Zertifikate und Authentifizierung
Mehrere Komponenten spielen bei der Authentifizierung während des Betriebs von Citrix Endpoint Management eine Rolle:
-
Citrix Endpoint Management: Auf dem Citrix Endpoint Management-Server definieren Sie die Registrierungssicherheit und das Registrierungserlebnis. Zu den Optionen für das Onboarding von Benutzern gehören:
-
Ob die Registrierung für alle offen oder nur auf Einladung erfolgen soll.
-
Ob eine Zwei-Faktor-Authentifizierung oder eine Drei-Faktor-Authentifizierung erforderlich ist. Die Clienteigenschaften von Citrix Endpoint Management ermöglichen es Ihnen, die Citrix PIN-Authentifizierung zu aktivieren und die PIN-Komplexität und den Ablauf zu konfigurieren.
-
-
NetScaler Gateway: NetScaler Gateway bietet die Beendigung von Micro-VPN-SSL-Sitzungen. NetScaler Gateway bietet auch Netzwerksicherheit während der Übertragung und ermöglicht es Ihnen, das Authentifizierungserlebnis zu definieren, das jedes Mal verwendet wird, wenn ein Benutzer auf eine App zugreift.
-
Citrix Secure Hub: Citrix Secure Hub und Citrix Endpoint Management arbeiten bei Registrierungsvorgängen zusammen. Citrix Secure Hub ist die Entität auf einem Gerät, die mit NetScaler Gateway kommuniziert: Wenn eine Sitzung abläuft, erhält Citrix Secure Hub ein Authentifizierungsticket von NetScaler Gateway und übergibt das Ticket an die MDX-Apps. Citrix empfiehlt Certificate Pinning, um Man-in-the-Middle-Angriffe zu verhindern. Weitere Informationen finden Sie in diesem Abschnitt des Artikels zu Citrix Secure Hub: Certificate Pinning.Citrix Secure Hub erleichtert auch den MDX-Sicherheitscontainer: Citrix Secure Hub pusht Richtlinien, erstellt eine Sitzung mit NetScaler Gateway, wenn eine App abläuft, und definiert das MDX-Timeout und das Authentifizierungserlebnis. Citrix Secure Hub ist auch für die Jailbreak-Erkennung, Geolokalisierungsprüfungen und alle von Ihnen angewendeten Richtlinien verantwortlich.
-
MDX-Richtlinien: MDX-Richtlinien erstellen den Datentresor auf dem Gerät. MDX-Richtlinien leiten Micro-VPN-Verbindungen zurück zu NetScaler Gateway, erzwingen Einschränkungen des Offline-Modus und erzwingen Clientrichtlinien, wie z. B. Timeouts.
Citrix Endpoint Management authentifiziert Benutzer für ihre Ressourcen mit den folgenden Authentifizierungsmethoden:
-
Mobile Device Management (MDM)
-
Cloud-gehostete Identitätsanbieter (IdPs)
-
Lightweight Directory Access Protocol (LDAP)
-
Einladungs-URL + PIN
-
Zwei-Faktor-Authentifizierung
-
-
-
Mobile Anwendungsverwaltung (MAM)
-
LDAP
-
Zertifikat
-
Sicherheitstoken Die MAM-Authentifizierung erfordert NetScaler Gateway.
-
Weitere Konfigurationsdetails finden Sie in den folgenden Artikeln:
-
Authentifizierung mit einem lokalen NetScaler Gateway über Citrix Cloud(/de-de/citrix-endpoint-management/authentication/authentication-with-citrix-gateway-through-citrix-cloud.html)
-
Um sich bei einem Wi-Fi-Server zu authentifizieren, senden Sie ein Zertifikat an die Geräte: Netzwerkgeräte-Richtlinie
-
Um ein eindeutiges Zertifikat zu übertragen, das nicht zur Authentifizierung verwendet wird, z. B. ein internes Stammzertifizierungsstellen-Zertifikat (CA-Zertifikat) oder eine spezifische Richtlinie: Anmeldeinformations-Geräterichtlinie
Zertifikate
Citrix Endpoint Management generiert während der Installation ein selbstsigniertes Secure Sockets Layer (SSL)-Zertifikat, um die Kommunikationsflüsse zum Server zu sichern. Ersetzen Sie das SSL-Zertifikat durch ein vertrauenswürdiges SSL-Zertifikat einer bekannten Zertifizierungsstelle.
Citrix Endpoint Management verwendet auch einen eigenen Public Key Infrastructure (PKI)-Dienst oder bezieht Zertifikate von der CA für Clientzertifikate. Alle Citrix Produkte unterstützen Wildcard- und Subject Alternative Name (SAN)-Zertifikate. Für die meisten Bereitstellungen benötigen Sie nur zwei Wildcard- oder SAN-Zertifikate.
Die Clientzertifikatsauthentifizierung bietet eine zusätzliche Sicherheitsebene für mobile Apps und ermöglicht Benutzern den nahtlosen Zugriff auf HDX-Apps. Wenn die Clientzertifikatsauthentifizierung konfiguriert ist, geben Benutzer ihre Citrix PIN für den Single Sign-On (SSO)-Zugriff auf Citrix Endpoint Management-fähige Apps ein. Die Citrix PIN vereinfacht auch die Benutzerauthentifizierung. Die Citrix PIN wird verwendet, um ein Clientzertifikat zu sichern oder Active Directory-Anmeldeinformationen lokal auf dem Gerät zu speichern.
Um iOS-Geräte mit Citrix Endpoint Management zu registrieren und zu verwalten, richten Sie ein Apple Push Notification Service (APNs)-Zertifikat von Apple ein und erstellen Sie es. Schritte dazu finden Sie unter APNs-Zertifikate.
Die folgende Tabelle zeigt das Zertifikatsformat und den Zertifikatstyp für jede Citrix Endpoint Management-Komponente:
| Citrix Endpoint Management-Komponente | Zertifikatsformat | Erforderlicher Zertifikatstyp |
|---|---|---|
| NetScaler Gateway | PEM (BASE64), PFX (PKCS #12) | SSL, Root (NetScaler Gateway konvertiert PFX automatisch in PEM. |
| Citrix Endpoint Management | .p12 (.pfx auf Windows-basierten Computern) | SSL, SAML, APNs (Citrix Endpoint Management generiert während des Installationsprozesses auch eine vollständige PKI.) Wichtig: Citrix Endpoint Management unterstützt keine Zertifikate mit der Erweiterung .pem. Um ein .pem-Zertifikat zu verwenden, teilen Sie die .pem-Datei in ein Zertifikat und einen Schlüssel auf und importieren Sie jedes in Citrix Endpoint Management. |
| StoreFront | PFX (PKCS #12) | SSL, Root |
Citrix Endpoint Management unterstützt Clientzertifikate mit Bitlängen von 4096 und 2048.
Für NetScaler Gateway und Citrix Endpoint Management wird empfohlen, Serverzertifikate von einer öffentlichen Zertifizierungsstelle (CA) zu beziehen, wie z. B. Verisign, DigiCert oder Thawte. Sie können eine Zertifikatsignieranforderung (CSR) über das NetScaler Gateway oder das Konfigurationsdienstprogramm von Citrix Endpoint Management erstellen. Nachdem Sie die CSR erstellt haben, übermitteln Sie sie zur Signierung an die CA. Wenn die CA das signierte Zertifikat zurückgibt, können Sie das Zertifikat auf NetScaler Gateway oder Citrix Endpoint Management installieren.
Wichtig:
Anforderungen an vertrauenswürdige Zertifikate in iOS, iPadOS und macOS
Apple hat neue Anforderungen für TLS-Serverzertifikate. Stellen Sie sicher, dass alle Zertifikate den Apple-Anforderungen entsprechen. Siehe die Apple-Veröffentlichung,
<https://support.apple.com/de-de/HT210176>.
Apple reduziert die maximal zulässige Lebensdauer von TLS-Serverzertifikaten. Diese Änderung betrifft nur Serverzertifikate, die nach September 2020 ausgestellt wurden. Siehe die Apple-Veröffentlichung,
<https://support.apple.com/de-de/HT211025>.
LDAP-Authentifizierung
Citrix Endpoint Management unterstützt domänenbasierte Authentifizierung für ein oder mehrere Verzeichnisse, die mit dem Lightweight Directory Access Protocol (LDAP) kompatibel sind. LDAP ist ein Softwareprotokoll, das den Zugriff auf Informationen über Gruppen, Benutzerkonten und zugehörige Eigenschaften ermöglicht. Weitere Informationen finden Sie unter Domänen- oder Domänen-plus-Sicherheitstoken-Authentifizierung.
Identitätsanbieter-Authentifizierung
Sie können einen Identitätsanbieter (IdP) über Citrix Cloud konfigurieren, um Benutzergeräte zu registrieren und zu verwalten.
Unterstützte Anwendungsfälle für IdPs:
-
Azure Active Directory über Citrix Cloud
-
Workspace-Integration ist optional
-
NetScaler Gateway für zertifikatbasierte Authentifizierung konfiguriert
-
Android Enterprise (Vorschau. Unterstützt BYOD, vollständig verwaltete Geräte und erweiterte Registrierungsprofile)
-
iOS für MDM+MAM- und MDM-Registrierungen
-
iOS und macOS für Apple Business Manager-Registrierungen
-
Legacy Android (DA)
Funktionen zur automatischen Registrierung, wie der Apple School Manager, werden derzeit nicht unterstützt. -
-
Okta über Citrix Cloud
-
Workspace-Integration ist optional
-
NetScaler Gateway für zertifikatbasierte Authentifizierung konfiguriert
-
Android Enterprise (Vorschau. Unterstützt BYOD, vollständig verwaltete Geräte und erweiterte Registrierungsprofile)
-
iOS für MDM+MAM- und MDM-Registrierungen
-
iOS und macOS für Apple Business Manager-Registrierungen
-
Legacy Android (DA)
Funktionen zur automatischen Registrierung wie der Apple School Manager werden derzeit nicht unterstützt. -
-
On-Premises NetScaler Gateway über Citrix Cloud
-
NetScaler Gateway, konfiguriert für zertifikatbasierte Authentifizierung
-
Android Enterprise (Vorschau. Unterstützt BYOD, vollständig verwaltete Geräte und erweiterte Registrierungsprofile)
-
iOS für MDM+MAM- und MDM-Registrierungen
-
Legacy Android (DA) Funktionen zur automatischen Registrierung wie das Apple Deployment Program werden derzeit nicht unterstützt.
-