因此您无法使用常规方法为计算机帐户添加委派。因此，您可以通过属性编辑器将此 SPN 作为委派条目添加到 CA 计算机帐户。
      • 在连接器设备计算机属性中，导航到属性编辑器选项卡，并查找 msDA-AllowedToDeleteTo 属性。
      • 编辑 msDA-AllowedToDeleteTo attribute，然后添加 SPN。
      )
      )
   5. 从 Citrix Gateway 连接器™ 迁移到 Citrix Connector 设备。
      • 由于在配置网关连接器时已将 SPN 设置为服务帐户，因此如果未配置新的 Kerberos 应用程序，则无需为服务帐户添加任何其他 SPN。您可以通过以下命令查看为服务帐户分配的所有 SPN 列表，并将其指定为 CA 计算机帐户的委派条目。
      setspn -l <service_account>
      
      在此示例中，SPN (kcd-lb.aaa.local, kcd-lb-app1.aaa.local, kcd-lb-app2.aaa.local, kcd-lb-app3.aaa.local) 已为 KCD 配置。
      • 将所需的 SPN 作为委派条目添加到连接器设备计算机帐户。有关详细信息，请参阅步骤 为连接器设备计算机帐户创建委派。
      
      在此示例中，所需的 SPN 已作为委派条目添加到 CA 计算机帐户。
      注意： 在配置网关连接器时，这些 SPN 已作为委派条目添加到服务帐户。由于您不再使用服务帐户委派，因此可以从服务帐户的“委派”选项卡中删除这些条目。
   6. 请遵循 Citrix Secure Private Access™ 文档来设置 Citrix Secure Private Access 服务。在设置过程中，Citrix Cloud 会识别您的 Connector 设备的存在，并使用它们连接到您的资源位置。
   • 思杰安全私有访问入门
   • 配置思杰安全私有访问
   • 适用于云服务的 Connector 设备
   • 互联网连接要求。
   • 支持企业 Web 应用程序(/zh-cn/citrix-secure-private-access/service/add-and-manage-apps/support-web-apps.html)

验证您的 Kerberos 配置

1. 转到 Connector Appliance 管理页面。
   1. 从您的虚拟机管理程序中的 Connector Appliance 控制台，将 IP 地址复制到浏览器地址栏。
   2. 输入您注册 Connector Appliance 时设置的密码。
2. 从右上角的“管理”菜单中，选择Kerberos 验证。
3. 在Kerberos 验证对话框中，选择Kerberos 验证模式。
4. 指定或选择Active Directory 域。
   • 如果您正在验证 Kerberos 仅域模式配置，则可以指定任何 Active Directory 域。
   • 如果您正在验证 Kerberos 约束委派配置，则必须从已加入林中的域列表中进行选择。
5. 指定服务 FQDN。默认服务名称假定为 http。如果您指定“computer.example.com”，则这被视为与 http/computer.example.com 相同。
6. 指定用户名。
7. 如果您正在验证 Kerberos 仅域模式配置，请为该用户名指定密码。
8. 单击测试 Kerberos。