Federated Authentication Service konfigurieren

Sie können den Federated Authentication Service (FAS) verwenden, um Benutzer zu authentifizieren, die sich an einem Linux-VDA anmelden. Der Linux-VDA verwendet für die FAS-Anmeldefunktion dieselbe Windows-Umgebung wie der Windows-VDA. Informationen zum Konfigurieren der Windows-Umgebung für FAS finden Sie unter Federated Authentication Service. Dieser Artikel enthält zusätzliche Informationen, die speziell für den Linux-VDA relevant sind.

Hinweis

Der Linux-VDA unterstützt die Richtlinie Verhalten in der Sitzung nicht.

Der Linux-VDA verwendet kurze Verbindungen, um Daten mit FAS-Servern zu übertragen.

FAS auf dem Linux-VDA konfigurieren

FAS-Unterstützung unter RHEL 8/CentOS 8

FAS hängt vom Modul pam_krb5 ab, das unter RHEL 8/CentOS 8 als veraltet gilt. Um FAS unter RHEL 8/CentOS 8 zu verwenden, erstellen Sie das Modul pam_krb5 wie folgt:

1. Laden Sie den pam_krb5-2.4.8-6-Quellcode von der folgenden Website herunter:

   https://centos.pkgs.org/7/centos-x86_64/pam_krb5-2.4.8-6.el7.x86_64.rpm.html.

2. Erstellen und installieren Sie das Modul pam_krb5 unter RHEL 8/CentOS 8.

   yum install make gcc krb5-devel pam-devel autoconf libtool
   rpm2cpio pam_krb5-2.4.8-6.el7.src.rpm | cpio -div
   tar xvzf pam_krb5-2.4.8.tar.gz
   cd pam_krb5-2.4.8
   ./configure --prefix=/usr
   make
   make install
   <!--NeedCopy-->
   

3. Stellen Sie sicher, dass pam_krb5.so unter /usr/lib64/security/ vorhanden ist.

   ls -l /usr/lib64/security | grep pam_krb5
   <!--NeedCopy-->
   

FAS-Server festlegen

Bei einer Neuinstallation des Linux-VDA geben Sie zur Verwendung von FAS den FQDN jedes FAS-Servers ein, wenn Sie während der Ausführung von ctxinstall.sh oder ctxsetup.sh nach CTX_XDL_FAS_LIST gefragt werden. Da der Linux-VDA keine AD-Gruppenrichtlinien unterstützt, können Sie stattdessen eine durch Semikolons getrennte Liste von FAS-Servern angeben. Wenn eine Serveradresse entfernt wird, füllen Sie die Lücke mit der Textzeichenfolge <none> und ändern Sie nicht die Reihenfolge der Serveradressen.

Um eine vorhandene Linux-VDA-Installation zu aktualisieren, können Sie ctxsetup.sh erneut ausführen, um die FAS-Server festzulegen. Alternativ können Sie die folgenden Befehle ausführen, um die FAS-Server festzulegen und den Dienst ctxvda neu zu starten, damit Ihre Einstellung wirksam wird.

sudo /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService" -t "REG_SZ" -v "Addresses" -d "<Your-FAS-Server-List>" --force

service ctxjproxy restart

service ctxvda restart
<!--NeedCopy-->

Um die FAS-Server über ctxreg zu aktualisieren, führen Sie die folgenden Befehle aus:

sudo /opt/Citrix/VDA/bin/ctxreg update -k "HKLM\Software\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService" -v "Addresses" -d "<Your-FAS-Server-List>"

service ctxjproxy restart

service ctxvda restart
<!--NeedCopy-->

• Zertifikate installieren

• Zur Überprüfung der Benutzerzertifikate installieren Sie das Stamm-CA-Zertifikat und alle Zwischenzertifikate auf dem VDA. Um beispielsweise das Stamm-CA-Zertifikat zu installieren, rufen Sie das AD-Stammzertifikat aus dem vorhergehenden Schritt Abrufen des CA-Zertifikats von der Microsoft CA (auf AD) ab oder laden Sie dessen DER-Format vom Stamm-CA-Server http://CA-SERVER/certsrv herunter.

Hinweis:

Die folgenden Befehle gelten auch für die Konfiguration eines Zwischenzertifikats.

Konvertieren Sie eine DER-Datei (.crt, .cer, .der) in PEM, indem Sie einen Befehl ähnlich dem folgenden ausführen:

sudo openssl x509 -inform der -in root.cer -out root.pem
<!--NeedCopy-->

Installieren Sie anschließend das Stamm-CA-Zertifikat im Verzeichnis openssl, indem Sie einen Befehl ähnlich dem folgenden ausführen:

sudo cp root.pem /etc/pki/CA/certs/
<!--NeedCopy-->

Hinweis:

Legen Sie das Stamm-CA-Zertifikat nicht unter dem Pfad /root ab. Andernfalls verfügt FAS nicht über die Leseberechtigung für das Stamm-CA-Zertifikat.

• ctxfascfg.sh ausführen

Führen Sie das Skript ctxfascfg.sh aus, um die FAS-Parameter zu konfigurieren:

sudo /opt/Citrix/VDA/sbin/ctxfascfg.sh
<!--NeedCopy-->

Umgebungsvariablen werden hinzugefügt, damit ctxfascfg.sh im unbeaufsichtigten Modus ausgeführt werden kann:

• **CTX_FAS_ADINTEGRATIONWAY=winbind

  sssd

  centrify

  pbis**: Bezeichnet die Active Directory-Integrationsmethode, die CTX_EASYINSTALL_ADINTEGRATIONWAY entspricht, wenn CTX_EASYINSTALL_ADINTEGRATIONWAY angegeben ist. Wenn CTX_EASYINSTALL_ADINTEGRATIONWAY nicht angegeben ist, verwendet CTX_FAS_ADINTEGRATIONWAY seine eigene Werteinstellung.

• CTX_FAS_CERT_PATH =<Zertifikatspfad>: Gibt den vollständigen Pfad an, der das Stammzertifikat und alle Zwischenzertifikate speichert.

• CTX_FAS_KDC_HOSTNAME: Gibt den Hostnamen des Key Distribution Center (KDC) an, wenn Sie PBIS auswählen.

• CTX_FAS_PKINIT_KDC_HOSTNAME: Gibt den PKINIT KDC-Hostnamen an, der CTX_FAS_KDC_HOSTNAME entspricht, sofern nicht anders angegeben.

Wählen Sie die richtige Active Directory-Integrationsmethode und geben Sie dann den korrekten Pfad der Zertifikate ein (z. B. /etc/pki/CA/certs/).

Das Skript installiert dann die Pakete krb5-pkinit und pam_krb5 und legt die relevanten Konfigurationsdateien fest.

Einschränkung

• FAS unterstützt nur eine begrenzte Anzahl von Linux-Plattformen und AD-Integrationsmethoden. Siehe die folgende Matrix:

  	Winbind	SSSD	Centrify	PBIS
  Amazon Linux 2	Ja	Ja	Ja	Ja
  RHEL 8.4 / CentOS 8 (2105)	Ja	Ja	Ja	Ja
  RHEL 8.3 / CentOS 8.3	Ja	Ja	Ja	Ja
  RHEL 8.2 / CentOS 8.2	Ja	Ja	Ja	Ja
  RHEL 8.1 / CentOS 8.1	Ja	Ja	Ja	Ja
  RHEL 7.9 / CentOS 7.9	Ja	Ja	Ja	Ja
  RHEL 7.8 / CentOS 7.8	Ja	Ja	Ja	Ja
  SLES 15.3	Ja	Nein	Ja	Nein
  SLES 15.2	Ja	Nein	Ja	Nein
  SLES 12.5	Ja	Nein	Ja	Nein
  Ubuntu 20.04	Ja	Nein	Ja	Nein
  Ubuntu 18.04	Ja	Nein	Ja	Nein
  Ubuntu 16.04	Ja	Nein	Ja	Nein

• FAS unterstützt noch keine Bildschirmsperre. Wenn Sie in einer Sitzung auf die Sperrschaltfläche klicken, können Sie sich nicht erneut mit FAS bei der Sitzung anmelden.
• Diese Version unterstützt nur die gängigen FAS-Bereitstellungen, die im Artikel Federated Authentication Service – Architektonische Übersicht zusammengefasst sind, und umfasst nicht Windows 10 Azure AD Join.

Problembehandlung

Bevor Sie FAS beheben, stellen Sie sicher, dass der Linux-VDA korrekt installiert und konfiguriert ist, sodass eine Nicht-FAS-Sitzung erfolgreich im gemeinsamen Store mithilfe der Kennwortauthentifizierung gestartet werden kann.

Wenn Nicht-FAS-Sitzungen ordnungsgemäß funktionieren, setzen Sie die HDX-Protokollebene der Klasse Login auf VERBOSE und die VDA-Protokollebene auf TRACE. Informationen zum Aktivieren der Ablaufverfolgungsprotokollierung für den Linux-VDA finden Sie im Knowledge Center-Artikel CTX220130.

Fehler bei der FAS-Serverkonfiguration

Das Starten einer Sitzung aus dem FAS-Store schlägt fehl.

Überprüfen Sie /var/log/xdl/hdx.log und suchen Sie nach einem Fehlerprotokoll, das dem folgenden ähnelt:

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_user: [Logon Type] Federated Authentication Logon.

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: entry

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: connect_fas: start connect to server 0

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: connect_fas0: failed to connect: Connection refused.

-  2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: failed to connect to server [0], please confirm if fas service list is well configurated in condb

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_fas: exit, 43

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: validate_user: failed to validate fas credential

2021-01-28 01:42:16.164 <P26422:S4> citrix-ctxlogin: LoginBoxValidate: failed validation of user 'user1@CTXDEV.LOCAL', INVALID_PARAMETER

<!--NeedCopy-->

Lösung

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob der Citrix-Registrierungswert “HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\VirtualDesktopAgent\Authentication\UserCredentialService” auf <Ihre-FAS-Server-Liste> gesetzt ist.

sudo /opt/Citrix/VDA/bin/ctxreg dump | grep "UserCredentialService"
<!--NeedCopy-->

Wenn die vorhandene Einstellung falsch ist, befolgen Sie den vorhergehenden Schritt FAS-Server festlegen, um sie erneut festzulegen.

Falsche CA-Zertifikatkonfiguration

Das Starten einer Sitzung aus dem FAS-Store schlägt fehl. Ein graues Fenster erscheint und verschwindet nach einigen Sekunden wieder.

Überprüfen Sie /var/log/xdl/hdx.log und suchen Sie nach einem Fehlerprotokoll, das dem folgenden ähnelt:

2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: get_logon_certificate: entry

2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: check_caller: current process: pid [30656], name [/opt/Citrix/VDA/bin/ctxlogin]

2021-01-28 01:47:46.210 <P30656:S5> citrix-ctxlogin: get_public_certificate: entry

2021-01-28 01:47:46.211 <P30656:S5> citrix-ctxlogin: query_fas: waiting for response...

2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: query_fas: query to server success

2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: get_public_certificate: exit

2021-01-28 01:47:46.270 <P30656:S5> citrix-ctxlogin: fas_base64_decode: input size 1888

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: fas_base64_decode: output size 1415

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: get_logon_certificate: get logon certificate success

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: cache_certificate: cache certificate success

2021-01-28 01:47:46.271 <P30656:S5> citrix-ctxlogin: get_logon_certificate: exit, 0

2021-01-28 01:47:48.060 <P30656:S5> citrix-ctxlogin: validate_user: pam_authenticate err,can retry for user user1@CTXDEV.LOCAL
<!--NeedCopy-->

Lösung

Stellen Sie sicher, dass der vollständige Pfad, der das Stamm-CA-Zertifikat und alle Zwischenzertifikate speichert, in /etc/krb5.conf korrekt festgelegt ist. Der vollständige Pfad ähnelt dem folgenden:

 [realms]

EXAMPLE.COM = {

    ......

    pkinit_anchors = DIR:/etc/pki/CA/certs/

    ......

}  
<!--NeedCopy-->

Wenn die vorhandene Einstellung falsch ist, befolgen Sie den vorhergehenden Schritt Zertifikate installieren, um sie erneut festzulegen.

Alternativ können Sie überprüfen, ob das Stamm-CA-Zertifikat gültig ist.

Fehler bei der Shadow-Kontozuordnung

FAS wird über die SAML-Authentifizierung konfiguriert. Der folgende Fehler kann auftreten, nachdem ein ADFS-Benutzer den Benutzernamen und das Kennwort auf der ADFS-Anmeldeseite eingegeben hat.

Dieser Fehler weist darauf hin, dass der ADFS-Benutzer erfolgreich überprüft wurde, aber kein Shadow-Benutzer in AD konfiguriert ist.

Lösung

Legen Sie das Shadow-Konto in AD fest.

ADFS nicht konfiguriert

Der folgende Fehler tritt bei einem Anmeldeversuch im FAS-Store auf:

Das Problem tritt auf, wenn der FAS-Store für die Verwendung der SAML-Authentifizierung konfiguriert ist, die ADFS-Bereitstellung jedoch fehlt.

Lösung

Stellen Sie den ADFS IdP für den Federated Authentication Service bereit. Weitere Informationen finden Sie unter Bereitstellung von ADFS für den Federated Authentication Service.

Verwandte Informationen

• Die gängigen FAS-Bereitstellungen sind im Artikel Architekturübersicht des Federated Authentication Service zusammengefasst.
• „How-to“-Artikel werden im Kapitel Erweiterte Konfiguration des Federated Authentication Service vorgestellt.

Bekanntes Problem

Wenn FAS verwendet wird, kann es beim Starten einer veröffentlichten Desktop- oder App-Sitzung mit nicht-englischen Zeichen zu Fehlern kommen.

Problemumgehung

Klicken Sie im CA-Tool mit der rechten Maustaste auf Vorlagen verwalten, um die Vorlage Citrix_SmartcardLogon von Aus diesen Active Directory-Informationen erstellen in In der Anforderung bereitstellen zu ändern: