Connector Appliance für Secure Private Access

• *.nssvc.net
• *.netscalermgmt.net
• *.citrixworkspacesapi.net
• *.citrixnetworkapi.net
• *.citrix.com
• *.servicebus.windows.net
• *.adm.cloud.com

Secure Private Access mit Connector Appliance konfigurieren

1. Installieren Sie zwei oder mehr Connector Appliances in Ihrem Ressourcenstandort.
   Weitere Informationen zum Einrichten Ihrer Connector Appliances finden Sie unter Connector Appliance für Cloud Services.
2. Um Secure Private Access für die Verbindung mit lokalen Web-Apps mithilfe von KCD zu konfigurieren, konfigurieren Sie KCD, indem Sie die folgenden Schritte ausführen:
   1. Fügen Sie Ihre Connector Appliance einer Active Directory-Domäne hinzu.
      Das Beitreten einer Active Directory-Gesamtstruktur ermöglicht die Verwendung von Kerberos Constrained Delegation (KCD) bei der Konfiguration von Secure Private Access, aber es ermöglicht nicht die Verwendung des Connector Appliance für Identitätsanfragen oder Authentifizierung.
      • Verbinden Sie sich in Ihrem Browser mit der Administrationswebseite der Connector Appliance, indem Sie die in der Connector Appliance-Konsole angegebene IP-Adresse verwenden.
      • Klicken Sie im Abschnitt Active Directory-Domänen auf + Active Directory-Domäne hinzufügen.
        Wenn Sie keinen Abschnitt Active Directory-Domänen auf Ihrer Administrationsseite haben, wenden Sie sich an Citrix®, um die Teilnahme an der Vorschau anzufordern.
      • Geben Sie den Domänennamen in das Feld Domänenname ein. Klicken Sie auf Hinzufügen.
      • Die Connector Appliance überprüft die Domäne. Wenn die Überprüfung erfolgreich ist, wird das Dialogfeld Active Directory beitreten geöffnet.
      • Geben Sie den Benutzernamen und das Kennwort eines Active Directory-Benutzers ein, der über die Berechtigung zum Beitreten dieser Domäne verfügt.
      • Die Connector Appliance schlägt einen Computernamen vor. Sie können den vorgeschlagenen Namen überschreiben und einen eigenen Computernamen mit bis zu 15 Zeichen Länge angeben. Notieren Sie sich den Computerkontonamen.
        Dieser Computername wird in der Active Directory-Domäne erstellt, wenn die Connector Appliance ihr beitritt.
      • Klicken Sie auf Beitreten.
   2. Konfigurieren Sie die Kerberos Constrained Delegation für einen Webserver ohne Lastenausgleich.
      
      • Identifizieren Sie den Computernamen der Connector Appliance. Sie können diesen Namen entweder von dem Ort erhalten, an dem Sie ihn gehostet haben, oder einfach über die Connector-Benutzeroberfläche.
      • Suchen Sie auf Ihrem Active Directory-Controller nach dem Computer der Connector Appliance.
      • Gehen Sie zu den Eigenschaften des Computerkontos der Connector Appliance und navigieren Sie zur Registerkarte Delegierung.
      • Wählen Sie Diesem Computer für die Delegierung an angegebene Dienste vertrauen. und wählen Sie dann Beliebiges Authentifizierungsprotokoll verwenden.
        
      • Klicken Sie auf Hinzufügen.
      • Klicken Sie auf Benutzer oder Computer.
      • Geben Sie den Computernamen des Ziel-Webservers ein, und klicken Sie dann auf Namen überprüfen. Im vorhergehenden Bild ist KCD2K8 der Webserver.
      • Klicken Sie auf OK.
      • Wählen Sie den Diensttyp http.
        
      • Klicken Sie auf OK.
      • Klicken Sie auf Übernehmen und dann auf OK.
        
      Damit ist der Vorgang zum Hinzufügen der Delegierung für einen Webserver abgeschlossen.
   3. Konfigurieren Sie die Kerberos Constraint Delegation (KCD) für einen Webserver hinter einem Load Balancer.
      • Fügen Sie den Load Balancer SPN dem Dienstkonto mit dem folgenden setspn Befehl hinzu. setspn -S HTTP/<web_server_fqdn> <service_account>
        
      • Bestätigen Sie die SPNs für das Dienstkonto mit dem folgenden Befehl. setspn -l <service_account>
        
      • Erstellen Sie eine Delegierung für das Computerkonto der Connector Appliance.
        • Befolgen Sie die Schritte unter Kerberos Constraint Delegation für den Webserver ohne Lastenausgleich konfigurieren, um den CA-Computer zu identifizieren und zur Delegierungs-Benutzeroberfläche zu navigieren.
        • Wählen Sie unter Benutzer und Computer das Dienstkonto aus (zum Beispiel aaa\svc_iis3).
        • Wählen Sie in den Diensten den Eintrag ServiceType: HTTP und Benutzer oder Computer: Webserver aus (zum Beispiel kcd-lb.aaa.local)
        • Klicken Sie auf OK.
        • Klicken Sie auf Übernehmen und dann auf OK.
   4. Konfigurieren Sie die Kerberos Constrained Delegation (KCD) für ein gruppenverwaltetes Dienstkonto.
      • Fügen Sie dem gruppenverwalteten Dienstkonto einen SPN hinzu, falls noch nicht geschehen. setspn -S HTTP/<web_server_fqdn> <group_manged_service_account>
      • Bestätigen Sie den SPN mit dem folgenden Befehl. setspn -l <group_manged_service_account>
      Da das gruppenverwaltete Dienstkonto bei der Hinzufügung des Delegierungseintrags für das Computerkonto nicht in der Users and Computers-Suche angezeigt werden kann, können Sie die Delegierung für ein Computerkonto nicht mit der üblichen Methode hinzufügen. Daher können Sie diesen SPN als delegierten Eintrag zum CA-Computerkonto hinzufügen, indem Sie den Attribut-Editor verwenden.
      • Navigieren Sie in den Computereigenschaften der Connector Appliance zur Registerkarte Attribut-Editor und suchen Sie nach dem Attribut msDA-AllowedToDeleteTo.
      • Bearbeiten Sie msDA-AllowedToDeleteTo attribute und fügen Sie dann den SPN hinzu.
      )
      )
   5. Von Citrix Gateway Connector™ zu Citrix Connector Appliance migrieren.
      • Da SPNs bereits für das Dienstkonto festgelegt sind, während der Gateway-Connector konfiguriert wird, müssen Sie keine weiteren SPNs für das Dienstkonto hinzufügen, wenn keine neue Kerberos-Anwendung konfiguriert ist. Sie können die Liste aller für das Dienstkonto zugewiesenen SPNs mit dem folgenden Befehl anzeigen und sie als delegierte Einträge für das CA-Computerkonto zuweisen.
      setspn -l <service_account>
      
      In diesem Beispiel sind die SPNs (kcd-lb.aaa.local, kcd-lb-app1.aaa.local, kcd-lb-app2.aaa.local, kcd-lb-app3.aaa.local) für KCD konfiguriert.
      • Fügen Sie die erforderlichen SPNs als delegierten Eintrag zum Computerkonto der Connector Appliance hinzu. Einzelheiten finden Sie im Schritt Erstellen einer Delegierung für das Computerkonto der Connector Appliance.
      
      In diesem Beispiel wird der erforderliche SPN als delegierte Einträge für das CA-Computerkonto hinzugefügt.
      Hinweis: Diese SPNs wurden dem Dienstkonto als delegierte Einträge hinzugefügt, während der Gateway-Connector konfiguriert wurde. Da Sie von der Dienstkontodelegierung abweichen, können diese Einträge von der Registerkarte Delegierung des Dienstkontos entfernt werden.
   6. Befolgen Sie die Dokumentation zu Citrix Secure Private Access™, um den Citrix Secure Private Access-Dienst einzurichten. Während der Einrichtung erkennt Citrix Cloud die Präsenz Ihrer Connector Appliances und verwendet sie, um eine Verbindung zu Ihrem Ressourcenstandort herzustellen.
   • Erste Schritte mit Citrix Secure Private Access
   • Citrix Secure Private Access konfigurieren
   • Connector Appliance für Cloud Services
   • Anforderungen an die Internetkonnektivität.
   • Unterstützung für Enterprise-Webanwendungen

Validieren Ihrer Kerberos-Konfiguration

1. Gehen Sie zur Verwaltungsseite der Connector Appliance.
   1. Kopieren Sie von der Connector Appliance-Konsole in Ihrem Hypervisor die IP-Adresse in die Adressleiste Ihres Browsers.
   2. Geben Sie das Passwort ein, das Sie bei der Registrierung Ihrer Connector Appliance festgelegt haben.
2. Wählen Sie im Admin-Menü oben rechts die Option Kerberos-Validierung.
3. Wählen Sie im Dialogfeld Kerberos-Validierung den Kerberos-Validierungsmodus.
4. Geben Sie die Active Directory-Domäne an oder wählen Sie sie aus.
   • Wenn Sie eine Kerberos-Konfiguration im Realm-Only-Modus validieren, können Sie eine beliebige Active Directory-Domäne angeben.
   • Wenn Sie eine Kerberos Constrained Delegation-Konfiguration validieren, müssen Sie aus einer Liste von Domänen in der verbundenen Gesamtstruktur auswählen.
5. Geben Sie den Dienst-FQDN an. Der Standarddienstname wird als http angenommen. Wenn Sie „computer.example.com“ angeben, wird dies als dasselbe wie http/computer.example.com betrachtet.
6. Geben Sie den Benutzernamen an.
7. Wenn Sie eine Kerberos-Konfiguration im Realm-Only-Modus validieren, geben Sie das Passwort für diesen Benutzernamen an.
8. Klicken Sie auf Kerberos testen.