Azure Active Directory-Single Sign-On
Citrix Federated Authentication Service (FAS) bietet Single Sign-On (SSO) für in die Domäne eingebundene Virtual Delivery Agents (VDAs). FAS erreicht SSO, indem es dem VDA ein Benutzerzertifikat bereitstellt, das der VDA zur Authentifizierung des Benutzers bei Active Directory (AD) verwendet. Sobald Sie sich bei der VDA-Sitzung angemeldet haben, können Sie ohne erneute Authentifizierung auf AD-Ressourcen zugreifen.
Es ist üblich, Azure Active Directory (AAD) mit Synchronisierung zwischen Ihrem AD und AAD zu implementieren, wodurch hybride Identitäten für Benutzer und Computer erstellt werden. Dieser Artikel beschreibt die zusätzliche Konfiguration, die erforderlich ist, um SSO bei AAD innerhalb Ihrer VDA-Sitzung bei Verwendung von FAS zu erreichen, wodurch der Benutzer ohne erneute Authentifizierung auf AAD-geschützte Anwendungen zugreifen kann.
Hinweis:
-
Sie benötigen keine spezielle Konfiguration für FAS, um SSO für AAD zu verwenden.
-
Sie benötigen die FAS-Sitzungszertifikate nicht.
-
Sie können jede Version von FAS verwenden.
-
Sie können jede VDA-Version verwenden, die FAS unterstützt.
Die Techniken für AAD SSO sind in der folgenden Tabelle zusammengefasst:
| AAD-Authentifizierungstyp | VDA ist in die Domäne eingebunden | VDA ist hybrid eingebunden |
|---|---|---|
| Verwaltet | AAD Seamless SSO verwenden | AAD-zertifikatbasierte Authentifizierung verwenden |
| Föderiert mit Active Directory Federation Services (ADFS) | Windows-Authentifizierung bei ADFS aktivieren | Stellen Sie sicher, dass der WS-Trust-certificatemixed-Endpunkt aktiviert ist |
| Föderiert mit einem Identitätsanbieter eines Drittanbieters | Verwenden Sie eine Drittanbieterlösung | Verwenden Sie eine Drittanbieterlösung |
-
Eine verwaltete AAD-Domäne ist eine, bei der die Benutzerauthentifizierung bei AAD erfolgt, manchmal auch als native AAD-Authentifizierung bezeichnet.
-
Eine föderierte AAD-Domäne ist eine, bei der AAD so konfiguriert ist, dass die Authentifizierung an anderer Stelle umgeleitet wird. Zum Beispiel an ADFS oder an einen Identitätsanbieter eines Drittanbieters.
-
Ein hybrid verbundener VDA ist AD-verbunden und AAD-verbunden.
Domänenverbundene VDAs
Für domänenverbundene VDAs erreichen Sie SSO bei AAD mithilfe der Windows-Authentifizierung (traditionell als Integrierte Windows-Authentifizierung oder Kerberos bezeichnet). Die Authentifizierung bei AAD erfolgt, wenn der Benutzer innerhalb der VDA-Sitzung auf eine AAD-geschützte Anwendung zugreift. Das folgende Diagramm zeigt den Authentifizierungsprozess auf hoher Ebene:
Die genauen Details variieren je nachdem, ob die AAD-Domäne verwaltet oder föderiert ist.
Informationen zur Einrichtung der verwalteten AAD-Domäne finden Sie unter Nahtloses Single Sign-On.
Für eine mit ADFS föderierte AAD-Domäne aktivieren Sie die Windows-Authentifizierung auf dem ADFS-Server.
Für eine AAD-Domäne, die mit einem Identitätsanbieter eines Drittanbieters verbunden ist, gibt es eine ähnliche Lösung. Wenden Sie sich an Ihren Identitätsanbieter, um Hilfe zu erhalten.
Hinweis:
Sie können die für domänenverbundene VDAs aufgeführten Lösungen auch für hybrid-verbundene VDAs verwenden. Es wird jedoch kein AAD Primary Refresh Token (PRT) generiert, wenn FAS verwendet wird.
Hybrid-verbundene VDAs
Hybrid-verbundene VDAs sind gleichzeitig mit AD und AAD verbunden. Wenn sich der Benutzer beim VDA anmeldet, werden die folgenden Artefakte erstellt:
-
Ein Kerberos Ticket Granting Ticket (TGT) zur Authentifizierung bei AD-Ressourcen
-
Ein Primary Refresh Token (PRT) zur Authentifizierung bei AAD-Ressourcen
Das PRT enthält Informationen sowohl über den Benutzer als auch über den Computer. Diese Informationen werden bei Bedarf in einer AAD-Richtlinie für bedingten Zugriff verwendet.
Da FAS den Benutzer durch Bereitstellung eines Zertifikats für den VDA authentifiziert, kann ein PRT nur erstellt werden, wenn die zertifikatbasierte Authentifizierung für AAD implementiert ist. Das folgende Diagramm zeigt den Authentifizierungsprozess auf hoher Ebene:
Die genauen Details variieren je nachdem, ob die AAD-Domäne verwaltet oder verbunden ist.
Konfigurieren Sie für eine verwaltete AAD-Domäne AAD CBA. Weitere Informationen finden Sie unter Übersicht über die zertifikatbasierte Azure AD-Authentifizierung. Der VDA verwendet AAD CBA, um den Benutzer mit dem FAS-Zertifikat des Benutzers bei AAD zu authentifizieren.
Hinweis:
Die Microsoft-Dokumentation beschreibt die Anmeldung mit einem Smartcard-Zertifikat, aber die zugrunde liegende Technik gilt auch bei der Anmeldung mit einem FAS-Benutzerzertifikat.
Für eine AAD-Domäne, die mit ADFS verbunden ist, verwendet der VDA den WS-Trust-certificatemixed-Endpunkt des ADFS-Servers, um den Benutzer mit dem FAS-Zertifikat des Benutzers bei AAD zu authentifizieren. Dieser Endpunkt ist standardmäßig aktiviert.
Für eine AAD-Domäne, die mit einem Drittanbieter-Identitätsanbieter föderiert ist, könnte eine ähnliche Lösung existieren. Der Identitätsanbieter muss einen WS-Trust-certificatemixed-Endpunkt implementieren. Wenden Sie sich an Ihren Identitätsanbieter, um Hilfe zu erhalten.