SAML mit Entra ID und Entra ID-Identitäten für die Store-Authentifizierung
Dieser Artikel beschreibt, wie Sie SAML für die Store-Authentifizierung mit Entra ID-Identitäten anstelle von AD-Identitäten konfigurieren können. Verwenden Sie diese Konfiguration, wenn Ihre Entra ID-Benutzer Windows 365 Cloud-PCs oder Entra ID-domänenverbundene VDAs nach der Anmeldung bei ihrem Store mit dem Standard-SAML-Verhalten nicht aufzählen können. Nach Abschluss der Konfiguration können sich Ihre Benutzer mit SAML-Authentifizierung bei ihrem Store anmelden, um sowohl HDX-Anwendungen und -Desktops über Citrix DaaS™ als auch Windows 365 Cloud-PCs über Azure aufzurufen.
Das Standardverhalten für Citrix Cloud™ und die SAML-Authentifizierung bei Citrix® StoreFront Cloud besteht darin, sich gegen eine AD-Benutzeridentität zu authentifizieren. Für die in diesem Artikel beschriebene Konfiguration ist die Verwendung von Entra ID Connect zum Importieren Ihrer AD-Identitäten in Ihre Entra ID erforderlich. Die AD-Identitäten enthalten die SID des Benutzers, die StoreFront Cloud an Citrix DaaS senden kann und die das Aufzählen und Starten der HDX-Ressourcen ermöglicht. Da die Entra ID-Version der Benutzeridentitäten verwendet wird, können Benutzer auch Azure-Ressourcen wie Windows 365 Cloud-PCs innerhalb von StoreFront Cloud aufzählen und starten.
Wichtig:
Die Aufzählung bezieht sich auf die Liste der Ressourcen, die Benutzer sehen, nachdem sie sich bei ihrem Store angemeldet haben. Die Ressourcen, auf die ein bestimmter Benutzer zugreifen darf, hängen von seiner Benutzeridentität ab und davon, welche Ressourcen in Citrix DaaS mit dieser Identität verknüpft sind. Es gibt einen zugehörigen Artikel, der Anweisungen zur Verwendung von Entra ID- und AD-Identitäten als SAML-Anbieter für die Authentifizierung im Store enthält. Detaillierte Anweisungen finden Sie unter SAML mit Entra ID- und AD-Identitäten für die Store-Authentifizierung
Funktionsumfang
Dieser Artikel richtet sich an Benutzer, die die folgende Kombination von Citrix Cloud- und Azure-Funktionen verwenden:
- SAML für die Store-Authentifizierung
- Citrix DaaS und HDX™-Ressourcenaufzählung von Ressourcen, die mit AD-domänenverbundenen VDAs veröffentlicht wurden
- Entra ID-domänenverbundene VDA-Ressourcenaufzählung
- Azure Hybrid-domänenverbundene VDA-Ressourcenaufzählung
- W365 Cloud PC-Aufzählung und -Start
Wichtig:
Verwenden Sie diesen ME-ID SAML-Flow nicht für die SAML-Anmeldung bei Citrix Cloud, da dies erfordert, dass der Citrix Cloud-Administratorbenutzer Mitglied einer AD-Gruppe ist und daher eine AD-Benutzeridentität verwendet werden sollte. Detaillierte Anweisungen finden Sie unter SAML mit Entra ID- und AD-Identitäten für die Store-Authentifizierung
Was ist besser: AD-Identitäten oder Entra ID-Identitäten?
Um zu bestimmen, ob Ihre Store-Benutzer sich entweder mit SAML AD- oder SAML Entra ID-Identitäten authentifizieren sollen:
- Entscheiden Sie, welche Ressourcenkombination Sie Ihren Benutzern in ihren Stores zur Verfügung stellen möchten.
-
Verwenden Sie die folgende Tabelle, um zu bestimmen, welcher Typ von Benutzeridentität für jeden Ressourcentyp geeignet ist.
Ressourcentyp (VDA) Benutzeridentität beim Anmelden im Store Benötigt SAML-Identität mit Entra ID? Bietet FAS Single Sign-On (SSO) für VDA? AD-verbunden AD, Entra ID aus AD importiert (enthält SID) Nein. Standard-SAML verwenden. Ja Hybrid-verbunden AD, Entra ID aus AD importiert (enthält SID) Nein. Standard-SAML verwenden. Ja, für AD als Identitätsanbieter. FAS ist nicht erforderlich, wenn Entra ID für VDA ausgewählt ist. Entra beigetreten Entra ID nativer Benutzer, Entra ID aus AD importiert (enthält SID) Ja, verwenden Sie SAML über Entra ID. Nein Windows 365 Cloud-PCs Entra ID nativer Benutzer, Entra ID aus AD importiert (enthält SID) Ja, verwenden Sie SAML über Entra ID. Nein AD beigetreten, Entra ID beigetreten, Windows 365 Cloud-PCs Entra ID aus AD importiert (enthält SID) Ja, verwenden Sie SAML über Entra ID. Ja, für AD beigetreten. Nein, für Entra ID beigetreten und Windows 365 Cloud-PCs.
Weitere Informationen
- Citrix DaaS-Dokumentation:
- Citrix FAS-Dokumentation: Installieren und konfigurieren
- Microsoft Azure-Dokumentation: Was ist Entra ID Connect?
Anforderungen
- Ihr Entra ID-Mandant muss mit Ihrem Citrix Cloud-Mandanten verbunden sein. In der Citrix Cloud-Konsole finden Sie Ihre bestehende Entra ID-Verbindung, indem Sie Identitäts- und Zugriffsverwaltung > Authentifizierung auswählen.
Oder,
Sie können eine neue Entra ID-Verzeichnisverbindung erstellen, indem Sie Identitäts- und Zugriffsverwaltung > Authentifizierung –> Identitätsanbieter hinzufügen –> Entra ID auswählen auswählen.
Wichtig:
Sie müssen denselben Entra ID-Mandanten verbinden, in dem Sie die neue SAML-Anwendung erstellen möchten, die ME-ID-Identitäten verwenden wird.
- Die Authentifizierungsmethode des Stores muss auf SAML 2.0 eingestellt sein. Verwenden Sie Entra ID nicht als Authentifizierungsmethode. Um die Authentifizierungsmethode des Stores zu ändern, gehen Sie in der Citrix Cloud-Konsole zu StoreFront Cloud > Authentifizierung.
- Das UPN-Suffix
@yourdomain.commuss in Entra ID als benutzerdefinierter Domänenname importiert und verifiziert werden. Im Azure-Portal finden Sie dies unter Entra ID > Benutzerdefinierte Domänennamen. - Entra ID-Benutzeridentitäten müssen aus AD mithilfe von Microsoft Entra ID Connect importiert werden. Dies stellt sicher, dass Benutzeridentitäten korrekt importiert werden und das richtige UPN-Suffix haben. Entra ID-Benutzer mit
@yourtenant.onmicrosoft.comUPN-Suffixen werden nicht unterstützt. - Citrix FAS muss bereitgestellt und mit dem Citrix Cloud-Mandanten und dem Ressourcenstandort verbunden sein. FAS bietet Single Sign-On für HDX-Desktops und -Anwendungen, die von StoreFront Cloud gestartet werden. Sie müssen keine AD-Schattenkonten konfigurieren, da das UPN
user@customerdomainsowohl für die AD- als auch für die Entra ID-Benutzeridentitäten übereinstimmen muss. FAS generiert die erforderlichen Benutzerzertifikate mit dem korrekten UPN und führt eine Smartcard-Anmeldung durch, wenn HDX-Ressourcen gestartet werden.
Benutzerdefinierte Entra ID Enterprise SAML-Anwendung konfigurieren
Standardmäßig wird beim SAML-Anmelden bei Stores eine AD-Benutzeridentität verwendet. Das SAML-Attribut cip_directory ist ein fest codierter Zeichenfolgenwert, der für alle Endbenutzer gleich ist und als Schalter fungiert. Citrix Cloud und StoreFront Cloud erkennen dieses Attribut während der Anmeldung und veranlassen SAML, die Entra ID-Version der Benutzeridentität zu verwenden. Die Verwendung des Parameters azuread mit diesem Attribut überschreibt das standardmäßige SAML-Verhalten, wodurch der Store-Benutzer mit seiner Entra ID-Identität anstelle seiner AD-Identität authentifiziert wird.
Obwohl die Schritte in diesem Abschnitt für Entra ID gelten, können Sie eine ähnliche SAML-Anwendung mit einem anderen SAML 2.0-Anbieter (z. B. ADFS, Duo, Okta, OneLogin, PingOneSSO usw.) erstellen, vorausgesetzt, Sie führen dieselben Aufgaben aus. Ihr SAML-Anbieter muss Ihnen erlauben, ein fest codiertes SAML-Attribut (cip_directory = azuread) innerhalb der SAML-Anwendung zu konfigurieren. Erstellen Sie einfach dieselben SAML-Attributzuordnungen, wie in diesem Abschnitt beschrieben.
- Melden Sie sich beim Azure-Portal an.
- Wählen Sie im Portalmenü Entra ID aus.
- Wählen Sie im linken Bereich unter Verwalten die Option Unternehmensanwendungen aus.
- Wählen Sie in der Befehlsleiste im Arbeitsbereich die Option Neue Anwendung aus.
- Wählen Sie in der Befehlsleiste Eigene Anwendung erstellen aus. Verwenden Sie nicht die Vorlage für die Citrix Cloud SAML SSO-Unternehmensanwendung. Die Vorlage erlaubt Ihnen nicht, die Liste der Ansprüche und SAML-Attribute zu ändern.
- Geben Sie einen Namen für die Anwendung ein und wählen Sie dann Beliebige andere Anwendung integrieren, die Sie nicht in der Galerie finden (Nicht-Galerie) aus. Klicken Sie auf Erstellen. Die Übersichtsseite der Anwendung wird angezeigt.
- Wählen Sie im linken Bereich Einmaliges Anmelden aus. Wählen Sie im Arbeitsbereich SAML aus.
- Wählen Sie im Abschnitt Grundlegende SAML-Konfiguration die Option Bearbeiten aus und konfigurieren Sie die folgenden Einstellungen:
- Wählen Sie im Abschnitt Bezeichner (Entitäts-ID) die Option Bezeichner hinzufügen aus und geben Sie dann den Wert ein, der der Region zugeordnet ist, in der sich Ihr Citrix Cloud-Mandant befindet:
- Geben Sie für die Regionen Europäische Union, Vereinigte Staaten und Asien-Pazifik Süd
https://saml.cloud.comein. - Geben Sie für die Region Japan
https://saml.citrixcloud.jpein. - Geben Sie für die Citrix Cloud Government-Region
https://saml.cloud.usein.
- Geben Sie für die Regionen Europäische Union, Vereinigte Staaten und Asien-Pazifik Süd
- Wählen Sie im Abschnitt Antwort-URL (Assertion Consumer Service-URL) die Option Antwort-URL hinzufügen aus und geben Sie dann den Wert ein, der der Region zugeordnet ist, in der sich Ihr Citrix Cloud-Mandant befindet:
- Für die Regionen Europäische Union, Vereinigte Staaten und Asien-Pazifik Süd geben Sie
https://saml.cloud.com/saml/acsein. - Für die Region Japan geben Sie
https://saml.citrixcloud.jp/saml/acsein. - Für die Region Citrix Cloud Government geben Sie
https://saml.cloud.us/saml/acsein.
- Für die Regionen Europäische Union, Vereinigte Staaten und Asien-Pazifik Süd geben Sie
- Geben Sie im Abschnitt Abmelde-URL (optional) den Wert ein, der der Region zugeordnet ist, in der sich Ihr Citrix Cloud-Mandant befindet:
- Für die Regionen Europäische Union, Vereinigte Staaten und Asien-Pazifik Süd geben Sie
https://saml.cloud.com/saml/logout/callbackein. - Für die Region Japan geben Sie
https://saml.citrixcloud.jp/saml/logout/callbackein. - Für die Region Citrix Cloud Government geben Sie
https://saml.cloud.us/saml/logout/callbackein.
- Für die Regionen Europäische Union, Vereinigte Staaten und Asien-Pazifik Süd geben Sie
- Wählen Sie in der Befehlsleiste Speichern.
- Wählen Sie im Abschnitt Bezeichner (Entitäts-ID) die Option Bezeichner hinzufügen aus und geben Sie dann den Wert ein, der der Region zugeordnet ist, in der sich Ihr Citrix Cloud-Mandant befindet:
- Wählen Sie im Abschnitt Attribute & Ansprüche Bearbeiten, um die folgenden Ansprüche zu konfigurieren. Diese Ansprüche werden in der SAML-Assertion innerhalb der SAML-Antwort angezeigt.
- Aktualisieren Sie für den Anspruch Eindeutiger Benutzerbezeichner (Name ID) den Standardwert auf
user.localuserprincipalname. - Wählen Sie in der Befehlsleiste Neuen Anspruch hinzufügen.
- Geben Sie unter Name cip_directory ein.
- Lassen Sie unter Quelle Attribut ausgewählt.
-
Geben Sie unter Quellattribut azuread ein. Dieser Wert wird nach der Eingabe in Anführungszeichen angezeigt.
- Wählen Sie in der Befehlsleiste Speichern.
-
Erstellen Sie zusätzliche Ansprüche mit den folgenden Werten in den Feldern Name und Quellattribut:
Name Quellattribut cip_fed_upn user.localuserprincipalname displayName user.displayname givenName user.givenname familyName user.surname 
Wichtig:
Sie können diese zusätzlichen Ansprüche entweder durch Wiederholen der Schritte b-f für jeden Anspruch oder durch Ändern der Standardansprüche im Abschnitt Zusätzliche Ansprüche erstellen, die bereits die in der obigen Tabelle aufgeführten Quellattribute aufweisen. Die Standardansprüche enthalten den Namespace
http://schemas.xmlsoap.org/ws/2005/05/identity/claims.Wenn Sie die Standardansprüche ändern, müssen Sie den Namespace aus jedem Anspruch entfernen. Wenn Sie neue Ansprüche erstellen, müssen Sie die Ansprüche löschen, die den Namespace enthalten. Wenn Ansprüche mit diesem Namespace in der resultierenden SAML-Assertion enthalten sind, ist die Assertion ungültig und enthält falsche SAML-Attributnamen.
-
Im Abschnitt Zusätzliche Ansprüche klicken Sie für alle verbleibenden Ansprüche mit dem
http://schemas.xmlsoap.org/ws/2005/05/identity/claimsNamespace auf die Schaltfläche mit den Auslassungspunkten (…) und dann auf Löschen.
Wenn Sie fertig sind, wird der Abschnitt Attribute & Ansprüche wie unten dargestellt angezeigt:
- Aktualisieren Sie für den Anspruch Eindeutiger Benutzerbezeichner (Name ID) den Standardwert auf
- Besorgen Sie sich eine Kopie des Citrix Cloud SAML-Signaturzertifikats mithilfe dieses Online-Tools eines Drittanbieters.
-
Geben Sie https://saml.cloud.com/saml/metadata in das URL-Feld ein und klicken Sie auf Laden.
-
Scrollen Sie zum Ende der Seite und klicken Sie auf Herunterladen.
- Konfigurieren Sie die Signatur-Einstellungen der Entra ID SAML-Anwendung.
- Laden Sie das Produktions-SAML-Signaturzertifikat, das in Schritt 10 erhalten wurde, innerhalb der Entra ID SAML-Anwendung hoch.
- Aktivieren Sie Überprüfungszertifikate erforderlich.
Fehlerbehebung
- Überprüfen Sie, ob Ihre SAML-Assertions die korrekten Benutzerattribute enthalten, mithilfe eines SAML-Netzwerktools, wie der Browsererweiterung SAML-tracer.
-
Suchen Sie die gelb dargestellte SAML-Antwort und vergleichen Sie sie mit diesem Beispiel:
- Klicken Sie im unteren Bereich auf die Registerkarte SAML, um die SAML-Antwort zu dekodieren und als XML anzuzeigen.
-
Scrollen Sie zum Ende der Antwort und überprüfen Sie, ob die SAML-Assertion die korrekten SAML-Attribute und Benutzerwerte enthält.
Wenn sich Ihre Endbenutzer immer noch nicht bei ihrem Store anmelden können, wenden Sie sich an den Citrix Support und geben Sie die folgenden Informationen an:
- SAML-tracer-Erfassung
- Datum und Uhrzeit des fehlgeschlagenen Anmeldeversuchs beim Store
- Der betroffene Benutzername
- Die Anrufer-IP-Adresse des Clientcomputers, den Sie für die Anmeldung beim Store verwendet haben. Sie können ein Tool wie https://whatismyip.com verwenden, um diese IP-Adresse zu erhalten.
Citrix Cloud SAML-Verbindung konfigurieren
Alle Citrix-Anmeldeabläufe müssen vom Dienstanbieter initiiert werden, entweder über eine Store-URL oder eine Citrix Cloud GO-URL.
Verwenden Sie die standardmäßig empfohlenen Werte für die SAML-Verbindung unter Identitäts- und Zugriffsverwaltung > Authentifizierung > Identitätsanbieter hinzufügen > SAML.
Rufen Sie die SAML-Endpunkte der Entra ID SAML-Anwendung aus Ihrem Entra ID-Portal ab, um sie in Citrix Cloud einzugeben.
Beispiele für Entra ID SAML-Endpunkte zur Verwendung in der Citrix Cloud SAML-Verbindung
Wichtig:
Die EntraID SSO- und Abmelde-SAML-Endpunkte sind dieselbe URL.
| In diesem Feld in Citrix Cloud | Geben Sie diesen Wert ein |
|---|---|
| Entitäts-ID | https://sts.windows.net/<yourEntraIDTenantID> |
| Authentifizierungsanforderung signieren | Ja |
| SSO-Dienst-URL | https://login.microsoftonline.com/<yourEntraIDTenantID>/saml2 |
| SSO-Bindungsmechanismus | HTTP Post |
| SAML-Antwort | Antwort oder Assertion signieren |
| Authentifizierungskontext | Nicht spezifiziert, Exakt |
| Abmelde-URL | https://login.microsoftonline.com/<yourEntraIDTenantID>/saml2 |
| Abmeldeanforderung signieren | Ja |
| SLO-Bindungsmechanismus | HTTP Post |