Citrix ADC

Citrix ADC als OAuth SP

January 19, 2021

Beigesteuert von:

Die Authentifizierungs-, Autorisierungs- und Überwachungsfunktion des Datenverkehrs unterstützt die OAuth-Authentifizierung, um Benutzer bei Anwendungen zu authentifizieren, die in Anwendungen wie Google, Facebook und Twitter gehostet werden.

Punkte zu beachten

Citrix ADC Advanced Edition und höher ist erforderlich, damit die Lösung funktioniert.
OAuth auf der Citrix ADC Appliance ist für alle SAML-IDPs qualifiziert, die mit “OpenID connect 2.0” kompatibel sind.

So konfigurieren Sie OAuth mithilfe des Konfigurationsdienstprogramms

Konfigurieren Sie die OAuth-Aktion und -Richtlinie.

Navigieren Sie zu Sicherheit > AAA - Anwendungsverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Richtlinie, erstellen Sie eine Richtlinie mit OAuth als Aktionstyp, und ordnen Sie der Richtlinie die erforderliche OAuth-Aktion zu.
Ordnen Sie die OAuth-Richtlinie einem virtuellen Authentifizierungsserver zu.

Navigieren Sie zu Sicherheit > AAA - Anwendungsdatenverkehr > Virtuelle Server, und ordnen Sie die OAuth-Richtlinie dem virtuellen Authentifizierungsserver zu.

Hinweis:

Attribute (1 bis 16) können in der OAuth-Antwort extrahiert werden. Derzeit werden diese Attribute nicht ausgewertet. Sie werden für die zukünftige Referenz hinzugefügt.

So konfigurieren Sie OAuth mit der Befehlszeilenschnittstelle:**

Definieren Sie eine OAuth-Aktion.

add authentication OAuthAction <name> -authorizationEndpoint <URL> -tokenEndpoint <URL> [-idtokenDecryptEndpoint <URL>] -clientID <string> -clientSecret <string> [-defaultAuthenticationGroup <string>][-tenantID <string>][-GraphEndpoint <string>][-refreshInterval <positive_integer>] [-CertEndpoint <string>][-audience <string>][-userNameField <string>][-skewTime <mins>][-issuer <string>][-Attribute1 <string>][-Attribute2 <string>][-Attribute3 <string>]...

Ordnen Sie die Aktion einer erweiterten Authentifizierungsrichtlinie zu.
```
add authentication Policy** <name> -rule <expression> -action <string>
```
Beispiel:

add authentication oauthAction a -authorizationEndpoint https://example.com/ -tokenEndpoint https://example.com/ -clientiD sadf -clientsecret df

Weitere Hinweise zu Authentifizierungsparametern von OAuthAction finden Sie unterauthentication OAuthAction.

Hinweis:

Wenn ein CertendPoint angegeben wird, fragt die Citrix ADC Appliance diesen Endpunkt mit der konfigurierten Häufigkeit ab, um die Schlüssel zu lernen.

Um einen Citrix ADC so zu konfigurieren, dass die lokale Datei gelesen und die Schlüssel aus dieser Datei analysiert werden, wird eine neue Konfigurationsoption wie folgt eingeführt:

set authentication OAuthAction <> -\*\*CertFilePath\*\* <path to local file with jwks>

Die OAuth-Funktion unterstützt jetzt die folgenden Funktionen in der Token-API von der Relying Party (RP) -Seite und von der IdP-Seite von Citrix Gateway und Citrix ADC.

Unterstützung für PKCE (Proof Key for Code Exchange)
Unterstützung für client_assertion

Name-Wert-Attributunterstützung für die OAuth-Authentifizierung

Sie können nun OAuth-Authentifizierungsattribute mit einem eindeutigen Namen zusammen mit den Werten konfigurieren. Die Namen werden im OAuth-Aktionsparameter entweder als Attribute konfiguriert und die Werte werden durch Abfrage der Namen abgerufen. Die extrahierten Attribute werden in Authentifizierungs-, Autorisierungs- und Überwachungssitzung gespeichert. Administratoren können diese Attribute entweder mithttp.req.user.attribute("attribute name") oderhttp.req.user.attribute(1) anhand der gewählten Methode zur Angabe von Attributnamen abfragen.

Durch die Angabe des Namens des Attributs können Administratoren problemlos nach dem Attributwert suchen, der diesem Attributnamen zugeordnet ist. Auch Administratoren müssen sich nicht mehr an das Attribut attribute1 to attribute16 erinnern.

Wichtig

In einem OAuth-Befehl können Sie maximal 64 durch Komma getrennte Attribute mit einer Gesamtgröße von weniger als 1024 Byte konfigurieren.

Hinweis:

Der Sitzungsfehler kann vermieden werden, wenn die Gesamtwertgröße von “Attribut 1 bis Attribut 16” und die in “Attribute” angegebenen Werte der Attribute nicht mehr als 10 KB betragen.

So konfigurieren Sie die Name-Wert-Attribute mit der CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

add authentication OAuthAction <name> [-Attributes <string>]
set authentication OAuthAction <name> [-Attributes <string>]

Beispiele:

add authentication OAuthAction a1 –attributes "email,company" –attribute1 email
set authentication OAuthAction oAuthAct1 -attributes "mail,sn,userprincipalName"

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Citrix Dokumentation maschinell übersetzt. Citrix hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Citrix Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Citrix gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Citrix kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Citrix ADC als OAuth SP

January 19, 2021

Beigesteuert von:

January 19, 2021

Beigesteuert von:

In diesem Artikel

Punkte zu beachten
Name-Wert-Attributunterstützung für die OAuth-Authentifizierung