SAML als Identitätsanbieter mit Citrix Cloud™ verbinden

Citrix Cloud unterstützt die Verwendung von SAML (Security Assertion Markup Language) als Identitätsanbieter zur Authentifizierung von Citrix Cloud-Administratoren und Endbenutzern, die sich bei ihren Stores anmelden. Sie können den SAML 2.0-Anbieter Ihrer Wahl mit Ihrem lokalen Active Directory (AD) verwenden.

Über diesen Artikel

Dieser Artikel beschreibt die erforderlichen Schritte zum Konfigurieren einer Verbindung zwischen Citrix Cloud und Ihrem SAML-Anbieter. Einige dieser Schritte beschreiben Aktionen, die Sie in der Verwaltungskonsole Ihres SAML-Anbieters ausführen. Die spezifischen Befehle, die Sie zur Ausführung dieser Aktionen verwenden, können je nach gewähltem SAML-Anbieter von den im Artikel beschriebenen Befehlen abweichen. Diese SAML-Anbieterbefehle dienen nur als Beispiele. Weitere Informationen zu den entsprechenden Befehlen für Ihren SAML-Anbieter finden Sie in der Dokumentation Ihres SAML-Anbieters.

Anwendungsfälle für die Citrix SAML-Anmeldung

• Anmeldung bei Stores für Endbenutzer.
• Anmeldung bei Stores unter Verwendung einer benutzerdefinierten Store-Domäne für Endbenutzer.
• Anmeldung bei Citrix Cloud für Administratorbenutzer.

Auswahl des richtigen SAML-Flows für Ihren Anwendungsfall

• AD-gestützte Identitäten, die in Ihren SAML-Anbieter importiert wurden. Diese Identitäten enthalten lokale Benutzerattribute wie objectSIDs und objectGUIDs. Diese erfordern keine AD-Schattenkonten, da AD-Konten, die diesen importierten Benutzern entsprechen, bereits in Active Directory vorhanden sind.

• Native Identitäten, die nur im Verzeichnis des SAML-Anbieters existieren, wie z. B. Entra ID- oder Okta-Benutzer. Diese haben keine entsprechende Identität in AD und erfordern AD-Schattenkonten, wenn AD-domänenverbundene VDAs und DaaS-Kataloge verwendet werden sollen. Diese Benutzer haben keine eingebetteten objectSIDs.

• Entra ID Gast-/B2B-Benutzer, die von anderen Entra ID-Mandanten oder über Gast-E-Mail-Adressen in Entra ID eingeladen werden. Diese haben keine entsprechende Identität in AD und erfordern AD-Schattenkonten, wenn AD-domänenverbundene VDAs und DaaS-Kataloge verwendet werden sollen. Diese Benutzer haben möglicherweise keine eingebetteten objectSIDs. Einige Benutzer haben möglicherweise falsche objectSIDs im falschen Active Directory.

Unterstützte SAML-Anbieter

SAML-Anbieter, die die offizielle SAML 2.0-Spezifikation unterstützen, werden für die Verwendung mit Citrix Cloud unterstützt.

Citrix hat die folgenden SAML-Anbieter für die Authentifizierung von Citrix Cloud-Administratoren und für die Authentifizierung von Citrix® StoreFront Cloud-Endbenutzern mittels Single Sign-on (SSO) und Single Logout (SLO) getestet. SAML-Anbieter, die nicht in dieser Liste aufgeführt sind, werden ebenfalls unterstützt.

• Microsoft ADFS
• Microsoft Entra ID
• Duo
• Okta
• PingFederate

Beim Testen dieser Anbieter verwendete Citrix die folgenden Einstellungen, um die SAML-Verbindung in der Citrix Cloud-Konsole zu konfigurieren:

Weitere Informationen zu diesen Einstellungen finden Sie unter SAML-Anbieter-Metadaten zu Citrix Cloud hinzufügen in diesem Artikel.

Unterstützung für bereichsbezogene Entitäts-IDs

Dieser Artikel beschreibt, wie die SAML-Authentifizierung mithilfe einer einzelnen SAML-Anwendung und der standardmäßigen generischen Entitäts-ID von Citrix Cloud konfiguriert wird.

Wenn Ihre SAML-Authentifizierungsanforderungen die Notwendigkeit mehrerer SAML-Anwendungen innerhalb eines einzelnen SAML-Anbieters umfassen, lesen Sie SAML-Anwendung mit einer bereichsbezogenen Entitäts-ID in Citrix Cloud konfigurieren.

Administratorauthentifizierung mit SAML 2.0

Citrix Cloud unterstützt die Verwendung von SAML 2.0 zur Authentifizierung einzelner Administratoren und Mitglieder von Administratorgruppen in AD. Weitere Informationen zum Hinzufügen von Administratorgruppen zu Citrix Cloud finden Sie unter Administratorgruppen verwalten.

Verwenden einer vorhandenen SAML-Verbindung für die Administratorauthentifizierung

Wenn Sie bereits eine SAML 2.0-Verbindung in Citrix Cloud haben und diese zur Authentifizierung von Administratoren verwenden möchten, müssen Sie SAML 2.0 in Identitäts- und Zugriffsverwaltung zuerst trennen und dann die Verbindung neu konfigurieren. Wenn Sie Ihre SAML-Verbindung zur Authentifizierung von StoreFront Cloud-Endbenutzern verwenden, müssen Sie auch die SAML-Authentifizierungsmethode in StoreFront Cloud deaktivieren. Nach der Neukonfiguration der SAML-Verbindung können Sie einzelne Administratoren oder Administratorgruppen zu Citrix Cloud hinzufügen.

Wenn Sie versuchen, einzelne Administratoren oder Administratorgruppen hinzuzufügen, ohne SAML 2.0 zuerst zu trennen und wieder zu verbinden, wird die in Eine Administratorgruppe zu Citrix Cloud hinzufügen beschriebene Identitätsoption Active Directory nicht angezeigt.

Aufgabenübersicht zum Einrichten einer neuen SAML-Verbindung

Um eine neue SAML 2.0-Verbindung in Citrix Cloud einzurichten, führen Sie die folgenden Aufgaben aus:

1. Verbinden Sie in Identitäts- und Zugriffsverwaltung Ihr lokales AD mit Citrix Cloud, wie unter Active Directory mit Citrix Cloud verbinden beschrieben.
2. Integrieren Sie Ihren SAML-Anbieter mit Ihrem lokalen AD, wie in diesem Artikel unter SAML-Integration mit Active Directory beschrieben.
3. Konfigurieren Sie die Anmelde-URL, die Administratoren für die Anmeldung bei Citrix Cloud verwenden können.
4. Konfigurieren Sie in Identitäts- und Zugriffsverwaltung die SAML-Authentifizierung in Citrix Cloud. Diese Aufgabe umfasst die Konfiguration Ihres SAML-Anbieters mit den SAML-Metadaten von Citrix Cloud und anschließend die Konfiguration von Citrix Cloud mit den Metadaten Ihres SAML-Anbieters, um die SAML-Verbindung herzustellen.

Aufgabenübersicht zur Verwendung einer vorhandenen SAML-Verbindung für Citrix Cloud-Administratoren

Wenn Sie bereits eine SAML 2.0-Verbindung in Citrix Cloud haben und diese für die Administratorauthentifizierung verwenden möchten, führen Sie die folgenden Aufgaben aus:

1. Deaktivieren Sie gegebenenfalls die SAML 2.0-Speicherauthentifizierung: Wählen Sie in StoreFront Cloud > Authentifizierung eine andere Authentifizierungsmethode aus und wählen Sie dann bei Aufforderung Bestätigen.
2. trennen Sie Ihre vorhandene SAML 2.0-Verbindung: Suchen Sie in Identitäts- und Zugriffsverwaltung > Authentifizierung die SAML-Verbindung. Wählen Sie im Ellipsenmenü ganz rechts trennen. Wählen Sie Yes, trennen zur Bestätigung der Aktion.
3. SAML 2.0 erneut verbinden und die Verbindung konfigurieren: Wählen Sie im Ellipsenmenü für SAML 2.0 die Option Verbinden.
4. Wenn Sie dazu aufgefordert werden, geben Sie eine eindeutige Kennung für die Anmelde-URL ein, die Administratoren für die Anmeldung verwenden werden.
5. Konfigurieren Sie die SAML-Verbindung wie unter SAML-Anbieter-Metadaten konfigurieren in diesem Artikel beschrieben.

Nach der Konfiguration Ihrer SAML-Verbindung können Sie Ihre AD-Administratorgruppen zu Citrix Cloud hinzufügen, wie unter Administratorgruppen verwalten beschrieben. Sie können SAML auch für Endbenutzer wieder aktivieren, wie in diesem Artikel beschrieben.

Benutzerdefinierte SAML-Attribute erstellen und zuordnen

Wenn Sie bereits benutzerdefinierte Attribute für SID, UPN, OID, E-Mail und displayName in Ihrem SAML-Anbieter konfiguriert haben, müssen Sie diese Aufgabe nicht ausführen. Fahren Sie fort mit SAML-Connector-Anwendung erstellen und verwenden Sie Ihre vorhandenen benutzerdefinierten SAML-Attribute in Schritt 5.

Hinweis:

Die Schritte in diesem Abschnitt beschreiben Aktionen, die Sie in der Verwaltungskonsole Ihres SAML-Anbieters ausführen. Die spezifischen Befehle, die Sie zur Ausführung dieser Aktionen verwenden, können je nach gewähltem SAML-Anbieter von den in diesem Abschnitt beschriebenen Befehlen abweichen. Die SAML-Anbieterbefehle in diesem Abschnitt dienen nur als Beispiele. Weitere Informationen zu den entsprechenden Befehlen für Ihren SAML-Anbieter finden Sie in der Dokumentation Ihres SAML-Anbieters.

1. Melden Sie sich bei der Verwaltungskonsole Ihres SAML-Anbieters an und wählen Sie die Option zum Erstellen benutzerdefinierter Benutzerattribute. Je nach Konsole Ihres SAML-Anbieters können Sie beispielsweise Benutzer > Benutzerdefinierte Benutzerfelder > Neues Benutzerfeld auswählen.

2. Fügen Sie Attribute für die folgenden AD-Eigenschaften hinzu. Benennen Sie die Attribute mit den angezeigten Standardwerten.

   AD-Eigenschaft	Erforderlich oder optional	Standardwert
   userPrincipalName	Erforderlich, wenn kein Attribut für SID hinzugefügt wird (empfohlen).	cip_upn
   objectSID	Erforderlich, wenn kein Attribut für UPN hinzugefügt wird.	cip_sid
   objectGUID	Optional für die Authentifizierung	cip_oid
   E-Mail	Optional für die Authentifizierung	cip_email
   displayName	Von der Store-Benutzeroberfläche benötigt	displayName
   givenName	Von der Store-Benutzeroberfläche benötigt	firstName
   sn	Von der Store-Benutzeroberfläche benötigt	lastName
   AD-Gesamtstruktur	Optional für die Authentifizierung	cip_forest
   AD-Domäne	Optional für die Authentifizierung	cip_domain

3. Wählen Sie das AD aus, das Sie mit Citrix Cloud verbunden haben. Je nach Konsole Ihres SAML-Anbieters wählen Sie beispielsweise Benutzer > Verzeichnisse.
4. Wählen Sie die Option zum Hinzufügen von Verzeichnisattributen. Je nach Konsole Ihres SAML-Anbieters wählen Sie beispielsweise Verzeichnisattribute.
5. Wählen Sie die Option zum Hinzufügen von Attributen und ordnen Sie die folgenden AD-Attribute den benutzerdefinierten Benutzerattributen zu, die Sie in Schritt 2 erstellt haben:
   • Wenn Sie das Attribut für SID in Schritt 2 hinzugefügt haben (z. B. cip_sid), wählen Sie objectSid und ordnen Sie es dem von Ihnen erstellten Attribut zu.
   • Wenn Sie das Attribut für UPN in Schritt 2 hinzugefügt haben (z. B. cip_upn), wählen Sie userPrincipalName und ordnen Sie es dem von Ihnen erstellten Attribut zu.
   • Wenn Sie das Attribut für ObjectGUID in Schritt 2 hinzugefügt haben (zum Beispiel, cip_oid), wählen Sie ObjectGUID und ordnen Sie es dem von Ihnen erstellten Attribut zu.
   • Wenn Sie das Attribut für Mail in Schritt 2 hinzugefügt haben (zum Beispiel, cip_email), wählen Sie mail und ordnen Sie es dem von Ihnen erstellten Attribut zu.
   • Wenn Sie das Attribut für Anzeigename in Schritt 2 hinzugefügt haben (zum Beispiel, displayName), wählen Sie displayName und ordnen Sie es dem von Ihnen erstellten Attribut zu.

Anmelde-URL des Administrators konfigurieren

1. Melden Sie sich bei Citrix Cloud unter https://citrix.cloud.com an.
2. Wählen Sie im Citrix Cloud-Menü Identitäts- und Zugriffsverwaltung.
3. Suchen Sie SAML 2.0 und wählen Sie Verbinden aus dem Ellipsenmenü.
4. Geben Sie bei Aufforderung einen kurzen, URL-freundlichen Bezeichner für Ihr Unternehmen ein und wählen Sie Speichern und fortfahren. Die Seite SAML konfigurieren wird angezeigt.
5. Fahren Sie mit dem nächsten Abschnitt fort, um die SAML-Verbindung zu Citrix Cloud zu konfigurieren.

SAML-Anbieter-Metadaten konfigurieren

In dieser Aufgabe erstellen Sie eine Connector-Anwendung unter Verwendung von SAML-Metadaten aus Citrix Cloud. Nachdem Sie die SAML-Anwendung konfiguriert haben, verwenden Sie die SAML-Metadaten Ihrer Connector-Anwendung, um die SAML-Verbindung zu Citrix Cloud zu konfigurieren.

Hinweis:

Einige Schritte in diesem Abschnitt beschreiben Aktionen, die Sie in der Verwaltungskonsole Ihres SAML-Anbieters ausführen. Die spezifischen Befehle, die Sie zur Ausführung dieser Aktionen verwenden, können von den in diesem Abschnitt beschriebenen Befehlen abweichen, abhängig von Ihrem gewählten SAML-Anbieter. Die SAML-Anbieterbefehle in diesem Abschnitt dienen nur als Beispiele. Weitere Informationen zu den entsprechenden Befehlen für Ihren SAML-Anbieter finden Sie in der Dokumentation Ihres SAML-Anbieters.

SAML-Connector-Anwendung erstellen

1. Fügen Sie in der Verwaltungskonsole Ihres SAML-Anbieters eine Anwendung für einen Identitätsanbieter mit Attributen und Signaturantwort hinzu. Je nach Konsole Ihres Anbieters können Sie beispielsweise Applications > Applications > Add App und dann SAML Test Connector (IdP w/ attr w/ sign response) auswählen.
2. Geben Sie gegebenenfalls einen Anzeigenamen ein und speichern Sie die App.
3. Wählen Sie auf dem Bildschirm SAML konfigurieren in Citrix Cloud unter SAML-Metadaten die Option Herunterladen. Die XML-Metadatendatei wird in einem anderen Browser-Tab angezeigt.

   Hinweis:

   Bei Bedarf können Sie diese Datei auch von https://saml.cloud.com/saml/metadata.xml herunterladen. Dieser Endpunkt ist möglicherweise für einige Identitätsanbieter besser geeignet, wenn sie die SAML-Anbietermetadaten importieren und überwachen.

4. Geben Sie die folgenden Details für die Connector-Anwendung ein:
   • Geben Sie im Feld Zielgruppe https://saml.cloud.com ein.
   • Geben Sie im Feld Empfänger https://saml.cloud.com/saml/acs ein.
   • Geben Sie im Feld für den ACS-URL-Validator https://saml.cloud.com/saml/acs ein.
   • Geben Sie im Feld für die ACS-URL https://saml.cloud.com/saml/acs ein.

5. Fügen Sie Ihre benutzerdefinierten SAML-Attribute als Parameterwerte in der Anwendung hinzu:

   Dieses Feld erstellen	Dieses benutzerdefinierte Attribut zuweisen
   cip_sid	Das benutzerdefinierte Attribut, das Sie für SID erstellt haben. Beispiel: cip_sid
   cip_upn	Das benutzerdefinierte Attribut, das Sie für UPN erstellt haben. Beispiel: cip_upn
   cip_oid	Das benutzerdefinierte Attribut, das Sie für ObjectGUID erstellt haben. Beispiel: cip_oid
   cip_email	Das benutzerdefinierte Attribut, das Sie für Mail erstellt haben. Beispiel: cip_email
   displayName	Das benutzerdefinierte Attribut, das Sie für Display Name erstellt haben. Beispiel: displayName

6. Fügen Sie Ihre Endbenutzer als Benutzer hinzu, um ihnen den Zugriff auf die Anwendung zu ermöglichen.

SAML-Anbieter-Metadaten zu Citrix Cloud hinzufügen

1. Rufen Sie die SAML-Metadaten von Ihrem SAML-Anbieter ab. Die folgende Abbildung zeigt ein Beispiel, wie diese Datei aussehen könnte:

   

2. Geben Sie im Bildschirm SAML konfigurieren in Citrix Cloud die folgenden Werte aus der Metadatendatei Ihres SAML-Anbieters ein:

   • Geben Sie unter Identity Provider Entity ID den Wert entityID aus dem Element EntityDescriptor in den Metadaten ein.

     

   • Wählen Sie unter Authentifizierungsanforderung signieren die Option Ja, damit Citrix Cloud Authentifizierungsanforderungen signieren kann, um zu bestätigen, dass sie von Citrix Cloud und nicht von einem böswilligen Akteur stammen. Wählen Sie Nein, wenn Sie die Citrix ACS-URL lieber zu einer Zulassungsliste hinzufügen möchten, die Ihr SAML-Anbieter zum sicheren Posten von SAML-Antworten verwendet.

   • Geben Sie unter SSO Service URL die URL für den Bindungsmechanismus ein, den Sie verwenden möchten. Sie können entweder die HTTP-POST- oder die HTTP-Redirect-Bindung verwenden. Suchen Sie in der Metadatendatei die SingleSignOnService-Elemente mit den Bindungswerten HTTP-POST oder HTTP-Redirect.

     

   • Wählen Sie unter Binding Mechanism den Mechanismus aus, der der Bindung für die SSO Service URL entspricht, die Sie aus der Metadatendatei ausgewählt haben. Standardmäßig ist HTTP Post ausgewählt.
   • Wählen Sie unter SAML Response die Signiermethode aus, die Ihr SAML-Anbieter für die SAML Response und SAML Assertion verwendet. Standardmäßig ist Sign Either Response or Assertion ausgewählt. Citrix Cloud lehnt alle Antworten ab, die nicht wie in diesem Feld angegeben signiert sind.
3. Führen Sie in der Verwaltungskonsole Ihres SAML-Anbieters die folgenden Aktionen aus:
   • Wählen Sie SHA-256 für den SAML-Signaturalgorithmus aus.
   • Laden Sie das X.509-Zertifikat als Base64-codierte PEM-, CRT- oder CER-Datei herunter.
4. Wählen Sie auf der Seite Configure SAML in Citrix Cloud unter X.509 Certificate die Option Upload File und wählen Sie die Zertifikatsdatei aus, die Sie im vorherigen Schritt heruntergeladen haben.
5. Wählen Sie Continue, um den Upload abzuschließen.
6. Wählen Sie unter Authentication Context den Kontext aus, den Sie verwenden möchten, und wie streng Citrix Cloud diesen Kontext durchsetzen soll. Wählen Sie Minimum, um die Authentifizierung im ausgewählten Kontext anzufordern, ohne die Authentifizierung in diesem Kontext zu erzwingen. Wählen Sie Exact, um die Authentifizierung im ausgewählten Kontext anzufordern und die Authentifizierung nur in diesem Kontext zu erzwingen. Wenn Ihr SAML-Anbieter keine Authentifizierungskontexte unterstützt oder Sie diese nicht verwenden möchten, wählen Sie Unspecified und Minimum. Standardmäßig sind Unspecified und Exact ausgewählt.
7. Entscheiden Sie für die Logout URL (optional), ob Benutzer, die sich von ihrem Store oder Citrix Cloud abmelden, auch von allen Webanwendungen abgemeldet werden sollen, bei denen sie sich zuvor über den SAML-Anbieter angemeldet haben.
   • Wenn Benutzer nach der Abmeldung von ihrem Store oder Citrix Cloud in ihren Webanwendungen angemeldet bleiben sollen, lassen Sie das Feld Logout URL leer.

   • Wenn Benutzer nach der Abmeldung von ihrem Store oder Citrix Cloud von allen Webanwendungen abgemeldet werden sollen, geben Sie den SingleLogout (SLO)-Endpunkt Ihres SAML-Anbieters ein. Wenn Sie Microsoft ADFS oder Microsoft Entra ID als SAML-Anbieter verwenden, ist der SLO-Endpunkt derselbe wie der Single Sign-On (SSO)-Endpunkt.

     

8. Stellen Sie sicher, dass die folgenden Standardattributwerte in Citrix Cloud mit den entsprechenden Attributwerten übereinstimmen, die in Ihrem SAML-Anbieter konfiguriert sind. Damit Citrix Cloud diese Attribute innerhalb der SAML-Assertion finden kann, müssen die hier eingegebenen Werte mit denen in Ihrem SAML-Anbieter übereinstimmen. Wenn Sie ein bestimmtes Attribut in Ihrem SAML-Anbieter nicht konfiguriert haben, können Sie den Standardwert in Citrix Cloud verwenden oder das Feld leer lassen, sofern nicht anders angegeben.

   • Attributname für den Anzeigenamen des Benutzers: Der Standardwert ist displayName.
   • Attributname für den Vornamen des Benutzers: Der Standardwert ist firstName.
   • Attributname für den Nachnamen des Benutzers: Der Standardwert ist lastName.
   • Attributname für die Sicherheits-ID (SID): Sie müssen diesen Attributnamen von Ihrem SAML-Anbieter eingeben, wenn Sie kein Attribut für UPN erstellt haben. Der Standardwert ist cip_sid.
   • Attributname für den Benutzerprinzipalnamen (UPN): Sie müssen diesen Attributnamen von Ihrem SAML-Anbieter eingeben, wenn Sie kein Attribut für SID erstellt haben. Der Standardwert ist cip_upn.
   • Attributname für E-Mail: Der Standardwert ist cip_email.
   • Attributname für AD-Objektbezeichner (OID): Der Standardwert ist cip_oid.
   • Attributname für AD-Gesamtstruktur: Der Standardwert ist cip_forest.
   • Attributname für AD-Domäne: Der Standardwert ist cip_domain.
9. Wählen Sie Testen und Fertig stellen, um zu überprüfen, ob Sie die Verbindung erfolgreich konfiguriert haben.

Administratoren aus AD zu Citrix Cloud hinzufügen

Anweisungen zum Hinzufügen und Verwalten von AD-Gruppen in Citrix Cloud finden Sie unter Administratorengruppen verwalten.

SAML-Authentifizierung für Stores aktivieren

1. Wählen Sie im Citrix Cloud-Menü StoreFront Cloud.
2. Wählen Sie die Registerkarte Authentifizierung.
3. Wählen Sie SAML 2.0 aus.

Klonen einer vorhandenen SAML-Verbindung in Identity and Access Management

Wichtig:

Beim Klonen von SAML-Verbindungen wird die vorhandene Scoped Entity ID nicht geklont. Möglicherweise müssen Sie Ihre SAML-Anwendungskonfiguration aktualisieren, wenn Sie eine Scoped Entity ID hinzufügen oder während des Klonvorgangs eine neue generieren.

Um eine vorhandene SAML-Verbindung zu klonen, führen Sie die folgenden Schritte aus:

1. Wählen Sie die 3 Punkte rechts neben einer vorhandenen SAML-Verbindung aus und wählen Sie Klonen aus der Liste der Aktionen.

   

2. Geben Sie eine neue und eindeutige GO-URL für die neue SAML-Verbindung ein. Dies kann bei Bedarf später geändert werden.

3. Geben Sie einen neuen eindeutigen Spitznamen für die neue SAML-Verbindung ein.

   

4. Aktualisieren Sie alle Einstellungen innerhalb der Verbindung, z. B. das Aktivieren der Scoped Entity ID, das Aktivieren der Signatur, das Hinzufügen einer fehlenden Abmelde-URL oder das Aktualisieren des kürzlich abgelaufenen SAML-Anbieterzertifikats….

5. Klicken Sie auf „Testen und abschließen“, um die neue SAML-Verbindung zu speichern.

6. Wechseln Sie den Store, um die neue SAML-Verbindung unter StoreFront Cloud -> Authentication zu verwenden.

7. Aktualisieren Sie Ihre SAML-Anwendungskonfiguration mit einer neuen Scoped Entity ID (nicht immer notwendig)