Citrix Application Delivery Management Service

Microsoft ADFS-Proxy-StyleBook

Der Microsoft™ ADFS-Proxy spielt eine wichtige Rolle, indem er Single Sign-On-Zugriff sowohl für interne, verbündungsfähige Ressourcen als auch für Cloud-Ressourcen gewährt. Ein Beispiel für Cloud-Ressourcen ist Office 365. Der Zweck des ADFS-Proxyservers besteht darin, Anfragen an ADFS-Server zu empfangen und weiterzuleiten, auf die über das Internet nicht zugegriffen werden kann. Der ADFS-Proxy ist ein Reverse-Proxy und befindet sich normalerweise im Perimeter-Netzwerk (DMZ) Ihrer Organisation. Der ADFS-Proxy spielt eine wichtige Rolle bei der Remotebenutzerkonnektivität und dem Anwendungszugriff.

Citrix ADC verfügt über die präzise Technologie, um sichere Konnektivität, Authentifizierung und Verarbeitung von Verbundidentitäten zu ermöglichen. Die Verwendung von Citrix ADC als ADFS-Proxy vermeidet die Bereitstellung einer zusätzlichen Komponente in der DMZ.

Mit dem Microsoft ADFS Proxy StyleBook in Citrix Application Delivery Management (ADM) können Sie einen ADFS-Proxyserver auf einer Citrix ADC Instanz konfigurieren.

Das folgende Bild zeigt die Bereitstellung einer Citrix ADC Instanz als ADFS-Proxyserver in der Enterprise DMZ.

lokalisiertes Bild

Vorteile der Verwendung von Citrix ADC als ADFS-Proxy

  1. Erfolgt sowohl Lastausgleich als auch ADFS-Proxy-Anforderungen
  2. Unterstützt sowohl interne als auch externe Benutzerzugriffsszenarien
  3. Unterstützt umfassende Methoden für die Vorauthentifizierung
  4. Bietet Benutzern eine einmalige Anmeldung
  5. Unterstützt sowohl aktive als auch passive Protokolle
    1. Beispiele für aktive Protokoll-Apps sind — Microsoft Outlook, Microsoft Skype for Business
    2. Beispiele für passive Protokoll-Apps sind: Microsoft Outlook Web App, Webbrowser
  6. Gehärtetes Gerät für DMZ-basierte Bereitstellung
  7. Mehrwert durch die Verwendung zusätzlicher Citrix ADC Kernfunktionen
    1. Content Switching
    2. SSL-Abladung
    3. Neuschreiben
    4. Sicherheit (Citrix ADC AAA)

Bei aktiven protokollbasierten Szenarien können Sie eine Verbindung zu Office 365 herstellen und Ihre Anmeldeinformationen angeben. Microsoft Federation Gateway kontaktiert den ADFS-Dienst (über ADFS-Proxy) im Auftrag des aktiven Protokollclients. Das Gateway übermittelt die Anmeldeinformationen dann mit der Standardauthentifizierung (401). Citrix ADC behandelt die Clientauthentifizierung vor dem Zugriff auf den ADFS-Dienst. Nach der Authentifizierung stellt der ADFS-Dienst ein SAML-Token für das Federation Gateway bereit. Das Federation Gateway wiederum sendet das Token an Office 365, um Clientzugriff zu ermöglichen.

Für passive Clients erstellt das ADFS-Proxy-StyleBook ein KCD-Benutzerkonto (Kerberos Constrained Delegation). Das KCD-Konto ist für die Kerberos-SSO-Authentifizierung erforderlich, um eine Verbindung mit den ADFS-Servern herzustellen. Das StyleBook generiert auch eine LDAP-Richtlinie und eine Sitzungsrichtlinie. Diese Richtlinien sind später an den virtuellen Citrix ADC AAA-Server gebunden, der die Authentifizierung für passive Clients verarbeitet.

Das StyleBook kann auch sicherstellen, dass die DNS-Server auf dem Citrix ADC für ADFS konfiguriert sind.

Im folgenden Abschnitt zur Konfiguration wird beschrieben, wie Citrix ADC für die Behandlung der aktiven und passiven protokollbasierten Clientauthentifizierung eingerichtet wird.

Konfigurationsdetails

In der folgenden Tabelle sind die Mindestsoftwareversionen aufgeführt, die für die erfolgreiche Bereitstellung dieser Integration erforderlich sind.

Produkt Erforderliche Mindestversion
Citrix ADC 11.0, Advanced/Premium Lizenz

In den folgenden Anweisungen wird davon ausgegangen, dass Sie bereits die entsprechenden externen und internen DNS-Einträge erstellt haben.

Bereitstellen von Microsoft ADFS Proxy StyleBook-Konfigurationen von Citrix ADM

Die folgenden Anweisungen helfen Ihnen bei der Implementierung des Microsoft ADFS Proxy StyleBook in Ihrem Unternehmensnetzwerk.

So stellen Sie Microsoft ADFS-Proxy StyleBook bereit

  1. Navigieren Sie in Citrix ADM zu Anwendungen > StyleBooks. Auf der Seite StyleBooks werden alle StyleBooks angezeigt, die für die Verwendung in Citrix ADM verfügbar sind.

  2. Scrollen Sie nach unten und suchen Sie das Microsoft ADFS Proxy StyleBook. Klicken Sie auf Konfiguration erstellen. Das StyleBook wird als Benutzeroberfläche geöffnet, auf der Sie die Werte für alle in diesem StyleBook definierten Parameter eingeben können.

  3. Geben Sie Werte für die folgenden Parameter ein:
    1. ADFS-Proxybereitstellungsname. Wählen Sie einen Namen für die im Netzwerk bereitgestellte ADFS-Proxy-Konfiguration aus.
    2. ADFS-Server-FQDNs oder IPs. Geben Sie die IP-Adressen oder FQDNs (Domänennamen) aller ADFS-Server im Netzwerk ein.
    3. ADFS Proxy Public VIP IP. Geben Sie die öffentliche virtuelle IP-Adresse auf dem Citrix ADC ein, der als ADFS-Proxyserver ausgeführt wird.

    lokalisiertes Bild

  4. Geben Sie im Abschnitt ADFS-Proxyzertifikate die Details des SSL-Zertifikats und des Zertifikatsschlüssels ein.

    Dieses SSL-Zertifikat ist an alle virtuellen Server gebunden, die auf der Citrix ADC Instanz erstellt wurden.

    Wählen Sie die entsprechenden Dateien aus Ihrem lokalen Speicherordner aus. Sie können auch das Kennwort für den privaten Schlüssel eingeben, um verschlüsselte private Schlüssel im PEM-Format zu laden.

    lokalisiertes Bild

    Sie können auch das Kontrollkästchen Erweiterte Zertifikateinstellungen aktivieren. Hier können Sie Details wie Zertifikatablaufbenachrichtigungszeitraum eingeben, den Zertifikatablaufmonitor aktivieren oder deaktivieren.

  5. Optional können Sie das Kontrollkästchen SSL-CA-Zertifikat aktivieren, wenn für das SSL-Zertifikat ein öffentliches Zertifizierungsstellenzertifikat auf Citrix ADC installiert werden muss. Stellen Sie sicher, dass Sie Ist ein Zertifizierungsstellenzertifikat im Abschnitt Erweiterte Zertifikateinstellungen auswählen.

  6. Aktivieren Sie die Authentifizierung für aktive und passive Clients. Geben Sie den DNS-Domänennamen ein, der in Active Directory für die Benutzerauthentifizierung verwendet wird. Anschließend können Sie die Authentifizierung entweder für aktive oder passive Clients oder für beide konfigurieren.

  7. Geben Sie die folgenden Details ein, um die Authentifizierung für aktive Clients zu aktivieren:

    Hinweis:

    Es ist optional, die Unterstützung für aktive Clients zu konfigurieren.

    1. ADFS Proxy Active Authentication VIP. Geben Sie die virtuelle IP-Adresse des virtuellen Authentifizierungsservers auf der Citrix ADC Instanz ein, in der die aktiven Clients zur Authentifizierung umgeleitet werden.

    2. Benutzername des Dienstkontos. Geben Sie den Benutzernamen des Dienstkontos ein, der von Citrix ADC verwendet wird, um Ihre Benutzer im Active Directory zu authentifizieren.

    3. Kennwort des Dienstkontos. Geben Sie das Kennwort ein, das von Citrix ADC verwendet wird, um Ihre Benutzer beim Active Directory zu authentifizieren.

    lokalisiertes Bild

  8. Konfigurieren Sie die Authentifizierung für passive Clients, indem Sie die entsprechende Option aktivieren und die LDAP-Einstellungen konfigurieren.

    Hinweis:

    Es ist optional, die Unterstützung für passive Clients zu konfigurieren.

    Geben Sie die folgenden Details ein, um die Authentifizierung für passive Clients zu aktivieren:

    1. LDAP-Basis (Active Directory). Geben Sie den Basisdomänennamen für die Domäne ein, in der sich die Benutzerkonten im Active Directory (AD) befinden, um die Authentifizierung zu ermöglichen. Beispiel: dc=netscaler, dc=com

    2. LDAP (Active Directory) Bindet DN. Fügen Sie ein Domänenkonto hinzu (unter Verwendung einer E-Mail-Adresse zur Vereinfachung der Konfiguration), das über Berechtigungen zum Durchsuchen der AD-Struktur verfügt. Beispiel: cn=Manager,dc=netscaler,dc=com

    3. LDAP (Active Directory) Bindet DN Kennwort. Geben Sie das Kennwort des Domänenkontos für die Authentifizierung ein.

      Einige andere Felder, die Sie in die Werte in diesem Abschnitt eingeben müssen, sind wie folgt:

    4. LDAP-Server-IP (Active Directory). Geben Sie die IP-Adresse des Active Directory Servers ein, damit die AD-Authentifizierung ordnungsgemäß funktioniert.

    5. FQDN-Name des LDAP-Servers. Geben Sie den FQDN-Namen des Active Directory Servers ein. Der FQDN-Name ist optional. Geben Sie die IP-Adresse wie in Schritt 1 oder den FQDN-Namen an.

    6. LDAP-Server-Active Directory Port. Standardmäßig sind die TCP- und UDP-Ports für das LDAP-Protokoll 389, während der TCP-Port für Secure LDAP 636 ist.

    7. LDAP-Anmeldebenutzername (Active Directory). Geben Sie den Benutzernamen als SamAccountName ein.

    8. ADFS Proxy Passive Authentifizierung VIP. Geben Sie die IP-Adresse des virtuellen ADFS-Proxyservers für passive Clients ein.

      Hinweis:

      Die mit * gekennzeichneten Felder sind Pflichtfelder.

    lokalisiertes Bild

    lokalisiertes Bild

  9. Optional können Sie auch eine DNS-VIP für Ihre DNS-Server konfigurieren.

    lokalisiertes Bild

  10. Klicken Sie auf Zielinstanzen, und wählen Sie die Citrix ADC Instanzen aus, um diese Microsoft ADFS-Proxykonfiguration bereitzustellen. Klicken Sie auf Erstellen, um die Konfiguration zu erstellen und die Konfiguration auf den ausgewählten Citrix ADC Instanzen bereitzustellen.

    lokalisiertes Bild

Hinweis

Citrix empfiehlt, vor dem Ausführen der eigentlichen Konfiguration die Option Trockenlauf auszuwählen. Sie können zunächst die Konfigurationsobjekte anzeigen, die vom StyleBook auf den Citrix ADC Zielinstanzen erstellt werden. Sie können dann auf Erstellen klicken, um die Konfiguration auf den ausgewählten Instanzen bereitzustellen.

Erstellte Objekte

Mehrere Konfigurationsobjekte werden erstellt, wenn die ADFS-Proxykonfiguration auf der Citrix ADC Instanz bereitgestellt wird. In der folgenden Abbildung wird die Liste der erstellten Objekte angezeigt.

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

lokalisiertes Bild

Microsoft ADFS-Proxy-StyleBook