Clientzertifikat oder Zertifikat plus Domänenauthentifizierung

1. Fügen Sie ein Zertifikat-Snap-In zur Microsoft Management Console hinzu.
2. Fügen Sie die Vorlage zur Zertifizierungsstelle (CA) hinzu.
3. Erstellen Sie ein PFX-Zertifikat vom CA-Server.

1. Laden Sie das Zertifikat auf Citrix Endpoint Management hoch.
2. Erstellen Sie die PKI-Entität für die zertifikatbasierte Authentifizierung.
3. Konfigurieren Sie Anmeldeinformationsanbieter.
4. Konfigurieren Sie NetScaler Gateway so, dass ein Benutzerzertifikat zur Authentifizierung bereitgestellt wird.

• Clientauthentifizierung
• SSL-Profilinfrastruktur
• Konfigurieren und Binden einer Clientzertifikat-Authentifizierungsrichtlinie.

Voraussetzungen

• Wenn Sie eine Microsoft Certificate Services-Entitätsvorlage erstellen, vermeiden Sie mögliche Authentifizierungsprobleme mit registrierten Geräten, indem Sie Sonderzeichen ausschließen. Verwenden Sie beispielsweise diese Zeichen nicht im Vorlagennamen: : ! $ () # % + * ~ ? | {} []
• Informationen zum Konfigurieren der zertifikatbasierten Authentifizierung für Exchange ActiceSync finden Sie in der Microsoft-Dokumentation zu Exchange Server. Konfigurieren Sie die Zertifizierungsstellen-Serverwebsite (CA) für Exchange ActiceSync so, dass Clientzertifikate erforderlich sind.
• Wenn Sie private Serverzertifikate verwenden, um den ActiveSync-Datenverkehr zum Exchange Server zu sichern, stellen Sie sicher, dass die mobilen Geräte alle Stamm-/Zwischenzertifikate besitzen. Andernfalls schlägt die zertifikatbasierte Authentifizierung während der Postfachkonfiguration in Citrix Secure Mail fehl. In der Exchange IIS-Konsole müssen Sie:
  • Fügen Sie eine Website für die Verwendung von Citrix Endpoint Management mit Exchange hinzu und binden Sie das Webserverzertifikat.
  • Verwenden Sie Port 9443.
  • Für diese Website müssen Sie zwei Anwendungen hinzufügen, eine für „Microsoft-Server-ActiveSync“ und eine für „EWS“. Wählen Sie für beide Anwendungen unter SSL-Einstellungen die Option SSL erforderlich aus.

Hinzufügen eines Zertifikat-Snap-Ins zur Microsoft Management Console

1. Öffnen Sie die Konsole und klicken Sie dann auf Snap-Ins hinzufügen/entfernen.
2. Fügen Sie die folgenden Snap-Ins hinzu:
   • Zertifikatvorlagen
   • Zertifikate (Lokaler Computer)
   • Zertifikate – Aktueller Benutzer
   • Zertifizierungsstelle (Lokal)
   
3. erweitern Zertifikatvorlagen.
   
4. Wählen Sie die Benutzer-Vorlage und Vorlage duplizieren.
   
5. Geben Sie den Anzeigenamen der Vorlage an.
   Wichtig:
   Es wird nicht empfohlen, die Option Zertifikat in Active Directory veröffentlichen auszuwählen. Wenn diese Option ausgewählt ist, werden Clientzertifikate für alle Benutzer in Active Directory erstellt, was Ihre Active Directory-Datenbank überladen könnte.

6. Wählen Sie Windows 2003 Server für den Vorlagentyp aus. Auf dem Windows 2012 R2-Server wählen Sie unter Kompatibilität die Option Zertifizierungsstelle und legen den Empfänger als Windows 2003 fest.
7. Konfigurieren Sie unter Sicherheit Folgendes:
   1. Klicken Sie auf Hinzufügen, und wählen Sie dann das AD-Benutzerkonto aus, das Citrix Endpoint Management zum Generieren von Zertifikaten verwendet.
      Wichtig:
      Fügen Sie hier nur den Dienstkontobenutzer hinzu. Fügen Sie die Berechtigung Registrieren nur diesem AD-Benutzerkonto hinzu.
      Wie später in diesem Artikel beschrieben, erstellen Sie ein Benutzer-PFX-Zertifikat mit dem Dienstkonto. Weitere Informationen finden Sie unter Erstellen eines PFX-Zertifikats vom CA-Server.
      
   2. Widerrufen Sie die Berechtigung Registrieren für Domänenbenutzer.
      
8. Stellen Sie unter Kryptografie sicher, dass Sie die Schlüssellänge angeben. Sie geben die Schlüssellänge später bei der Konfiguration von Citrix Endpoint Management ein.
   
9. Wählen Sie unter Antragstellername die Option In der Anforderung angeben. Wenden Sie die Änderungen an und speichern Sie sie.
   

Hinzufügen der Vorlage zur Zertifizierungsstelle

1. Gehen Sie zu Zertifizierungsstelle und wählen Sie Zertifikatvorlagen.
2. Klicken Sie mit der rechten Maustaste in den rechten Bereich und wählen Sie dann Neu > Auszustellende Zertifikatvorlage.
   
3. Wählen Sie die Vorlage aus, die Sie im vorherigen Schritt erstellt haben, und klicken Sie dann auf OK, um sie der Zertifizierungsstelle hinzuzufügen.
   

Erstellen eines PFX-Zertifikats vom CA-Server

1. Erstellen Sie ein Benutzer-.pfx-Zertifikat mit dem Dienstkonto, mit dem Sie sich angemeldet haben. Die .pfx-Datei wird in Citrix Endpoint Management hochgeladen, das dann ein Benutzerzertifikat für die Benutzer anfordert, die ihre Geräte registrieren.
2. Unter Aktueller Benutzer erweitern Sie Zertifikate.
3. Klicken Sie mit der rechten Maustaste in den rechten Bereich und klicken Sie dann auf Neues Zertifikat anfordern.
   
4. Der Bildschirm Zertifikatregistrierung wird angezeigt. Klicken Sie auf Weiter.
   
5. Wählen Sie Active Directory-Registrierungsrichtlinie aus und klicken Sie dann auf Weiter.
   
6. Wählen Sie die Vorlage Benutzer aus und klicken Sie dann auf Registrieren.
   
7. Exportieren Sie die .pfx-Datei, die Sie im vorherigen Schritt erstellt haben.
   
8. Klicken Sie auf Ja, privaten Schlüssel exportieren.
   
9. Wählen Sie Alle Zertifikate im Zertifizierungspfad einschließen, falls möglich und aktivieren Sie das Kontrollkästchen Alle erweiterten Eigenschaften exportieren.
   
10. Legen Sie ein Kennwort fest, das beim Hochladen dieses Zertifikats in Citrix Endpoint Management verwendet werden soll.
    
11. Speichern Sie das Zertifikat auf Ihrer Festplatte.

Hochladen des Zertifikats in Citrix Endpoint Management

1. Klicken Sie in der Citrix Endpoint Management-Konsole auf das Zahnradsymbol in der oberen rechten Ecke. Der Bildschirm Einstellungen wird angezeigt.
2. Klicken Sie auf Zertifikate und dann auf Importieren.
3. Geben Sie die folgenden Parameter ein:
   • Importieren: Keystore
   • Keystore-Typ: PKCS #12
   • Verwenden als: Server
   • Keystore-Datei: Klicken Sie auf „Durchsuchen“, um das von Ihnen erstellte .pfx-Zertifikat auszuwählen.
   • Kennwort: Geben Sie das Kennwort ein, das Sie für dieses Zertifikat erstellt haben.
   
4. Klicken Sie auf Importieren.
5. Überprüfen Sie, ob das Zertifikat korrekt installiert wurde. Ein korrekt installiertes Zertifikat wird als Benutzerzertifikat angezeigt.

Erstellen der PKI-Entität für die zertifikatbasierte Authentifizierung

1. Navigieren Sie in den Einstellungen zu Mehr > Zertifikatverwaltung > PKI-Entitäten.
2. Klicken Sie auf Hinzufügen und dann auf Microsoft Certificate Services-Entität. Der Bildschirm Microsoft Certificate Services-Entität: Allgemeine Informationen wird angezeigt.
3. Geben Sie die folgenden Parameter ein:
   • Name: Geben Sie einen beliebigen Namen ein.
   • Stamm-URL des Webregistrierungsdiensts: https://RootCA-URL/certsrv/ (Stellen Sie sicher, dass Sie den letzten Schrägstrich „/“ im URL-Pfad hinzufügen.)
   • Seitenname certnew.cer: certnew.cer (Standardwert)
   • certfnsh.asp: certfnsh.asp (Standardwert)
   • Authentifizierungstyp: Clientzertifikat
   • SSL-Clientzertifikat: Wählen Sie das Benutzerzertifikat aus, das zum Ausstellen des Citrix Endpoint Management-Clientzertifikats verwendet werden soll. Wenn kein Zertifikat vorhanden ist, befolgen Sie das Verfahren im vorhergehenden Abschnitt, um Zertifikate hochzuladen.
   
4. Fügen Sie unter Vorlagen die Vorlage hinzu, die Sie beim Konfigurieren des Microsoft-Zertifikats erstellt haben. Fügen Sie keine Leerzeichen hinzu.
   
5. Überspringen Sie die HTTP-Parameter und klicken Sie dann auf CA-Zertifikate.
6. Wählen Sie den Namen der Stammzertifizierungsstelle (CA) aus, der Ihrer Umgebung entspricht. Diese Stammzertifizierungsstelle ist Teil der Kette, die aus dem Citrix Endpoint Management-Clientzertifikat importiert wurde.
   
7. Klicken Sie auf Speichern.

Konfigurieren von Anmeldeinformationsanbietern

1. Gehen Sie in den Einstellungen zu Mehr > Zertifikatsverwaltung > Anmeldeinformationsanbieter.
2. Klicken Sie auf Hinzufügen.
3. Geben Sie unter Allgemein die folgenden Parameter ein:
   • Name: Geben Sie einen beliebigen Namen ein.
   • Beschreibung: Geben Sie eine beliebige Beschreibung ein.
   • Ausstellende Entität: Wählen Sie die zuvor erstellte PKI-Entität aus.
   • Ausstellungsmethode: SIGN
   • Vorlagen: Wählen Sie die Vorlage aus, die unter der PKI-Entität hinzugefügt wurde.
   
4. Klicken Sie auf Zertifikatsignieranforderung und geben Sie dann die folgenden Parameter ein:
   • Schlüsselalgorithmus: RSA
   • Schlüsselgröße: 2048
   • Signaturalgorithmus: SHA256withRSA
   • Antragsstellername: cn=$user.username
   Für Alternative Antragstellernamen klicken Sie auf Hinzufügen und geben Sie dann die folgenden Parameter ein:
   • Typ: Benutzerprinzipalname
   • Wert: $user.userprincipalname
   
5. Klicken Sie auf Verteilung und geben Sie die folgenden Parameter ein:
   • Zertifikat der ausstellenden CA: Wählen Sie die ausstellende CA aus, die das Citrix Endpoint Management Clientzertifikat signiert hat.
   • Verteilungsmodus auswählen: Wählen Sie Zentralisiert bevorzugen: Serverseitige Schlüsselgenerierung.
   
6. Für die nächsten beiden Abschnitte, Widerruf Citrix Endpoint Management und Widerruf PKI, legen Sie die Parameter nach Bedarf fest. In diesem Beispiel werden beide Optionen übersprungen.
7. Klicken Sie auf Erneuerung.
8. Aktivieren Sie Zertifikate bei Ablauf erneuern.
9. Belassen Sie alle anderen Einstellungen als Standard oder ändern Sie sie nach Bedarf.
   
10. Klicken Sie auf Speichern.

Konfigurieren von Citrix Secure Mail zur Verwendung der zertifikatbasierten Authentifizierung

Konfigurieren der NetScaler Gateway-Zertifikatsbereitstellung in Citrix Endpoint Management

1. Klicken Sie in der Citrix Endpoint Management-Konsole auf das Zahnradsymbol in der oberen rechten Ecke. Der Bildschirm Einstellungen wird angezeigt.
2. Klicken Sie unter Server auf NetScaler Gateway.
3. Wenn NetScaler Gateway noch nicht hinzugefügt wurde, klicken Sie auf Hinzufügen und geben Sie die Einstellungen an:
   • Name: Ein aussagekräftiger Name für die Appliance.
   • Alias: Ein optionaler Alias für die Appliance.
   • Externe URL: https://YourCitrixGatewayURL
   • Anmeldetyp: Wählen Sie Zertifikat und Domäne
   • Passwort erforderlich: Aus
   • Als Standard festlegen: Ein
4. Wählen Sie für Authentifizierung und Benutzerzertifikat für Authentifizierung bereitstellen die Option Ein.
   
5. Wählen Sie für Anmeldeinformationsanbieter einen Anbieter aus und klicken Sie dann auf Speichern.
6. Um die sAMAccount-Attribute in den Benutzerzertifikaten als Alternative zum Benutzerprinzipalnamen (UPN) zu verwenden, konfigurieren Sie den LDAP-Konnektor in Citrix Endpoint Management wie folgt: Gehen Sie zu Einstellungen > LDAP, wählen Sie das Verzeichnis aus und klicken Sie auf Bearbeiten, und wählen Sie sAMAccountName unter Benutzersuche nach.
   

Fehlerbehebung bei Ihrer Clientzertifikatkonfiguration

1. Benutzer registrieren ihr mobiles Gerät.
2. Citrix Endpoint Management fordert Benutzer auf, eine Citrix PIN zu erstellen.
3. Benutzer werden dann zum App Store weitergeleitet.
4. Wenn Benutzer Citrix Secure Mail starten, fordert Citrix Endpoint Management sie nicht zur Eingabe von Benutzeranmeldeinformationen für die Postfachkonfiguration auf. Stattdessen fordert Citrix Secure Mail das Clientzertifikat von Citrix Secure Hub an und übermittelt es zur Authentifizierung an den Microsoft Exchange Server. Wenn Citrix Endpoint Management beim Starten von Citrix Secure Mail zur Eingabe von Anmeldeinformationen auffordert, überprüfen Sie Ihre Konfiguration.

1. Wenn Microsoft Exchange Server ActiveSync private SSL-Serverzertifikate zur Sicherung des Datenverkehrs verwendet, überprüfen Sie, ob die Stamm-/Zwischenzertifikate auf dem Mobilgerät installiert sind.
2. Überprüfen Sie, ob der für ActiveSync ausgewählte Authentifizierungstyp auf Clientzertifikate erforderlich eingestellt ist.
   
3. Überprüfen Sie auf dem Microsoft Exchange Server die Website Microsoft-Server-ActiveSync, um sicherzustellen, dass die Clientzertifikat-Zuordnungsauthentifizierung aktiviert ist. Standardmäßig ist die Clientzertifikat-Zuordnungsauthentifizierung deaktiviert. Die Option befindet sich unter Konfigurationseditor > Sicherheit > Authentifizierung.
   
   Nachdem Sie True ausgewählt haben, klicken Sie unbedingt auf Anwenden, damit die Änderungen wirksam werden.
4. Überprüfen Sie die NetScaler Gateway-Einstellungen in der Citrix Endpoint Management-Konsole: Stellen Sie sicher, dass Benutzerzertifikat zur Authentifizierung bereitstellen auf Ein steht und dass unter Anmeldeinformationsanbieter das richtige Profil ausgewählt ist.