Installieren und konfigurieren
Installations- und Einrichtungsreihenfolge
-
Verwenden Sie die FAS-Verwaltungskonsole, um: (a) Die bereitgestellten Vorlagen bereitzustellen, (b) Zertifizierungsstellen einzurichten und (c) FAS zur Verwendung Ihrer Zertifizierungsstelle zu autorisieren
Installieren des Federated Authentication Service
Aus Sicherheitsgründen empfiehlt Citrix®, dass der Federated Authentication Service (FAS) auf einem dedizierten Server installiert wird, der ähnlich wie ein Domänencontroller oder eine Zertifizierungsstelle gesichert ist. FAS kann über die Schaltfläche Federated Authentication Service auf dem Autorun-Begrüßungsbildschirm installiert werden, wenn die ISO eingelegt wird.
Dabei werden folgende Komponenten installiert:
-
Federated Authentication Service
-
PowerShell-Snap-In-Cmdlets zur Remotekonfiguration von FAS
-
FAS-Gruppenrichtlinienvorlagen (CitrixFederatedAuthenticationService.admx/adml)
-
Zertifikatvorlagendateien für die einfache Zertifizierungsstellenkonfiguration
FAS-Plug-In für StoreFront™-Stores aktivieren
Um die FAS-Integration in einem StoreFront-Store zu aktivieren, führen Sie die folgenden PowerShell-Cmdlets als Administratorkonto aus. Wenn Sie mehr als einen Store haben oder der Store einen anderen Namen hat, kann der unten angegebene Pfadtext abweichen.
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
Um die Verwendung von FAS zu beenden, verwenden Sie das folgende PowerShell-Skript:
Get-Module "Citrix.StoreFront.*" -ListAvailable | Import-Module
$StoreVirtualPath = "/Citrix/Store"
$store = Get-STFStoreService -VirtualPath $StoreVirtualPath
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "standardClaimsFactory"
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""
Delivery Controller™ konfigurieren
Um FAS zu verwenden, konfigurieren Sie den Citrix Virtual Apps- oder Citrix Virtual Desktops™ Delivery Controller so, dass er den StoreFront-Servern vertraut, die sich mit ihm verbinden können: Führen Sie das PowerShell-Cmdlet Set-BrokerSite -TrustRequestsSentToTheXmlServicePort $true aus.
Gruppenrichtlinie konfigurieren
Nach der Installation von FAS müssen Sie die vollständigen DNS-Adressen der FAS-Server in der Gruppenrichtlinie unter Verwendung der in der Installation bereitgestellten Gruppenrichtlinienvorlagen angeben.
Wichtig:
Stellen Sie sicher, dass die StoreFront-Server, die Tickets anfordern, und die Virtual Delivery Agents (VDAs), die Tickets einlösen, eine identische Konfiguration der DNS-Adressen aufweisen, einschließlich der automatischen Servernummerierung, die vom Gruppenrichtlinienobjekt angewendet wird.
Der Einfachheit halber konfigurieren die folgenden Beispiele eine einzelne Richtlinie auf Domänenebene, die für alle Maschinen gilt; dies ist jedoch nicht zwingend erforderlich. FAS funktioniert, solange die StoreFront-Server, VDAs und die Maschine, auf der die FAS-Verwaltungskonsole ausgeführt wird, dieselbe Liste von DNS-Adressen sehen. Beachten Sie, dass das Gruppenrichtlinienobjekt jeder Eintragung eine Indexnummer hinzufügt, die ebenfalls übereinstimmen muss, wenn mehrere Objekte verwendet werden.
Schritt 1. Suchen Sie auf dem Server, auf dem Sie FAS installiert haben, die Dateien C:\Program Files\Citrix\Federated Authentication Service\PolicyDefinitions\CitrixFederatedAuthenticationService.admx und CitrixBase.admx sowie den Ordner en-US.
Schritt 2. Kopieren Sie diese auf Ihren Domänencontroller und legen Sie sie in den Unterordner C:\Windows\PolicyDefinitions und en-US.
Schritt 3. Führen Sie die Microsoft Management Console (mmc.exe über die Befehlszeile) aus. Wählen Sie in der Menüleiste Datei > Snap-In hinzufügen/entfernen. Fügen Sie den Gruppenrichtlinienverwaltungs-Editor hinzu.
Wenn Sie zur Eingabe eines Gruppenrichtlinienobjekts aufgefordert werden, wählen Sie Durchsuchen und dann Standarddomänenrichtlinie. Alternativ können Sie ein geeignetes Richtlinienobjekt für Ihre Umgebung mit den Tools Ihrer Wahl erstellen und auswählen. Die Richtlinie muss auf alle Computer angewendet werden, auf denen betroffene Citrix-Software (VDAs, StoreFront-Server, Verwaltungstools) ausgeführt wird.
Schritt 4. Navigieren Sie zur Richtlinie Federated Authentication Service unter Computer Configuration/Policies/Administrative Templates/Citrix Components/Authentication.
Hinweis:
Die Richtlinieneinstellung für den Federated Authentication Service ist nur in Domänen-GPOs verfügbar, wenn Sie die Vorlagendatei CitrixBase.admx/CitrixBase.adml zum Ordner PolicyDefinitions hinzufügen. Die Richtlinieneinstellung für den Federated Authentication Service wird dann im Ordner Administrative Templates > Citrix Components > Authentication aufgeführt.
Schritt 5. Öffnen Sie die Richtlinie für den Federated Authentication Service und wählen Sie Aktiviert. Dadurch können Sie die Schaltfläche Anzeigen auswählen, wo Sie die DNS-Adressen Ihrer FAS-Server konfigurieren.
Schritt 6. Geben Sie die vollqualifizierten Domänennamen (FQDNs) der Server ein, die FAS hosten.
Wichtig: Wenn Sie mehrere FQDNs eingeben, muss die Reihenfolge der Liste zwischen StoreFront-Servern und VDAs konsistent sein. Dies schließt leere oder ungenutzte Listeneinträge ein.
Schritt 7. Klicken Sie auf OK, um den Gruppenrichtlinien-Assistenten zu beenden und die Gruppenrichtlinienänderungen anzuwenden. Möglicherweise müssen Sie Ihre Computer neu starten (oder gpupdate /force über die Befehlszeile ausführen), damit die Änderung wirksam wird.
Unterstützung für Zertifikate in der Sitzung und trennen bei Sperrung
Unterstützung für Zertifikate in der Sitzung
Standardmäßig erlauben VDAs nach der Anmeldung keinen Zugriff auf Zertifikate. Bei Bedarf können Sie die Gruppenrichtlinienvorlage verwenden, um das System für Zertifikate in der Sitzung zu konfigurieren. Dadurch werden Zertifikate nach der Anmeldung zur Anwendungsnutzung im persönlichen Zertifikatspeicher des Benutzers abgelegt. Wenn Sie beispielsweise eine TLS-Authentifizierung für Webserver innerhalb der VDA-Sitzung benötigen, kann das Zertifikat von Internet Explorer verwendet werden.
trennen bei Sperrung
Wenn diese Richtlinie aktiviert ist, wird die Sitzung des Benutzers automatisch getrennt, wenn der Bildschirm gesperrt wird. Diese Funktionalität bietet ein ähnliches Verhalten wie die Richtlinie „trennen bei Smartcard-Entfernung“ und ist nützlich für Situationen, in denen Benutzer keine Active Directory-Anmeldeinformationen besitzen.
Hinweis:
Die Richtlinie „trennen bei Sperrung“ gilt für alle Sitzungen auf dem VDA.
Verwenden der Verwaltungskonsole des Federated Authentication Service
Die FAS-Verwaltungskonsole wird als Teil von FAS installiert. Ein Symbol (Citrix Federated Authentication Service) wird im Startmenü platziert.
Wenn die Verwaltungskonsole zum ersten Mal verwendet wird, führt sie Sie durch einen Prozess, der Zertifikatvorlagen bereitstellt, die Zertifizierungsstelle einrichtet und FAS zur Verwendung der Zertifizierungsstelle autorisiert. Einige der Schritte können alternativ manuell mithilfe von Betriebssystem-Konfigurationstools abgeschlossen werden.
Bereitstellen von Zertifikatvorlagen
Um Interoperabilitätsprobleme mit anderer Software zu vermeiden, stellt FAS drei Citrix-Zertifikatvorlagen für den eigenen Gebrauch bereit.
-
Citrix_RegistrationAuthority_ManualAuthorization
-
Citrix_RegistrationAuthority
-
Citrix_SmartcardLogon
Diese Vorlagen müssen bei Active Directory registriert werden. Wenn die Konsole sie nicht finden kann, kann das Tool Zertifikatvorlagen bereitstellen sie installieren. Dieses Tool muss als Konto ausgeführt werden, das über Berechtigungen zur Verwaltung Ihrer Unternehmensgesamtstruktur verfügt.
Die Konfiguration der Vorlagen ist in den XML-Dateien mit der Erweiterung .certificatetemplate zu finden, die mit FAS installiert werden unter:
C:\Program Files\Citrix\Federated Authentication Service\CertificateTemplates
Wenn Sie keine Berechtigung haben, diese Vorlagendateien zu installieren, geben Sie sie Ihrem Active Directory-Administrator.
Um die Vorlagen manuell zu installieren, können Sie die folgenden PowerShell-Befehle verwenden:
$template = [System.IO.File]::ReadAllBytes("$Pwd\Citrix_SmartcardLogon.certificatetemplate")
$CertEnrol = New-Object -ComObject X509Enrollment.CX509EnrollmentPolicyWebService
$CertEnrol.InitializeImport($template)
$comtemplate = $CertEnrol.GetTemplates().ItemByIndex(0)
$writabletemplate = New-Object -ComObject X509Enrollment.CX509CertificateTemplateADWritable
$writabletemplate.Initialize($comtemplate)
$writabletemplate.Commit(1, $NULL)
Active Directory-Zertifikatdienste einrichten
Nach der Installation der Citrix-Zertifikatvorlagen müssen diese auf einem oder mehreren Microsoft-Zertifizierungsstellenservern veröffentlicht werden. Informationen zur Bereitstellung von Active Directory-Zertifikatdiensten finden Sie in der Microsoft-Dokumentation.
Wenn die Vorlagen nicht auf mindestens einem Server veröffentlicht sind, bietet das Tool Zertifizierungsstelle einrichten an, diese zu veröffentlichen. Sie müssen dieses Tool als Benutzer ausführen, der über Berechtigungen zur Verwaltung der Zertifizierungsstelle verfügt.
(Zertifikatvorlagen können auch mithilfe der Microsoft-Zertifizierungsstellenkonsole veröffentlicht werden.)
Federated Authentication Service autorisieren
Dieser Schritt initiiert die Autorisierung von FAS. Die Verwaltungskonsole verwendet die Vorlage Citrix_RegistrationAuthority_ManualAuthorization, um eine Zertifikatanforderung zu generieren, und sendet diese dann an eine der Zertifizierungsstellen, die diese Vorlage veröffentlichen.
Nachdem die Anforderung gesendet wurde, erscheint sie in der Liste Ausstehende Anforderungen der Microsoft-Zertifizierungsstellenkonsole. Der Zertifizierungsstellenadministrator muss die Anforderung Ausstellen oder Verweigern, bevor die Konfiguration von FAS fortgesetzt werden kann. Beachten Sie, dass die Autorisierungsanforderung als Ausstehende Anforderung vom FAS-Computerkonto angezeigt wird.
Klicken Sie mit der rechten Maustaste auf Alle Aufgaben und wählen Sie dann Ausstellen oder Verweigern für die Zertifikatanforderung. Die FAS-Verwaltungskonsole erkennt automatisch, wann dieser Vorgang abgeschlossen ist. Dies kann einige Minuten dauern.
Benutzerregeln konfigurieren
Eine Benutzerregel autorisiert die Ausstellung von Zertifikaten für die VDA-Anmeldung und die Verwendung während der Sitzung, wie von StoreFront angewiesen. Jede Regel legt die StoreFront-Server fest, denen vertraut wird, Zertifikate anzufordern, die Gruppe von Benutzern, für die sie angefordert werden können, und die Gruppe von VDA-Maschinen, die sie verwenden dürfen.
Um die FAS-Einrichtung abzuschließen, müssen Sie die Standardregel definieren. Klicken Sie auf Erstellen, um eine Regel zu erstellen, oder wechseln Sie zur Registerkarte „Regeln“ und klicken Sie auf Regel erstellen. Der Assistent sammelt die Informationen, die zum Definieren einer Regel erforderlich sind.
Die folgenden Informationen werden vom Assistenten gesammelt:
Vorlage: Die Zertifikatvorlage, die zum Ausstellen von Benutzerzertifikaten verwendet wird. Dies sollte die Vorlage Citrix_SmartcardLogon oder eine geänderte Kopie davon sein.
Zertifizierungsstelle: Die Zertifizierungsstelle, die Benutzerzertifikate ausstellt. Die Vorlage muss von der Zertifizierungsstelle veröffentlicht werden. FAS unterstützt das Hinzufügen mehrerer Zertifizierungsstellen für Failover und Lastenausgleich.
Verwendung während der Sitzung: Die Option Verwendung während der Sitzung zulassen steuert, ob ein Zertifikat nach der Anmeldung am VDA verwendet werden kann. Wählen Sie diese Option nur aus, wenn Benutzer nach der Authentifizierung Zugriff auf das Zertifikat haben sollen. Wenn diese Option nicht ausgewählt ist, wird das Zertifikat nur für die Anmeldung oder Wiederverbindung verwendet, und Benutzer haben nach der Authentifizierung keinen Zugriff auf das Zertifikat.
Zugriffssteuerung: Die Liste der vertrauenswürdigen StoreFront-Servermaschinen, die berechtigt sind, Zertifikate für die Anmeldung oder Wiederverbindung von Benutzern anzufordern.
Wichtig:
Die Einstellung Zugriffssteuerung ist sicherheitskritisch und muss sorgfältig verwaltet werden.
Einschränkungen: Die Liste der VDA-Maschinen, die Benutzer über FAS anmelden können, und die Liste der Benutzer, denen Zertifikate über FAS ausgestellt werden können. Die Liste der VDAs ist standardmäßig auf Domain Computers eingestellt und die Liste der Benutzer ist standardmäßig auf Domain Users eingestellt; diese können geändert werden, wenn die Standardwerte ungeeignet sind.
Cloud-Regel: Derzeit nicht unterstützt.
Erweiterte Nutzung
Sie können zusätzliche Regeln erstellen, um auf verschiedene Zertifikatvorlagen und Zertifizierungsstellen zu verweisen, die mit unterschiedlichen Eigenschaften und Berechtigungen konfiguriert werden können. Diese Regeln können für die Verwendung durch verschiedene StoreFront-Server konfiguriert werden, die so konfiguriert werden müssen, dass sie die neue Regel namentlich anfordern. Standardmäßig fordert StoreFront default an, wenn es FAS kontaktiert. Dies kann über die Gruppenrichtlinien-Konfigurationsoptionen geändert werden.
Um eine neue Zertifikatvorlage zu erstellen, duplizieren Sie die Vorlage Citrix_SmartcardLogon in der Microsoft-Zertifizierungsstellenkonsole, benennen Sie sie um (z. B. Citrix_SmartcardLogon2) und ändern Sie sie nach Bedarf. Erstellen Sie eine neue Benutzerregel, indem Sie auf Hinzufügen klicken, um auf die neue Zertifikatvorlage zu verweisen.
Überlegungen zum Upgrade
-
Alle FAS-Servereinstellungen bleiben erhalten, wenn Sie ein direktes Upgrade durchführen.
-
Führen Sie ein Upgrade von FAS durch, indem Sie das Installationsprogramm für das vollständige Produkt Virtual Apps and Desktops ausführen.
-
Bevor Sie FAS aktualisieren, aktualisieren Sie den Controller und die VDAs (sowie andere Kernkomponenten) auf die erforderliche Version.
-
Stellen Sie sicher, dass die FAS-Verwaltungskonsole geschlossen ist, bevor Sie FAS aktualisieren.
-
Stellen Sie sicher, dass jederzeit mindestens ein FAS-Server verfügbar ist. Wenn kein Server von einem für den Federation Authentication Service aktivierten StoreFront-Server erreichbar ist, können sich Benutzer nicht anmelden oder Anwendungen starten.
Sicherheitsüberlegungen
FAS verfügt über ein Registrierungsstellenzertifikat, das es ihm ermöglicht, autonom Zertifikate im Namen Ihrer Domänenbenutzer auszustellen. Daher ist es wichtig, eine Sicherheitsrichtlinie zu entwickeln und zu implementieren, um FAS-Server zu schützen und ihre Berechtigungen einzuschränken.
Delegierte Registrierungsagenten
FAS stellt Benutzerzertifikate aus, indem es als Registrierungsagent fungiert. Die Microsoft-Zertifizierungsstelle ermöglicht die Kontrolle darüber, welche Vorlagen der FAS-Server verwenden kann, sowie die Einschränkung, für welche Benutzer der FAS-Server Zertifikate ausstellen kann.
Citrix empfiehlt dringend, diese Optionen so zu konfigurieren, dass FAS Zertifikate nur für die vorgesehenen Benutzer ausstellen kann. Es ist beispielsweise eine bewährte Praxis, zu verhindern, dass FAS Zertifikate für Benutzer in einer Administrations- oder geschützten Benutzergruppe ausstellt.
Konfiguration der Zugriffssteuerungsliste
Wie im Abschnitt Benutzerregeln konfigurieren beschrieben, müssen Sie eine Liste von StoreFront-Servern konfigurieren, denen vertraut wird, Benutzeridentitäten gegenüber FAS zu bestätigen, wenn Zertifikate ausgestellt werden. Ähnlich können Sie einschränken, welchen Benutzern Zertifikate ausgestellt werden und an welchen VDA-Maschinen sie sich authentifizieren können. Dies geschieht zusätzlich zu allen standardmäßigen Sicherheitsfunktionen von Active Directory oder Zertifizierungsstellen, die Sie konfigurieren.
Firewall-Einstellungen
Die gesamte Kommunikation mit FAS-Servern verwendet gegenseitig authentifizierte Windows Communication Foundation (WCF) Kerberos-Netzwerkverbindungen über Port 80.
Ereignisprotokollüberwachung
FAS und der VDA schreiben Informationen in das Windows-Ereignisprotokoll. Dies kann zur Überwachung und Prüfung von Informationen verwendet werden. Der Abschnitt Ereignisprotokolle listet Ereignisprotokolleinträge auf, die generiert werden können.
Hardwaresicherheitsmodule
Alle privaten Schlüssel, einschließlich der von FAS ausgestellten Benutzerzertifikate, werden vom Network Service-Konto als nicht exportierbare private Schlüssel gespeichert. FAS unterstützt die Verwendung eines kryptografischen Hardwaresicherheitsmoduls, falls Ihre Sicherheitsrichtlinie dies erfordert.
Die kryptografische Konfiguration auf niedriger Ebene ist in der Datei FederatedAuthenticationService.exe.config verfügbar. Diese Einstellungen werden angewendet, wenn private Schlüssel zum ersten Mal erstellt werden. Daher können unterschiedliche Einstellungen für private Schlüssel der Registrierungsstelle (z. B. 4096 Bit, TPM-geschützt) und Laufzeit-Benutzerzertifikate verwendet werden.
| Parameter | Beschreibung |
|---|---|
| ProviderLegacyCsp | Wenn auf true gesetzt, verwendet FAS die Microsoft CryptoAPI (CAPI). Andernfalls verwendet FAS die Microsoft Cryptography Next Generation API (CNG). |
| ProviderName | Name des zu verwendenden CAPI- oder CNG-Anbieters. |
| ProviderType | Bezieht sich auf Microsoft KeyContainerPermissionAccessEntry.ProviderType Property PROV_RSA_AES 24. Sollte immer 24 sein, es sei denn, Sie verwenden ein HSM mit CAPI und der HSM-Anbieter gibt etwas anderes an. |
| KeyProtection | Steuert das Flag „Exportierbar“ für private Schlüssel. Ermöglicht auch die Verwendung des Trusted Platform Module (TPM) Schlüsselspeichers, sofern von der Hardware unterstützt. |
| KeyLength | Schlüssellänge für private RSA-Schlüssel. Unterstützte Werte sind 1024, 2048 und 4096 (Standard: 2048). |
PowerShell SDK
Obwohl die FAS-Verwaltungskonsole für einfache Bereitstellungen geeignet ist, bietet die PowerShell-Schnittstelle erweiterte Optionen. Wenn Sie Optionen verwenden, die in der Konsole nicht verfügbar sind, empfiehlt Citrix, für die Konfiguration ausschließlich PowerShell zu verwenden.
Der folgende Befehl fügt die PowerShell-Cmdlets hinzu:
Add-PSSnapin Citrix.Authentication.FederatedAuthenticationService.V1
Verwenden Sie Get-Help \<cmdlet name> , um die Cmdlet-Hilfe anzuzeigen. Die folgende Tabelle listet mehrere Befehle auf, wobei * ein Standard-PowerShell-Verb (wie New, Get, Set, Remove) darstellt.
| Befehle | Übersicht |
|---|---|
| *-FasServer | Listet und rekonfiguriert die FAS-Server in der aktuellen Umgebung. |
| *-FasAuthorizationCertificate | Verwaltet das Zertifikat der Registrierungsstelle. |
| *-FasCertificateDefinition | Steuert die Parameter, die FAS zum Generieren von Zertifikaten verwendet. |
| *-FasRule | Verwaltet auf FAS konfigurierte Benutzerregeln. |
| *-FasUserCertificate | Listet und verwaltet von FAS zwischengespeicherte Zertifikate. |
PowerShell-Cmdlets können remote verwendet werden, indem die Adresse eines FAS-Servers angegeben wird.
Informationen zu FAS PowerShell-Cmdlets finden Sie unter PowerShell-Cmdlets.
Leistungsindikatoren
FAS enthält einen Satz Leistungsindikatoren zur Lastverfolgung.
Die folgende Tabelle listet die verfügbaren Leistungsindikatoren auf. Die meisten Leistungsindikatoren sind gleitende Durchschnitte über fünf Minuten.
| Name | Beschreibung |
|---|---|
| Aktive Sitzungen | Anzahl der von FAS verfolgten Verbindungen. |
| Gleichzeitige CSRs | Anzahl der gleichzeitig verarbeiteten Zertifikatanforderungen. |
| Private Schlüsseloperationen | Anzahl der pro Minute durchgeführten privaten Schlüsseloperationen. |
| Anforderungszeit | Zeitdauer zum Generieren und Signieren eines Zertifikats. |
| Zertifikatsanzahl | Anzahl der in FAS zwischengespeicherten Zertifikate. |
| CSR pro Minute | Anzahl der pro Minute verarbeiteten Zertifikatsignieranforderungen. |
| Niedrig/Mittel/Hoch | Schätzungen der Last, die FAS in Bezug auf „CSRs pro Minute“ verarbeiten kann. Das Überschreiten des Schwellenwerts für „hohe Last“ kann dazu führen, dass Sitzungsstarts fehlschlagen. |
Ereignisprotokolle
Die folgenden Tabellen listen die von FAS generierten Ereignisprotokolleinträge auf.
Verwaltungsereignisse
Diese Ereignisse werden als Reaktion auf eine Konfigurationsänderung im FAS-Server protokolliert.
| Protokollcodes |
|---|
| [S001] ZUGRIFF VERWEIGERT: Benutzer [{0}] ist kein Mitglied der Administratorengruppe |
| [S002] ZUGRIFF VERWEIGERT: Benutzer [{0}] ist kein Administrator der Rolle [{1}] |
| [S003] Administrator [{0}] setzt den Wartungsmodus auf [{1}] |
| [S004] Administrator [{0}] registriert sich bei CA [{1}] mit Vorlagen [{2} and {3}] |
| [S005] Administrator [{0}] deautorisiert CA [{1}] |
| [S006] Administrator [{0}] erstellt neue Zertifikatsdefinition [{1}] |
| [S007] Administrator [{0}] aktualisiert Zertifikatsdefinition [{1}] |
| [S008] Administrator [{0}] löscht Zertifikatsdefinition [{1}] |
| [S009] Administrator [{0}] erstellt neue Rolle [{1}] |
| [S010] Administrator [{0}] aktualisiert Rolle [{1}] |
| [S011] Administrator [{0}] löscht Rolle [{1}] |
| [S012] Administrator [{0}] erstellt Zertifikat [upn: {1} sid: {2} role: {3} Certificate Definition: {4} Security Context: {5}] |
| [S013] Administrator [{0}] löscht Zertifikate [upn: {1} role: {2} Certificate Definition: {3} Security Context: {4}] |
| [S015] Administrator [{0}] erstellt Zertifikatsanforderung [TPM: {1}] |
| [S016] Administrator [{0}] importiert Autorisierungszertifikat [Reference: {1}] |
| Protokollcodes |
|---|
| [S401] Führt Konfigurationsupgrade durch -- [From version {0} to version {1}] |
| [S402] FEHLER: Der Citrix Federated Authentication Service muss als Netzwerkdienst ausgeführt werden [currently running as: {0}] |
| [S404] Die Datenbank des Citrix Federated Authentication Service wird zwangsweise gelöscht |
| [S405] Beim Migrieren von Daten aus der Registrierung in die Datenbank ist ein Fehler aufgetreten: [{0}] |
| [S406] Die Migration der Daten aus der Registrierung in die Datenbank ist abgeschlossen (Hinweis: Benutzerzertifikate werden nicht migriert) |
| [S407] Registrierungsbasierte Daten wurden nicht in eine Datenbank migriert, da bereits eine Datenbank vorhanden war |
| [S408] Konfiguration kann nicht herabgestuft werden -- [From version {0} to version {1}] |
| [S409] ThreadPool MinThreads angepasst von [workers: {0} completion: {1}] auf: [workers: {2} completion: {3}] |
| [S410] Fehler beim Anpassen von ThreadPool MinThreads von [workers: {0} completion: {1}] auf: [workers: {2} completion: {3}] |
Erstellen von Identitätszusicherungen
Diese Ereignisse werden zur Laufzeit auf dem FAS-Server protokolliert, wenn ein vertrauenswürdiger Server eine Benutzeranmeldung zusichert.
| Protokollcodes |
|---|
| [S101] Server [{0}] ist nicht berechtigt, Identitäten in der Rolle [{1}] zuzusichern |
| [S102] Server [{0}] Fehler beim Zusichern des UPN [{1}] (Ausnahme: {2}{3}) |
| [S103] Server [{0}] forderte UPN [{1}] SID {2} an, aber die Suche ergab SID {3} |
| [S104] Server [{0}] Fehler beim Zusichern des UPN [{1}] (UPN in Rolle [{2}] nicht zulässig) |
| [S105] Server [{0}] hat Identitätszusicherung ausgestellt [upn: {1}, role {2}, Security Context: [{3}]] |
| [S120] Zertifikat ausstellen für [upn: {0} role: {1} Security Context: [{2}]] |
| [S121] Zertifikat ausgestellt für [upn: {0} role: {1}] von [certifcate authority: {2}] |
| [S122] Warnung: Server ist überlastet [upn: {0} role: {1}][Anfragen pro Minute {2}]. |
| [S123] Fehler beim Ausstellen eines Zertifikats für [upn: {0} role: {1}] [exception: {2}] |
| [S124] Fehler beim Ausstellen eines Zertifikats für [upn: {0} role: {1}] bei [certifcate authority: {2}] [exception: {3}] |
Als vertrauende Partei agieren
Diese Ereignisse werden zur Laufzeit auf dem FAS-Server protokolliert, wenn ein VDA einen Benutzer anmeldet.
| Protokollcodes |
|---|
| [S201] Vertrauende Partei [{0}] hat keinen Zugriff auf ein Kennwort. |
| [S202] Vertrauende Partei [{0}] hat keinen Zugriff auf ein Zertifikat. |
| [S203] Vertrauende Partei [{0}] hat keinen Zugriff auf den Anmelde-CSP |
| [S204] Vertrauende Partei [{0}] greift auf den Anmelde-CSP für [upn: {1}] in der Rolle: [{2}] [Operation: {3}] autorisiert durch [{4}] |
| [S205] Aufrufendes Konto [{0}] ist keine vertrauende Partei in der Rolle [{1}] |
| [S206] Aufrufendes Konto [{0}] ist keine vertrauende Partei |
| [S208] Vorgang mit privatem Schlüssel fehlgeschlagen [Operation: {0} upn: {1} role: {2} certificateDefinition {3} Error {4} {5}]. |
Sitzungsinterner Zertifikatsserver
Diese Ereignisse werden auf dem FAS-Server protokolliert, wenn ein Benutzer ein sitzungsinternes Zertifikat verwendet.
| Protokollcodes |
|---|
| [S301] Zugriff verweigert: Benutzer [{0}] hat keinen Zugriff auf eine virtuelle Smartcard |
| [S302] Benutzer [{0}] hat eine unbekannte virtuelle Smartcard [thumbprint: {1}] angefordert |
| [S303] Zugriff verweigert: Benutzer [{0}] stimmt nicht mit der virtuellen Smartcard [upn: {1}] überein |
| [S304] Benutzer [{0}] führt Programm [{1}] auf Computer [{2}] aus und verwendet virtuelle Smartcard [upn: {3} role: {4} thumbprint: {5}] für privaten Schlüsselvorgang [{6}] |
| [S305] Privater Schlüsselvorgang fehlgeschlagen [Operation: {0} upn: {1} role: {2} containerName {3} Error {4} {5}]. |
FAS-Assertions-Plug-in
Diese Ereignisse werden vom FAS-Assertions-Plug-in protokolliert.
| Protokollcodes |
|---|
| [S500] Kein FAS-Assertions-Plug-in konfiguriert |
| [S501] Das konfigurierte FAS-Assertions-Plug-in konnte nicht geladen werden [exception:{0}] |
| [S502] FAS-Assertions-Plug-in geladen [pluginId={0}] [assembly={1}] [location={2}] |
| [S503] Server [{0}] konnte UPN [{1}] nicht bestätigen (Anmeldeinformationen wurden bereitgestellt, aber das Plug-in [{2}] unterstützt dies nicht) |
| [S504] Server [{0}] konnte UPN [{1}] nicht bestätigen (Anmeldeinformationen wurden bereitgestellt, aber es ist kein FAS-Plug-in konfiguriert) |
| [S505] Server [{0}] konnte UPN [{1}] nicht beanspruchen (das Plugin [{2}] hat die Anmeldeinformationen mit Status [{3}] und Meldung [{4}] abgelehnt) |
| [S506] Das Plugin [{0}] hat die Anmeldeinformationen vom Server [{1}] für UPN [{2}] mit Meldung [{3}] akzeptiert |
| [S507] Server [{0}] konnte UPN [{1}] nicht beanspruchen (das Plugin [{2}] hat Ausnahme [{3}] ausgelöst) |
| [S507] Server [{0}] konnte UPN [{1}] nicht beanspruchen (das Plugin [{2}] hat Ausnahme [{3}] ausgelöst) |
| [S508] Server [{0}] konnte UPN [{1}] nicht beanspruchen (Zugriffsdisposition wurde bereitgestellt, aber das Plugin [{2}] unterstützt sie nicht) |
| [S509] Server [{0}] konnte UPN [{1}] nicht beanspruchen (Zugriffsdisposition wurde bereitgestellt, aber es ist kein FAS-Plugin konfiguriert) |
| [S510] Server [{0}] konnte UPN [{1}] nicht beanspruchen (die Zugriffsdisposition wurde vom Plugin [{2}] als ungültig erachtet) |
Anmelden
Diese Ereignisse werden auf dem VDA während der Anmeldephase protokolliert.
| Protokollcodes |
|---|
| [S101] Anmeldung mit Identitätsbestätigung fehlgeschlagen. Nicht erkannter Federated Authentication Service [id: {0}] |
| [S102] Anmeldung mit Identitätsbestätigung fehlgeschlagen. SID für {0} konnte nicht nachgeschlagen werden [Exception: {1}{2}] |
| [S103] Anmeldung mit Identitätsbestätigung fehlgeschlagen. Benutzer {0} hat SID {1}, erwartet wurde SID {2} |
| [S104] Anmeldung mit Identitätsbestätigung fehlgeschlagen. Verbindung zum Federated Authentication Service fehlgeschlagen: {0} [Error: {1} {2}] |
| [S105] Identitätsbestätigungs-Anmeldung. Anmeldung [Username: {0} Domain: {1}] |
| [S106] Identitätsbestätigungs-Anmeldung. Anmeldung [Certificate: {0}] |
| [S107] Identitätsbestätigungs-Anmeldung fehlgeschlagen. [Exception: {0}{1}] |
| [S108] Identitätsbestätigungs-Subsystem. ACCESS_DENIED [Caller: {0}] |
Sitzungsinterne Zertifikate
Diese Ereignisse werden auf dem VDA protokolliert, wenn ein Benutzer versucht, ein sitzungsinternes Zertifikat zu verwenden.
| Protokollcodes |
|---|
| [S201] Zugriff auf virtuelle Smartcard autorisiert durch [{0}] für [PID: {1} Program Name: {2} Certificate thumbprint: {3}] |
| [S203] Subsystem für virtuelle Smartcards. Zugriff verweigert [caller: {0}, session {1}] |
| [S204] Subsystem für virtuelle Smartcards. Smartcard-Unterstützung deaktiviert |
Zertifikatanforderung und Schlüsselpaar-Generierung
Diese Ereignisse werden protokolliert, wenn der FAS-Server kryptografische Operationen auf niedriger Ebene durchführt.
| Protokollcodes |
|---|
| [S001] TrustArea::TrustArea: Zertifikat installiert [TrustArea: {0}] [Certificate {1} TrustAreaJoinParameters{2} |
| [S014] Pkcs10Request::Create: PKCS10-Anforderung erstellt [Distinguished Name {0}] |
| [S016] PrivateKey::Create [Identifier {0} MachineWide: {1} Provider: {2} ProviderType: {3}EllipticCurve: {4} KeyLength: {5} isExportable: {6}] |
| [S017] PrivateKey::Delete [CspName: {0}, Identifier {1}] |
| Protokollcodes |
|---|
| [S104] MicrosoftCertificateAuthority::GetCredentials: Autorisiert zur Verwendung von {0} |
| [S105] MicrosoftCertificateAuthority::SubmitCertificateRequest Fehler beim Senden der Antwort [{0}] |
| [S106] MicrosoftCertificateAuthority::SubmitCertificateRequest Zertifikat ausgestellt [{0}] |
| [S112] MicrosoftCertificateAuthority::SubmitCertificateRequest - Warten auf Genehmigung [CR_DISP_UNDER_SUBMISSION] [Reference: {0}] |
Verwandte Informationen
-
Die gängigen FAS-Bereitstellungen sind in Bereitstellungsarchitekturen zusammengefasst.
-
„Anleitungen“ werden in Erweiterte Konfiguration vorgestellt.