将 Azure 活动目录 用作 IdP

要求

• 版本和许可证
  • 要注册 iOS 或 Android 设备，您需要 Secure Hub 10.5.5。
  • 要注册 Windows 10 和 Windows 11 设备，您需要 Microsoft Azure Premium 许可证。
• 目录服务和身份验证
  • XenMobile Server 必须配置为基于证书的身份验证。
  • 如果您使用 Citrix ADC 进行身份验证，Citrix ADC 必须配置为基于证书的身份验证。
  • Secure Hub 身份验证使用 Azure AD 并遵循在 Azure AD 上定义的身份验证模式。
  • XenMobile Server 必须使用 LDAP 连接到 Windows Active Directory (AD)。将您的本地 LDAP 服务器配置为与 Azure AD 同步。

身份验证流程

1. 用户在其设备上，在 Secure Hub 中显示的 Azure AD 登录屏幕中输入其 Azure Active Directory 用户名和密码。
2. Azure AD 验证用户并发送 ID 令牌。
3. Secure Hub 与 XenMobile Server 共享 ID 令牌。
4. XenMobile 验证 ID 令牌以及 ID 令牌中存在的用户信息。XenMobile 返回会话 ID。

Azure 帐户设置

1. 注册您的自定义域并验证该域。有关详细信息，请参阅 将自定义域名添加到 Azure Active Directory。
2. 使用目录集成工具将本地目录扩展到 Azure Active Directory。有关详细信息，请参阅 目录集成。

1. 将 MDM 设为 Azure AD 的可靠方。为此，请单击 Azure Active Directory > Applications，然后单击 Add。
2. 从库中选择 Add an application。转至 MOBILE DEVICE MANAGEMENT，然后选择 on-premises MDM application。保存设置。
   即使您已注册 Citrix XenMobile 云，也要选择本地应用程序。在 Microsoft 术语中，任何非多租户应用程序都是本地 MDM 应用程序。
3. 在应用程序中，配置 XenMobile Server 发现、使用条款终结点和 APP ID URI：
   • MDM 发现 URL： https://<FQDN>:8443/<instanceName>/wpe
   • MDM 使用条款 URL： https://<FQDN>:8443/<instanceName>/wpe/tou
   • 应用程序 ID URI： https://<FQDN>:8443/
4. 选择您在步骤 2 中创建的本地 MDM 应用程序。启用选项 管理这些用户的设备 以便为所有用户或任何特定用户组启用 MDM 管理。
   有关将 Azure AD 与 Windows 10 和 Windows 11 设备结合使用的详细信息，请参阅 Microsoft 文章 Azure Active Directory 与 MDM 集成。

将 Azure AD 配置为您的 IdP

1. 查找或记下您 Azure 帐户中所需的信息：
   • Azure 应用程序设置页面中的租户 ID。
   • 如果要使用 Azure AD 注册 Windows 10 和 Windows 11 设备，您还需要：
     • 应用程序 ID URI： 运行 XenMobile 的服务器的 URL。
     • 客户端 ID： Azure 配置页面中您的应用程序的唯一标识符。
     • 密钥： Azure 应用程序设置页面中的密钥。
2. 在 XenMobile 控制台中，单击右上角的齿轮图标。此时将显示 设置 页面。
3. 在 身份验证 下，单击 身份提供程序 (IDP)。此时将显示 身份提供程序 页面。
   
4. 单击 添加。此时将显示 IDP 配置 页面。
5. 配置有关您的 IdP 的以下信息：
   • IDP 名称： 键入您正在创建的 IdP 连接的名称。
   • IDP 类型： 选择 Azure Active Directory 作为您的 IdP 类型。
   • 租户 ID： 从 Azure 应用程序设置页面复制此值。在浏览器地址栏中，复制由数字和字母组成的段。
   例如，在 https://manage.windowszaure.com/acmew.onmicrosoft.com#workspaces/ActiveDirectoryExtensin/Directory/abc213-abc123-abc123/onprem... 中，租户 ID 为：abc123-abc123-abc123。
   
6. 其余字段将自动填充。填充完毕后，单击下一步。
7. 要配置 XenMobile 以使用 Azure AD 进行 MDM 注册来注册 Windows 10 和 Windows 11 设备，请配置以下设置。要跳过此可选步骤，请清除Windows MDM。
   • 应用程序 ID URI： 键入您在配置 Azure 设置时输入的 XenMobile Server 的 URL。
   • 客户端 ID： 从 Azure 配置页面复制并粘贴此值。客户端 ID 是您的应用程序的唯一标识符。
   • 密钥： 从 Azure 应用程序设置页面复制此值。在密钥下，从列表中选择一个持续时间，然后保存设置。然后您可以复制该密钥并将其粘贴到此字段中。当应用程序在 Microsoft Azure AD 中读取或写入数据时，需要密钥。
   
8. 单击下一步。
   Citrix 已将 Secure Hub 注册到 Microsoft Azure 并维护相关信息。此屏幕显示 Secure Hub 用于与 Azure Active Directory 通信的详细信息。如果将来需要更改任何信息，将使用此页面。仅当 Citrix 建议您这样做时才编辑此页面。
9. 单击下一步。
   
10. 配置您的 IdP 提供的用户标识符类型：
    • 用户标识符类型： 从列表中选择 userPrincipalName。
    • 用户标识符字符串： 此字段将自动填充。
11. 单击下一步。
    
12. 查看摘要页面，然后单击保存。
    

用户体验

1. 用户启动 Secure Hub。然后，用户输入 XenMobile Server 完全限定域名 (FQDN)、用户主体名称 (UPN) 或电子邮件地址。
   
2. 然后，用户单击是，注册。
   
3. 用户使用其 Azure AD 凭据登录。
   
   Secure Hub 屏幕截图(/en-us/xenmobile/server/media/secure-hub-ios-idp-enroll5.png)
4. 用户通过 Secure Hub 完成注册步骤的方式与进行其他注册的方式相同。
   注意：
   XenMobile 不支持通过 Azure AD 对注册邀请进行身份验证。如果您向用户发送包含注册 URL 的注册邀请，用户将通过 LDAP 而非 Azure AD 进行身份验证。