Benutzer verwalten

Durch das Definieren von Benutzern, Gruppen, Rollen und Berechtigungen können Sie steuern, wer Zugriff auf Ihre Citrix Hypervisor or-Server und -Pools hat und welche Aktionen sie ausführen können.

Wenn Sie Citrix Hypervisor zum ersten Mal installieren, wird Citrix Hypervisor automatisch ein Benutzerkonto hinzugefügt. Dieses Konto ist der lokale Superbenutzer (LSU) oder root, den Citrix Hypervisor lokal authentifiziert.

Die LSU oder root ist ein spezielles Benutzerkonto für die Systemverwaltung und verfügt über alle Berechtigungen. In Citrix Hypervisor ist die LSU das Standardkonto bei der Installation. Citrix Hypervisor authentifiziert das LSU-Konto. LSU erfordert keinen externen Authentifizierungsdienst. Wenn ein externer Authentifizierungsdienst fehlschlägt, kann sich die LSU weiterhin anmelden und das System verwalten. Die LSU kann jederzeit über SSH auf den physischen Server von Citrix Hypervisor zugreifen.

Sie können mehr Benutzer erstellen, indem Sie die Active Directory Konten entweder über die XenCenter-Registerkarte Benutzer oder die xe-CLI hinzufügen. Wenn Ihre Umgebung Active Directory nicht verwendet, sind Sie auf das LSU-Konto beschränkt.

Hinweis:

Wenn Sie Benutzer erstellen, weist Citrix Hypervisor neu erstellte Benutzerkonten RBAC-Rollen nicht automatisch zu. Daher haben diese Konten keinen Zugriff auf den Citrix Hypervisor Pool, bis Sie ihnen eine Rolle zuweisen.

Diese Berechtigungen werden über Rollen erteilt, wie im Abschnitt Authentifizieren von Benutzern mit Active Directory (AD) beschrieben.

Authentifizieren von Benutzern mit Active Directory (AD)

Wenn Sie mehrere Benutzerkonten auf einem Server oder Pool haben möchten, müssen Sie Active Directory Benutzerkonten für die Authentifizierung verwenden. AD-Konten ermöglichen es Citrix Hypervisor Benutzern, sich mit ihren Windows Domänenanmeldeinformationen an einem Pool anzumelden.

Sie können unterschiedliche Zugriffsebenen für bestimmte Benutzer konfigurieren, indem Sie die Active Directory Authentifizierung aktivieren, Benutzerkonten hinzufügen und diesen Konten Rollen zuweisen.

Active Directory Benutzer können die xe-CLI verwenden (entsprechende-u Argumente-pw und Argumente übergeben) und über XenCenter auch eine Verbindung mit dem Host herstellen. Die Authentifizierung erfolgt auf Ressourcenpoolbasis.

Subjekte steuern den Zugriff auf Benutzerkonten. Ein Betreff in Citrix Hypervisor wird einer Entität auf dem Verzeichnisserver (entweder einem Benutzer oder einer Gruppe) zugeordnet. Wenn Sie die externe Authentifizierung aktivieren, überprüft Citrix Hypervisor die zum Erstellen einer Sitzung verwendeten Anmeldeinformationen mit den lokalen Stammanmeldeinformationen (falls der Verzeichnisserver nicht verfügbar ist) und dann mit der Betreffliste. Um den Zugriff zu erlauben, erstellen Sie einen Betreffeintrag für die Person oder Gruppe, auf die Sie Zugriff gewähren möchten. Sie können XenCenter oder die xe-CLI verwenden, um einen Betreffeintrag zu erstellen.

Wenn Sie mit XenCenter vertraut sind, beachten Sie, dass die Citrix Hypervisor CLI etwas andere Terminologie verwendet, um auf Active Directory - und Benutzerkontofunktionen zu verweisen: XenCenter Term Citrix Hypervisor CLI-Term-Benutzer Subjekte hinzufügen

Obwohl Citrix Hypervisor Linux-basiert, können Sie mit Citrix Hypervisor Active Directory Konten für Citrix Hypervisor-Benutzerkonten verwenden. Dazu werden Active Directory tory-Anmeldeinformationen an den Active Directory-Domänencontroller übergeben.

Wenn Sie Active Directory zu Citrix Hypervisor hinzufügen, werden Active Directory Benutzer und -Gruppen zu Citrix Hypervisor Themen. Die Themen werden in XenCenter als Benutzer bezeichnet. Benutzer/Gruppen werden bei der Anmeldung mithilfe von Active Directory authentifiziert, wenn Sie einen Betreff bei Citrix Hypervisor registrieren. Benutzer und Gruppen müssen ihren Benutzernamen nicht mithilfe eines Domänennamens qualifizieren.

Um einen Benutzernamen zu qualifizieren, müssen Sie den Benutzernamen im Format Anmeldename unten eingeben,mydomain\myuserz. B.

Hinweis:

Wenn Sie den Benutzernamen nicht qualifiziert haben, versucht XenCenter standardmäßig, Benutzer bei AD-Authentifizierungsservern mit der Domäne anzumelden, der er angehört. Die Ausnahme hiervon ist das LSU-Konto, das XenCenter immer lokal authentifiziert (d. h. auf dem Citrix Hypervisor).

Der externe Authentifizierungsprozess funktioniert wie folgt:

  1. Die beim Herstellen einer Verbindung mit einem Server angegebenen Anmeldeinformationen werden zur Authentifizierung an den Active Directory Domänencontroller übergeben.

  2. Der Domänencontroller überprüft die Anmeldeinformationen. Wenn sie ungültig sind, schlägt die Authentifizierung sofort fehl.

  3. Wenn die Anmeldeinformationen gültig sind, wird der Active Directory Controller abgefragt, um die Betreffkennung und die Gruppenmitgliedschaft zu erhalten, die den Anmeldeinformationen zugeordnet sind.

  4. Wenn die Antragsteller-ID mit der im Citrix Hypervisor gespeicherten ID übereinstimmt, ist die Authentifizierung erfolgreich.

Wenn Sie einer Domäne beitreten, aktivieren Sie die Active Directory Authentifizierung für den Pool. Wenn ein Pool jedoch einer Domäne beitritt, können nur Benutzer in dieser Domäne (oder einer Domäne, mit der er Vertrauensstellungen aufweist) eine Verbindung mit dem Pool herstellen.

Hinweis:

Das manuelle Aktualisieren der DNS-Konfiguration eines DHCP-konfigurierten Netzwerk-PIF wird nicht unterstützt und kann dazu führen, dass die AD-Integration und damit die Benutzerauthentifizierung fehlschlägt oder nicht mehr funktioniert.

Konfigurieren der Active Directory Authentifizierung

Citrix Hypervisor unterstützt die Verwendung von Active Directory -Servern unter Windows 2008 oder höher.

Um Active Directory für Citrix Hypervisor or-Server zu authentifizieren, müssen Sie denselben DNS-Server sowohl für den Active Directory -Server (für die Interoperabilität konfiguriert) als auch für den Citrix Hypervisor or-Server verwenden. In einigen Konfigurationen kann der Active Directory Server das DNS selbst bereitstellen. Dies kann entweder mit DHCP zur Bereitstellung der IP-Adresse und einer Liste der DNS-Server für den Citrix Hypervisor or-Server erreicht werden. Alternativ können Sie die Werte in den PIF-Objekten festlegen oder das Installationsprogramm verwenden, wenn eine manuelle statische Konfiguration verwendet wird.

Es wird empfohlen, DHCP zum Zuweisen von Hostnamen zu aktivieren. Weisen Sie die Hostnamenlocalhost oder Hosts nichtlinux zu.

Warnhinweis:

Citrix Hypervisor or-Servernamen müssen in der Citrix Hypervisor Bereitstellung eindeutig sein.

Beachten Sie Folgendes:

  • Citrix Hypervisor beschriftet seinen AD-Eintrag in der AD-Datenbank unter Verwendung seines Hostnamens. Wenn zwei Citrix Hypervisor-Server mit demselben Hostnamen derselben AD-Domäne verbunden sind, überschreibt der zweite Citrix Hypervisor den AD-Eintrag des ersten Citrix Hypervisors. Das Überschreiben erfolgt unabhängig davon, ob die Hosts zu denselben oder verschiedenen Pools gehören. Dies kann dazu führen, dass die AD-Authentifizierung auf dem ersten Citrix Hypervisor nicht mehr funktioniert.

    Sie können denselben Hostnamen in zwei Citrix Hypervisor or-Servern verwenden, solange sie verschiedenen AD-Domänen beitreten.

  • Die Citrix Hypervisor or-Server können sich in verschiedenen Zeitzonen befinden, da es sich um die UTC-Zeit handelt, die verglichen wird. Um sicherzustellen, dass die Synchronisierung korrekt ist, können Sie dieselben NTP-Server für Ihren Citrix Hypervisor Pool und den Active Directory -Server verwenden.

  • Mischauthentifizierungspools werden nicht unterstützt. Sie können keinen Pool haben, in dem einige Server im Pool für die Verwendung von Active Directory konfiguriert sind und andere nicht).

  • Die Citrix Hypervisor Active Directory Integration verwendet das Kerberos-Protokoll, um mit den Active Directory -Servern zu kommunizieren. Daher unterstützt Citrix Hypervisor nicht die Kommunikation mit Active Directory -Servern, die Kerberos nicht verwenden.

  • Damit die externe Authentifizierung mit Active Directory erfolgreich ist, müssen die Uhren auf den Citrix Hypervisor or-Servern mit den Uhren auf dem Active Directory -Server synchronisiert werden. Wenn Citrix Hypervisor der Active Directory Domäne beitritt, wird die Synchronisierung überprüft, und die Authentifizierung schlägt fehl, wenn zwischen den Servern zu stark verzerrt ist.

Warnhinweis:

Hostnamen dürfen ausschließlich aus nicht mehr als 63 alphanumerischen Zeichen bestehen und dürfen nicht rein numerisch sein.

Wenn Sie einen Server zu einem Pool hinzufügen, nachdem Sie die Active Directory Authentifizierung aktiviert haben, werden Sie aufgefordert, Active Directory auf dem Server zu konfigurieren, der dem Pool beitritt. Wenn Sie auf dem beitrittenden Server zur Eingabe von Anmeldeinformationen aufgefordert werden, geben Sie Active Directory Anmeldeinformationen mit ausreichenden Berechtigungen ein, um dieser Domäne Server hinzuzufügen.

Integration von Active Directory

Stellen Sie sicher, dass die folgenden Firewallports für ausgehenden Datenverkehr geöffnet sind, damit Citrix Hypervisor auf die Domänencontroller zugreifen kann.

Hafen Protokoll Verwenden
53 UDP/TCP DNS
88 UDP/TCP Kerberos 5
123 UDP NTP
137 UDP NetBIOS-Namensdienst
139 TCP NetBIOS-Sitzung (SMB)
389 UDP/TCP LDAP
445 TCP SMB über TCP
464 UDP/TCP Änderungen des Maschinenkennworts
3268 TCP Globale Katalogsuche

Hinweise:

  • Führen Sie den folgenden Befehl aus, um die Firewallregeln auf einem Linux-Computer mithilfe von iptablesanzuzeigen:iptables - nL.
  • Citrix Hypervisor verwendet PowerBroker Identity Services (PBIS), um den AD-Benutzer auf dem AD-Server zu authentifizieren und die Kommunikation mit dem AD-Server zu verschlüsseln.

Wie verwaltet Citrix Hypervisor das Computerkontokennwort für die AD-Integration?

Ähnlich wie bei Windows Clientcomputern aktualisiert PBIS das Kennwort des Computerkontos automatisch. PBIS erneuert das Kennwort alle 30 Tage oder gemäß der Kennworterneuerungsrichtlinie des Computerkontos auf dem AD-Server.

Aktivieren der externen Authentifizierung für einen Pool

Die externe Authentifizierung mit Active Directory kann mit XenCenter oder der CLI mit dem folgenden Befehl konfiguriert werden.

xe pool-enable-external-auth auth-type=AD \
  service-name=full-qualified-domain \
  config:user=username \
  config:pass=password

Der angegebene Benutzer muss überAdd/remove computer objects or workstations Berechtigungen verfügen. Dies ist der Standardwert für Domänenadministratoren.

Wenn Sie DHCP nicht in dem Netzwerk verwenden, das von Active Directory und Ihren Citrix Hypervisor or-Servern verwendet wird, verwenden Sie die folgenden Ansätze, um Ihren DNS einzurichten:

  1. Richten Sie Ihre DNS-Suffix-Suchreihenfolge für das Auflösen von Nicht-FQDN-Einträgen ein:

    xe pif-param-set uuid=pif_uuid_in_the_dns_subnetwork \
       "other-config:domain=suffix1.com suffix2.com suffix3.com"
    
  2. Konfigurieren Sie den DNS-Server für die Verwendung auf Ihren Citrix Hypervisor or-Servern:

    xe pif-reconfigure-ip mode=static dns=dnshost ip=ip \
      gateway=gateway netmask=netmask uuid=uuid
    
  3. Legen Sie die Verwaltungsschnittstelle manuell so fest, dass eine PIF im selben Netzwerk wie Ihr DNS-Server verwendet wird:

    xe host-management-reconfigure pif-uuid=pif_in_the_dns_subnetwork
    

Hinweis:

Die externe Authentifizierung ist eine Eigenschaft pro Host. Es wird jedoch empfohlen, die externe Authentifizierung pro Pool zu aktivieren und zu deaktivieren. Mit einer Pool-Einstellung kann Citrix Hypervisor Fehler beheben, die beim Aktivieren der Authentifizierung auf einem bestimmten Host auftreten. Citrix Hypervisor rollt auch alle erforderlichen Änderungen zurück, um eine konsistente Konfiguration im gesamten Pool sicherzustellen. Verwenden Sie denhost-param-list Befehl, um Eigenschaften eines Hosts zu überprüfen und den Status der externen Authentifizierung zu bestimmen, indem Sie die Werte der relevanten Felder überprüfen.

Verwenden Sie XenCenter, um die Active Directory Authentifizierung zu deaktivieren, oder den folgenden xe-Befehl:

xe pool-disable-external-auth

Benutzerauthentifizierung

Um einem Benutzer den Zugriff auf den Citrix Hypervisor or-Server zu ermöglichen, müssen Sie einen Betreff für diesen Benutzer oder eine Gruppe hinzufügen, in der er sich befindet. (Transitive Gruppenmitgliedschaften werden ebenfalls normal geprüft. Beispiel: Hinzufügen eines Betreffs für GruppeA, wobei Gruppe Gruppe GruppeAenthältBund Mitglied der Gruppeuser 1ist Bwürde den Zugang zu ermöglichenuser 1 .) Wenn Sie Benutzerberechtigungen in Active Directory verwalten möchten, können Sie eine einzelne Gruppe erstellen, die Sie dann Benutzer zu/aus hinzufügen und löschen. Alternativ können Sie einzelne Benutzer aus Citrix Hypervisor oder eine Kombination von Benutzern und Gruppen entsprechend Ihren Authentifizierungsanforderungen hinzufügen und löschen. Sie können die Betreffliste über XenCenter oder über die CLI verwalten, wie im folgenden Abschnitt beschrieben.

Bei der Authentifizierung eines Benutzers werden die Anmeldeinformationen zuerst mit dem lokalen Stammkonto überprüft, sodass Sie ein System wiederherstellen können, dessen AD-Server ausfallen. Wenn die Anmeldeinformationen (Benutzername und Kennwort) nicht übereinstimmen, wird eine Authentifizierungsanforderung an den AD-Server gestellt. Wenn die Authentifizierung erfolgreich ist, werden die Informationen des Benutzers abgerufen und anhand der lokalen Betreffliste validiert. Der Zugriff wird verweigert, wenn die Authentifizierung fehlschlägt. Die Überprüfung gegen die Betreffliste ist erfolgreich, wenn sich der Benutzer oder eine Gruppe in der transitiven Gruppenmitgliedschaft des Benutzers in der Betreffliste befindet.

Hinweis:

Wenn Sie Active Directory Gruppen verwenden, um den Zugriff für Pooladministratorbenutzer zu gewähren, die Host-SSH-Zugriff benötigen, darf die Anzahl der Benutzer in der Active Directory-Gruppe 500 nicht überschreiten.

So fügen Sie Citrix Hypervisor einen AD-Betreff hinzu:

xe subject-add subject-name=entity_name

Der entity_name ist der Name des Benutzers oder der Gruppe, dem Sie Zugriff gewähren möchten. Sie können die Domäne der Entität einschließen (z. B. ‘xendtuser1’ im Gegensatz zu ‘user1’), obwohl das Verhalten dasselbe ist, es sei denn, eine Begriffsklärung ist erforderlich.

Suchen Sie die Betreffkennung des Benutzers. Der Bezeichner ist der Benutzer oder die Gruppe, die den Benutzer enthält. Wenn Sie eine Gruppe entfernen, wird der Zugriff auf alle Benutzer in dieser Gruppe entfernt, sofern sie nicht auch in der Betreffliste angegeben sind. Verwenden Sie densubject list Befehl, um die Betreffkennung des Benutzers zu finden. :

xe subject-list

Dieser Befehl gibt eine Liste aller Benutzer zurück.

Verwenden Sie den folgenden Befehl, um einen Filter auf die Liste anzuwenden, z. B. um den Betreff-Bezeichner für einen Benutzeruser1 in dertestad Domäne zu finden:

xe subject-list other-config:subject-name='testad\user1'

Entfernen Sie den Benutzer mit demsubject-remove Befehl und übergeben Sie die Betreff-ID, die Sie im vorherigen Schritt gelernt haben:

xe subject-remove subject-uuid=subject_uuid

Sie können jede aktuelle Sitzung beenden, die dieser Benutzer bereits authentifiziert hat. Weitere Informationen finden Sie unter Beenden aller authentifizierten Sitzungen mit xe und Beenden einzelner Benutzersitzungen mit xe im folgenden Abschnitt. Wenn Sie Sitzungen nicht beenden, können Benutzer mit widerrufen Berechtigungen weiterhin auf das System zugreifen, bis sie sich abmelden.

Führen Sie den folgenden Befehl aus, um die Liste der Benutzer und Gruppen mit der Berechtigung für den Zugriff auf den Citrix Hypervisor-Server oder -Pool zu identifizieren:

xe subject-list

Zugriff für einen Benutzer entfernen

Wenn ein Benutzer authentifiziert wird, kann er auf den Server zugreifen, bis er seine Sitzung beendet oder ein anderer Benutzer seine Sitzung beendet. Wenn Sie einen Benutzer aus der Betreffliste entfernen oder aus einer Gruppe entfernen, die sich in der Betreffliste befindet, werden bereits authentifizierte Sitzungen des Benutzers nicht automatisch widerrufen. Benutzer können weiterhin mit XenCenter oder anderen API-Sitzungen, die sie bereits erstellt haben, auf den Pool zugreifen. XenCenter und die Befehlszeilenschnittstelle bieten Möglichkeiten, einzelne Sitzungen oder alle aktiven Sitzungen zwangsweise zu beenden. In der XenCenter Hilfe finden Sie Informationen zu Prozeduren, die XenCenter verwenden, oder im folgenden Abschnitt finden Sie Informationen zu Prozeduren, die die CLI verwenden.

Beenden Sie alle authentifizierten Sitzungen mit xe

Führen Sie den folgenden CLI-Befehl aus, um alle authentifizierten Sitzungen mit xe zu beenden:

xe session-subject-identifier-logout-all

Beenden einzelner Benutzersitzungen mit xe

  1. Bestimmen Sie die Betreffkennung, deren Sitzung Sie abmelden möchten. Verwenden Sie entweder die Befehlesession-subject-identifier-list odersubject-list xe, um den Betreff-Bezeichner zu finden. Der erste Befehl zeigt Benutzer mit Sitzungen an. Der zweite Befehl zeigt alle Benutzer an, kann aber gefiltert werden. Zum Beispiel, indem Sie einen Befehl wiexe subject-list other-config:subject-name=xendt\\user1. Möglicherweise benötigen Sie einen doppelten umgekehrten Schrägstrich, wie in Abhängigkeit von Ihrer Shell gezeigt).

  2. Verwenden Sie densession-subject-logout Befehl, indem Sie die im vorherigen Schritt ermittelte Betreff-ID als Parameter übergeben, zum Beispiel:

    xe session-subject-identifier-logout subject-identifier=subject_id
    

Hinterlassen einer AD-Domäne

Warnhinweis:

Wenn Sie die Domäne verlassen (d. h. die Active Directory Authentifizierung deaktivieren und einen Pool oder einen Server von seiner Domäne trennen), werden alle Benutzer, die sich am Pool oder Server mit Active Directory-Anmeldeinformationen authentifiziert haben, getrennt.

Verwenden Sie XenCenter, um eine AD-Domäne zu verlassen. Weitere Informationen finden Sie in der XenCenter Hilfe. Führen Sie denpool-disable-external-auth Befehl alternativ aus und geben Sie ggf. den Pool uuid an.

Hinweis:

Wenn Sie die Domäne verlassen, werden die Hostobjekte nicht aus der AD-Datenbank gelöscht. Informationen zum Löschen von deaktivierten Hosteinträgen finden Sie unterMicrosoft Support-Artikel.