SAML für Single Sign-On mit Citrix Files
Haftungsausschluss:
Diese Funktion wird eingestellt, wenn ShareFile (jetzt Progress) den Support dafür einstellt.
-
Sie können Citrix Endpoint Management und ShareFile so konfigurieren, dass sie die Security Assertion Markup Language (SAML) verwenden, um Single Sign-On (SSO)-Zugriff auf mobile Citrix Files-Apps bereitzustellen. Diese Funktionalität umfasst:
- Citrix Files-Apps, die MAM SDK-fähig sind oder mit dem MDX Toolkit gepackt wurden
-
Nicht gepackte Citrix Files-Clients, wie z. B. die Website, das Outlook-Plug-In oder Synchronisierungsclients
- Für gepackte Citrix Files-Apps: Benutzer, die sich bei Citrix Files anmelden, werden zur Benutzerauthentifizierung und zum Erhalt eines SAML-Tokens zu Citrix Secure Hub umgeleitet. Nach erfolgreicher Authentifizierung sendet die mobile Citrix Files-App das SAML-Token an ShareFile. Nach der ersten Anmeldung können Benutzer über SSO auf die mobile Citrix Files-App zugreifen. Sie können auch Dokumente von ShareFile an Citrix Secure Mail-E-Mails anhängen, ohne sich jedes Mal anmelden zu müssen.
- Für nicht gepackte Citrix Files-Clients: Benutzer, die sich über einen Webbrowser oder einen anderen Citrix Files-Client bei Citrix Files anmelden, werden zu Citrix Endpoint Management umgeleitet. Citrix Endpoint Management authentifiziert die Benutzer, die dann ein SAML-Token erhalten, das an ShareFile gesendet wird. Nach der ersten Anmeldung können Benutzer über SSO auf Citrix Files-Clients zugreifen, ohne sich jedes Mal anmelden zu müssen.
Um Citrix Endpoint Management als SAML-Identitätsanbieter (IdP) für ShareFile zu verwenden, müssen Sie Citrix Endpoint Management für die Verwendung mit Enterprise-Konten konfigurieren, wie in diesem Artikel beschrieben. Alternativ können Sie Citrix Endpoint Management so konfigurieren, dass es nur mit Storage Zone Connectors funktioniert. Weitere Informationen finden Sie unter ShareFile-Nutzung mit Citrix Endpoint Management.
- Ein detailliertes Referenzarchitekturdiagramm finden Sie unter Architektur.
Voraussetzungen
Schließen Sie die folgenden Voraussetzungen ab, bevor Sie SSO mit Citrix Endpoint Management und Citrix Files-Apps konfigurieren können:
-
Das MAM SDK oder eine kompatible Version des MDX Toolkits (für mobile Citrix Files-Apps).
-
Weitere Informationen finden Sie unter Citrix Endpoint Management-Kompatibilität.
- Eine kompatible Version der mobilen Citrix Files-Apps und von Citrix Secure Hub.
- ShareFile-Administratorkonto.
- Überprüfte Konnektivität zwischen Citrix Endpoint Management und ShareFile.
-
ShareFile-Zugriff konfigurieren
- Bevor Sie SAML für ShareFile einrichten, geben Sie die ShareFile-Zugriffsinformationen wie folgt an:
-
Klicken Sie in der Citrix Endpoint Management-Webkonsole auf Configure > ShareFile. Die Konfigurationsseite ShareFile wird angezeigt.
-
Konfigurieren Sie diese Einstellungen:
-
Domain: Geben Sie Ihren ShareFile-Subdomainnamen ein. Beispiel:
example.sharefile.com. - Assign to delivery groups: Wählen oder suchen Sie die Bereitstellungsgruppen, die SSO mit ShareFile verwenden können sollen.
- ShareFile Administrator Account Logon
- User name: Geben Sie den Benutzernamen des ShareFile-Administrators ein. Dieser Benutzer muss Administratorberechtigungen besitzen.
- Password: Geben Sie das ShareFile-Administratorpasswort ein.
- User account provisioning: Lassen Sie diese Einstellung deaktiviert. Verwenden Sie das ShareFile User Management Tool für die Benutzerbereitstellung. Siehe Bereitstellen von Benutzerkonten und Verteilergruppen.
-
Domain: Geben Sie Ihren ShareFile-Subdomainnamen ein. Beispiel:
-
Klicken Sie auf Test Connection, um zu überprüfen, ob sich der Benutzername und das Passwort für das ShareFile-Administratorkonto beim angegebenen ShareFile-Konto authentifizieren.
-
Klicken Sie auf Save.
-
Citrix Endpoint Management synchronisiert sich mit ShareFile und aktualisiert die ShareFile-Einstellungen ShareFile Issuer/Entity ID und Login URL.
-
Die Seite Configure > ShareFile zeigt den App internal name an. Sie benötigen diesen Namen, um die später unter Modify the Citrix Files.com SSO settings beschriebenen Schritte auszuführen.
-
SAML für gepackte Citrix Files MDX-Apps einrichten
Sie müssen NetScaler Gateway nicht für die Single Sign-On-Konfiguration mit Citrix Files-Apps verwenden, die mit dem MAM SDK vorbereitet wurden. Informationen zum Konfigurieren des Zugriffs für nicht gepackte Citrix Files-Clients, wie z. B. die Website, das Outlook-Plug-In oder die Synchronisierungsclients, finden Sie unter NetScaler Gateway für andere Citrix Files-Clients konfigurieren.
So konfigurieren Sie SAML für gepackte Citrix Files MDX-Apps:
-
Laden Sie die ShareFile für Citrix Endpoint Management-Clients herunter. Siehe ShareFile Tool/App Downloads.
-
Bereiten Sie die mobile Citrix Files-App mit dem MAM SDK vor. Weitere Informationen finden Sie in der MAM SDK-Übersicht.
-
Laden Sie in der Citrix Endpoint Management-Konsole die vorbereitete mobile Citrix Files-App hoch. Informationen zum Hochladen von MDX-Apps finden Sie unter Hinzufügen einer MDX-App zu Citrix Endpoint Management.
-
Überprüfen Sie die SAML-Einstellungen: Melden Sie sich bei ShareFile mit dem zuvor konfigurierten Administrator-Benutzernamen und -Passwort an.
-
- Stellen Sie sicher, dass ShareFile und Citrix Endpoint Management für dieselbe Zeitzone konfiguriert sind. Stellen Sie sicher, dass Citrix Endpoint Management die korrekte Uhrzeit für die konfigurierte Zeitzone anzeigt. Andernfalls kann das SSO fehlschlagen.
-
Mobile Citrix Files-App validieren
- 1. Installieren und konfigurieren Sie Citrix Secure Hub auf dem Benutzergerät.
- 1. Laden Sie die mobile Citrix Files-App aus dem App Store herunter und installieren Sie sie.
-
Starten Sie die mobile Citrix Files-App. Citrix Files startet, ohne zur Eingabe von Benutzername oder Passwort aufzufordern.
- ### Mit Citrix Secure Mail validieren -
Installieren und konfigurieren Sie Citrix Secure Hub auf dem Benutzergerät, falls dies noch nicht geschehen ist.
-
Laden Sie Citrix Secure Mail aus dem App Store herunter, installieren und richten Sie es ein.
-
Öffnen Sie ein neues E-Mail-Formular und tippen Sie dann auf Von ShareFile anhängen. Dateien, die an die E-Mail angehängt werden können, werden angezeigt, ohne dass ein Benutzername oder Passwort abgefragt wird.
NetScaler Gateway für andere Citrix Files-Clients konfigurieren
Um den Zugriff für nicht gepackte Citrix Files-Clients, wie z. B. die Website, das Outlook-Plug-In oder die Synchronisierungsclients, zu konfigurieren, konfigurieren Sie NetScaler Gateway wie folgt, um die Verwendung von Citrix Endpoint Management als SAML-Identitätsanbieter zu unterstützen.
- Deaktivieren Sie die Umleitung zur Startseite.
- Erstellen Sie eine Citrix Files-Sitzungsrichtlinie und ein Profil.
- Konfigurieren Sie Richtlinien auf dem virtuellen NetScaler Gateway-Server.
Umleitung zur Startseite deaktivieren
Deaktivieren Sie das Standardverhalten für Anforderungen, die über den Pfad /cginfra eingehen. Diese Aktion ermöglicht es Benutzern, die ursprünglich angeforderte interne URL anstelle der konfigurierten Startseite anzuzeigen.
-
Bearbeiten Sie die Einstellungen für den virtuellen NetScaler Gateway-Server, der für Citrix Endpoint Management-Anmeldungen verwendet wird. Gehen Sie in NetScaler Gateway zu Other Settings und deaktivieren Sie dann das Kontrollkästchen Redirect to Home Page.
-
Geben Sie unter ShareFile (jetzt ShareFile genannt) den internen Servernamen und die Portnummer Ihres Citrix Endpoint Management ein.
-
Geben Sie unter Citrix Endpoint Management Ihre Citrix Endpoint Management-URL ein.
Diese Konfiguration autorisiert Anforderungen an die von Ihnen eingegebene URL über den Pfad /cginfra.
Citrix Files-Sitzungsrichtlinie und Anforderungsprofil erstellen
Konfigurieren Sie diese Einstellungen, um eine Citrix Files-Sitzungsrichtlinie und ein Anforderungsprofil zu erstellen:
-
Klicken Sie im NetScaler Gateway-Konfigurationsdienstprogramm im linken Navigationsbereich auf NetScaler Gateway > Richtlinien > Sitzung.
-
- Erstellen Sie eine Sitzungsrichtlinie. Klicken Sie auf der Registerkarte Richtlinien auf Hinzufügen.
-
- Geben Sie im Feld Name den Wert ShareFile_Policy ein.
-
- Erstellen Sie eine Aktion, indem Sie auf die Schaltfläche + klicken. Die Seite NetScaler® Gateway-Sitzungsprofil erstellen wird angezeigt.
Konfigurieren Sie diese Einstellungen:
- Name: Geben Sie ShareFile_Profile ein.
- Klicken Sie auf die Registerkarte Client Experience und konfigurieren Sie dann diese Einstellungen:
- Startseite: Geben Sie none ein.
- Sitzungs-Timeout (Min.): Geben Sie 1 ein.
- Single Sign-on für Webanwendungen: Wählen Sie diese Einstellung aus.
- Anmeldeinformationsindex: Klicken Sie auf PRIMARY.
- Klicken Sie auf die Registerkarte Veröffentlichte Anwendungen.
Konfigurieren Sie diese Einstellungen:
- ICA® Proxy: Klicken Sie auf On.
- Webinterface-Adresse: Geben Sie die URL Ihres Citrix Endpoint Management-Servers ein.
-
Single Sign-on-Domäne: Geben Sie Ihren Active Directory-Domänennamen ein.
Beim Konfigurieren des NetScaler Gateway-Sitzungsprofils muss das Domänensuffix für die Single Sign-on-Domäne mit dem in LDAP definierten Citrix Endpoint Management-Domänenalias übereinstimmen.
-
-
Klicken Sie auf Erstellen, um das Sitzungsprofil zu definieren.
-
Klicken Sie auf Expression Editor.
Konfigurieren Sie diese Einstellungen:
- Wert: Geben Sie NSC_FSRD ein.
- Header-Name: Geben Sie COOKIE ein.
-
Klicken Sie auf Erstellen und dann auf Schließen.
Richtlinien auf dem NetScaler Gateway Virtual Server konfigurieren
Konfigurieren Sie diese Einstellungen auf dem NetScaler Gateway Virtual Server.
-
Klicken Sie im NetScaler Gateway-Konfigurationsdienstprogramm im linken Navigationsbereich auf NetScaler Gateway > Virtuelle Server.
-
Klicken Sie im Bereich Details auf Ihren NetScaler Gateway Virtual Server.
-
Klicken Sie auf Bearbeiten.
-
Klicken Sie auf Konfigurierte Richtlinien > Sitzungsrichtlinien und dann auf Bindung hinzufügen.
-
Wählen Sie ShareFile_Policy aus.
-
Bearbeiten Sie die automatisch generierte Prioritätsnummer für die ausgewählte Richtlinie so, dass sie die höchste Priorität (die kleinste Zahl) im Verhältnis zu allen anderen aufgelisteten Richtlinien hat. Zum Beispiel:
-
Klicken Sie auf Fertig und speichern Sie dann die laufende NetScaler Gateway-Konfiguration.
Die Citrix Files.com SSO-Einstellungen ändern
Nehmen Sie die folgenden Änderungen sowohl für MDX- als auch für Nicht-MDX-Citrix Files-Apps vor.
Wichtig:
Eine neue Nummer wird an den internen Anwendungsnamen angehängt:
- Jedes Mal, wenn Sie die Citrix Files-App bearbeiten oder neu erstellen
- Jedes Mal, wenn Sie die ShareFile-Einstellungen in Citrix Endpoint Management ändern
Daher müssen Sie auch die Anmelde-URL auf der Citrix Files-Website aktualisieren, um den aktualisierten App-Namen anzuzeigen.
-
Melden Sie sich bei Ihrem ShareFile-Konto (
https://<subdomain>.sharefile.com) als ShareFile-Administrator an. -
Klicken Sie in der ShareFile-Weboberfläche auf Admin und wählen Sie dann Single Sign-on konfigurieren.
-
Bearbeiten Sie die Anmelde-URL wie folgt:
Hier ist eine Beispiel-Anmelde-URL vor den Bearbeitungen:
https://xms.citrix.lab/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1.
-
Fügen Sie den externen FQDN des NetScaler Gateway Virtual Servers plus /cginfra/https/ vor dem FQDN des Citrix Endpoint Management-Servers ein und fügen Sie dann 8443 nach dem Citrix Endpoint Management-FQDN hinzu.
Hier ist ein Beispiel einer bearbeiteten URL:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1 -
Ändern Sie den Parameter
&app=ShareFile_SAML_SPin den internen Anwendungsnamen von Citrix Files. Der interne Name ist standardmäßigShareFile_SAML. Jedes Mal, wenn Sie Ihre Konfiguration ändern, wird jedoch eine Nummer an den internen Namen angehängt (ShareFile_SAML_2,ShareFile_SAML_3usw.). Sie können den internen App-Namen auf der Seite Konfigurieren > ShareFile nachschlagen.Hier ist ein Beispiel einer bearbeiteten URL:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1 -
Fügen Sie
&nssso=trueam Ende der URL hinzu.Hier ist ein Beispiel der endgültigen URL:
https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1&nssso=true.
-
-
Aktivieren Sie unter Optionale Einstellungen das Kontrollkästchen Webauthentifizierung aktivieren.
Die Konfiguration validieren
Führen Sie die folgenden Schritte aus, um die Konfiguration zu validieren.
-
Rufen Sie in Ihrem Browser
https://<subdomain>sharefile.com/saml/loginauf.Sie werden zum Anmeldeformular des NetScaler Gateways weitergeleitet. Wenn Sie nicht weitergeleitet werden, überprüfen Sie die vorhergehenden Konfigurationseinstellungen.
-
Geben Sie den Benutzernamen und das Kennwort für die NetScaler Gateway- und Citrix Endpoint Management-Umgebung ein, die Sie konfiguriert haben.
Ihre Citrix Files-Ordner unter
<subdomain>.sharefile.comwerden angezeigt. Wenn Sie Ihre Citrix Files-Ordner nicht sehen, stellen Sie sicher, dass Sie die richtigen Anmeldeinformationen eingegeben haben.