Active Directory mit Connector Appliance
Sie können die Connector Appliance verwenden, um einen Ressourcenstandort mit Forests zu verbinden, die keine Citrix Virtual Apps and Desktops™-Ressourcen enthalten. Dies ist beispielsweise der Fall bei Citrix Secure Private Access-Kunden oder Citrix Virtual Apps and Desktops-Kunden, die einige Forests nur für die Benutzerauthentifizierung verwenden.
Bei der Verwendung von Multi-Domain Active Directory mit Connector Appliance gelten die folgenden Einschränkungen:
- Die Connector Appliance kann nicht anstelle von Cloud Connectors in Forests verwendet werden, die VDAs enthalten.
Anforderungen
Active Directory-Anforderungen
- Beigetreten zu einer Active Directory-Domäne, die die Ressourcen und Benutzer enthält, die Sie zum Erstellen von Angeboten für Ihre Benutzer verwenden. Weitere Informationen finden Sie unter Bereitstellungsszenarien für Connector Appliances in Active Directory in diesem Artikel.
- Jeder Active Directory-Forest, den Sie mit Citrix Cloud™ verwenden möchten, muss immer über zwei Connector Appliances erreichbar sein.
- Die Connector Appliance muss Domänencontroller sowohl in der Forest-Stammdomäne als auch in den Domänen erreichen können, die Sie mit Citrix Cloud verwenden möchten. Weitere Informationen finden Sie in den folgenden Microsoft Support-Artikeln:
- Konfigurieren von Domänen und Vertrauensstellungen
- Abschnitt „Systemdienste-Ports“ in Dienstübersicht und Netzwerkanforderungen für Windows
- Verwenden Sie universelle Sicherheitsgruppen anstelle von globalen Sicherheitsgruppen. Diese Konfiguration stellt sicher, dass die Benutzergruppenmitgliedschaft von jedem Domänencontroller im Forest abgerufen werden kann.
Netzwerkanforderungen
- Verbunden mit einem Netzwerk, das die Ressourcen kontaktieren kann, die Sie an Ihrem Ressourcenstandort verwenden.
- Mit dem Internet verbunden. Weitere Informationen finden Sie unter System- und Konnektivitätsanforderungen.
Zusätzlich zu den unter Connector Appliance-Kommunikation aufgeführten Ports benötigt die Connector Appliance eine ausgehende Verbindung zur Active Directory-Domäne über diese Ports:
| Dienst | Port | Unterstütztes Domänenprotokoll |
|---|---|---|
| Kerberos | 88 | TCP/UDP |
| NetBIOS-Namensdienst | 137 | UDP |
| NetBIOS-Datagramm | 138 | UDP |
| NetBIOS-Sitzung | 139 | TCP |
| LDAP | 389 | TCP/UDP |
| SMB über TCP | 445 | TCP |
| Kerberos kpasswd | 464 | TCP/UDP |
| Globaler Katalog | 3268 | TCP |
-
Dynamische RPC-Ports 49152–65535 TCP
Die Connector Appliance verwendet LDAP-Signierung, um Verbindungen zum Domänencontroller zu sichern. Dies bedeutet, dass LDAP über SSL (LDAPS) nicht erforderlich ist. Weitere Informationen zur LDAP-Signierung finden Sie unter Aktivieren der LDAP-Signierung in Windows Server und Microsoft-Anleitung zum Aktivieren von LDAP-Kanalbindung und LDAP-Signierung.
Unterstützte Active Directory-Funktionsebenen
Die Connector Appliance wurde mit den folgenden Forest- und Domänenfunktionsebenen in Active Directory getestet und wird unterstützt.
| Forest-Funktionsebene | Domänenfunktionsebene | Unterstützte Domänencontroller |
|---|---|---|
| Windows Server 2016 | Windows Server 2016 | Windows Server 2019 |
Andere Kombinationen von Domänencontroller, Forest-Funktionsebene und Domänenfunktionsebene wurden mit der Connector Appliance nicht getestet. Es wird jedoch erwartet, dass diese Kombinationen funktionieren und ebenfalls unterstützt werden.
Verbinden einer Active Directory-Domäne mit Citrix Cloud mithilfe der Connector Appliance
Wenn Sie sich mit der Administrationswebseite der Connector Appliance verbinden, zeigt der Abschnitt „Active Directory-Domänen“ zwei Registerkarten an.
-
Joined Domains (Beigetretene Domänen) – Wird verwendet, um die Connector Appliance durch Erstellen eines Computerkontos für die Appliance in der Domäne mit AD-Domänen zu verbinden. Kerberos kann durch Klicken auf das Ellipsenmenü auf der rechten Seite der beigetretenen Domäne validiert werden. Die Anwesenheit eines Computerkontos in der Domäne ist erforderlich.
-
Service Accounts (Dienstkonten) – Wird als Teil einer Secure Private Access (SPA)-Lösung verwendet, um Kerberos-SSO mithilfe eines Dienstkontos anstelle des durch den Domänenbeitritt erstellten Computerkontos zu erreichen. Kerberos kann durch Klicken auf das Ellipsenmenü auf der rechten Seite des Dienstkontos validiert werden. Eine bestimmte Domäne, die dem Computer zugeordnet ist, ist nicht zwingend erforderlich. Auch wenn die Connector Appliance nicht mit der Domäne verbunden ist, kann sie sich dennoch mit dem Domänencontroller verbinden.
-
- Um Active Directory für die Verbindung mit Citrix Cloud über die Connector Appliance zu konfigurieren, führen Sie die folgenden Schritte aus.
-
Installieren Sie eine Connector Appliance an Ihrem Ressourcenstandort.
Sie können die Informationen in der Produktdokumentation der Connector Appliance befolgen.
-
Verbinden Sie sich im Browser mit der Administrationswebseite der Connector Appliance, indem Sie die in der Connector Appliance-Konsole angegebene IP-Adresse verwenden.
-
Navigieren Sie im Abschnitt Active Directory-Domänen zur Registerkarte Joined domains (Beigetretene Domänen).
-
Klicken Sie auf + Add Active Directory domain (+ Active Directory-Domäne hinzufügen). Ein neues Pop-up-Fenster wird angezeigt, in dem Sie den Domänennamen eingeben können.
Die Connector Appliance überprüft die Domäne. Wenn die Überprüfung erfolgreich ist, wird das Dialogfeld Join Active Directory (Active Directory beitreten) geöffnet. In diesem neuen Fenster können Sie den Benutzernamen und das Kennwort eingeben, um der Domäne beizutreten.
- Klicken Sie auf Add (Hinzufügen).
- Geben Sie den Benutzernamen und das Kennwort eines Active Directory-Benutzers mit Beitrittsberechtigung für die Domäne ein.
-
Die Connector Appliance schlägt einen Computernamen vor. Sie können den vorgeschlagenen Namen überschreiben und einen eigenen Computernamen mit bis zu 15 Zeichen Länge angeben.
Dieser Computername wird in der Active Directory-Domäne erstellt, wenn die Connector Appliance ihr beitritt.
-
Klicken Sie auf Join (Beitreten).
Die Domäne wird nun im Abschnitt Active Directory domains (Active Directory-Domänen) der Connector Appliance-Benutzeroberfläche aufgeführt.
- Um weitere Active Directory domains (Active Directory-Domänen) hinzuzufügen, wählen Sie + Add Active Directory domain (+ Active Directory-Domäne hinzufügen) und wiederholen Sie die vorhergehenden Schritte.
-
Gehen Sie zur Domänenseite in der Citrix Cloud Console und wählen Sie Connector Appliance aus, um Ihre Domänen zu bedienen.
- Wenn Sie Ihre Connector Appliance noch nicht registriert haben, fahren Sie mit den Schritten fort, wie unter Registrieren Ihrer Connector Appliance bei Citrix Cloud beschrieben.
Wenn Sie beim Beitritt zur Domäne einen Fehler erhalten, überprüfen Sie, ob Ihre Umgebung die Active Directory-Anforderungen und die Netzwerkanforderungen erfüllt.
Nächste Schritte
-
Sie können dieser Connector Appliance weitere Domänen hinzufügen.
-
Hinweis:
Die Connector Appliance wurde mit bis zu 10 Gesamtstrukturen getestet.
-
Fügen Sie zur Ausfallsicherheit jede Domäne zu mehr als einer Connector Appliance an jedem Ressourcenstandort hinzu.
-
Anzeigen Ihrer Active Directory-Konfiguration
Sie können die Konfiguration der Active Directory-Domänen und Connector Appliances an Ihren Ressourcenstandorten an den folgenden Stellen anzeigen:
-
In Citrix Cloud:
- Navigieren Sie im Menü zur Seite Identitäts- und Zugriffsverwaltung.
-
- Wechseln Sie zur Registerkarte Domänen.
-
Ihre Active Directory-Domänen werden mit den Ressourcenstandorten aufgelistet, zu denen sie gehören.
-
Auf der Connector Appliance-Webseite:
- Stellen Sie eine Verbindung zur Connector Appliance-Webseite her, indem Sie die in der Connector Appliance-Konsole angegebene IP-Adresse verwenden.
- Melden Sie sich mit dem Kennwort an, das Sie bei der ersten Registrierung erstellt haben.
- Im Abschnitt Active Directory-Domänen der Seite sehen Sie die Liste der Active Directory-Domänen, denen diese Connector Appliance beigetreten ist.
Entfernen einer Active Directory-Domäne von einer Connector Appliance
Führen Sie die folgenden Schritte aus, um eine Active Directory-Domäne zu verlassen:
- Stellen Sie eine Verbindung zur Connector Appliance-Webseite her, indem Sie die in der Connector Appliance-Konsole angegebene IP-Adresse verwenden.
- Melden Sie sich mit dem Kennwort an, das Sie bei der ersten Registrierung erstellt haben.
- Suchen Sie im Abschnitt Active Directory-Domänen der Seite die Domäne, die Sie verlassen möchten, in der Liste der beigetretenen Active Directory-Domänen.
- Notieren Sie den Namen des Computerkontos, das von Ihrer Connector Appliance erstellt wurde.
- Klicken Sie auf das Löschsymbol (Mülleimer) neben der Domäne. Ein Bestätigungsdialogfeld wird angezeigt.
- Klicken Sie auf Weiter, um die Aktion zu bestätigen.
- Gehen Sie zu Ihrem Active Directory-Controller.
- Löschen Sie das von Ihrer Connector Appliance erstellte Computerkonto vom Controller.
Bevorzugten Konnektortyp für die Gesamtstruktur festlegen
Wenn ein Citrix Cloud-Mandant sowohl Windows-Konnektoren als auch Connector Appliances hat, die derselben AD-Gesamtstruktur beigetreten sind, ist es möglich, den bevorzugten Konnektortyp festzulegen.
Führen Sie die folgenden Schritte aus, um den bevorzugten Konnektortyp für eine bestimmte Active Directory-Gesamtstruktur festzulegen:
-
Navigieren Sie zu Identitäts- und Zugriffsverwaltung > Domänen und klicken Sie auf den Abwärtspfeil bei der AD-Gesamtstruktur, für die Sie den bevorzugten Konnektortyp festlegen möchten.
-
Wählen Sie Bevorzugter Konnektortyp für Gesamtstruktur.
Bereitstellungsszenarien für die Verwendung der Connector Appliance mit Active Directory
Sie können sowohl Cloud Connector als auch Connector Appliance verwenden, um eine Verbindung zu Active Directory-Controllern herzustellen. Der zu verwendende Konnektortyp hängt von Ihrer Bereitstellung ab.
Weitere Informationen zur Verwendung von Cloud Connectors mit Active Directory finden Sie unter Bereitstellungsszenarien für Cloud Connectors in Active Directory.
Verwenden Sie die Connector Appliance, um Ihren Ressourcenstandort in den folgenden Situationen mit der Active Directory-Gesamtstruktur zu verbinden:
- Sie richten Secure Private Access ein. Weitere Informationen finden Sie unter Secure Private Access mit Connector Appliance.
- Sie haben eine oder mehrere Gesamtstrukturen, die nur für die Benutzerauthentifizierung verwendet werden.
- Sie möchten die Anzahl der Konnektoren reduzieren, die zur Unterstützung mehrerer Gesamtstrukturen erforderlich sind.
- Sie benötigen eine Connector Appliance für andere Anwendungsfälle.
Nur Benutzer in einer oder mehreren Gesamtstrukturen mit einem einzigen Satz von Connector Appliances für alle Gesamtstrukturen
Dieses Szenario gilt für Workspace Standard-Kunden oder Kunden, die Connector Appliance für Secure Private Access verwenden.
In diesem Szenario gibt es mehrere Gesamtstrukturen, die nur Benutzerobjekte enthalten (forest1.local, forest2.local). Diese Gesamtstrukturen enthalten keine Ressourcen. Ein Satz von Connector Appliances wird innerhalb eines Ressourcenstandorts bereitgestellt und den Domänen für jede dieser Gesamtstrukturen beigetreten.
- Vertrauensstellung: Keine
- In Identitäts- und Zugriffsverwaltung aufgelistete Domänen:
forest1.local,forest2.local - Benutzeranmeldungen bei Citrix Workspace™: Für alle Benutzer unterstützt
- Benutzeranmeldungen bei einem lokalen StoreFront™: Für alle Benutzer unterstützt
Benutzer und Ressourcen in separaten Gesamtstrukturen (mit Vertrauensstellung) mit einem einzigen Satz von Connector Appliances für alle Gesamtstrukturen
Dieses Szenario gilt für Citrix Virtual Apps and Desktops-Kunden mit mehreren Gesamtstrukturen.
In diesem Szenario enthalten einige Gesamtstrukturen (resourceforest1.local, resourceforest2.local) Ihre Ressourcen (z. B. VDAs) und einige Gesamtstrukturen (userforest1.local, userforest2.local) enthalten nur Ihre Benutzer. Zwischen diesen Gesamtstrukturen besteht eine Vertrauensstellung, die es Benutzern ermöglicht, sich bei Ressourcen anzumelden.
Ein Satz von Cloud Connectors wird innerhalb der resourceforest1.local-Gesamtstruktur bereitgestellt. Ein separater Satz von Cloud Connectors wird innerhalb der resourceforest2.local-Gesamtstruktur bereitgestellt.
Ein Satz von Connector Appliances wird innerhalb der userforest1.local-Gesamtstruktur bereitgestellt, und derselbe Satz wird innerhalb der userforest2.local-Gesamtstruktur bereitgestellt.
- Vertrauensstellung: Bidirektionale Gesamtstrukturvertrauensstellung oder unidirektionale Vertrauensstellung von den Ressourcengesamtstrukturen zu den Benutzergesamtstrukturen
- In Identitäts- und Zugriffsverwaltung aufgelistete Domänen:
resourceforest1.local,resourceforest2.local,userforest1.local,userforest2.local - Benutzeranmeldungen bei Citrix Workspace: Für alle Benutzer unterstützt
- Benutzeranmeldungen bei einem lokalen StoreFront: Für alle Benutzer unterstützt
In diesem Artikel
- Anforderungen
- Unterstützte Active Directory-Funktionsebenen
- Verbinden einer Active Directory-Domäne mit Citrix Cloud mithilfe der Connector Appliance
- Nächste Schritte
- Anzeigen Ihrer Active Directory-Konfiguration
- Entfernen einer Active Directory-Domäne von einer Connector Appliance
- Bevorzugten Konnektortyp für die Gesamtstruktur festlegen
- Bereitstellungsszenarien für die Verwendung der Connector Appliance mit Active Directory