Sicherheit und Netzwerkkonfiguration

Last published : Oct 24, 2026
Der Federated Authentication Service (FAS) ist eng in Microsoft Active Directory und die Microsoft-Zertifizierungsstelle integriert. Stellen Sie sicher, dass das System angemessen verwaltet und gesichert wird, indem Sie eine Sicherheitsrichtlinie entwickeln, wie Sie es für einen Domänencontroller oder eine andere kritische Infrastruktur tun würden.
Dieses Dokument bietet einen Überblick über Sicherheitsprobleme, die bei der Bereitstellung von FAS zu berücksichtigen sind. Es bietet auch einen Überblick über verfügbare Funktionen, die zur Sicherung Ihrer Infrastruktur beitragen können.
Related information
Erweiterte Konfiguration

Netzwerkarchitektur und Sicherheit

Das folgende Diagramm zeigt die Hauptkomponenten und Sicherheitsgrenzen, die in einer FAS-Bereitstellung verwendet werden.
Der FAS-Server ist Teil der sicherheitskritischen Infrastruktur, zusammen mit der Zertifizierungsstelle und dem Domänencontroller. In einer föderierten Umgebung sind Citrix Gateway und Citrix StoreFront Komponenten, die die Benutzerauthentifizierung durchführen. Andere Komponenten von Citrix Virtual Apps and Desktops™ sind von der Einführung von FAS nicht betroffen.
Diagramm mit Servern und Protokollen(/en-us/federated-authentication-service/current-release/media/fas-security-network.png)
Server Verbindungen
Federated Authentication Service [in] HTTP mit Kerberos-Sicherheit von StoreFront™ und VDAs, [out] DCOM zur Microsoft-Zertifizierungsstelle
Citrix Gateway [in] HTTPS von Clientcomputern, [in/out] HTTPS zum/vom StoreFront-Server, [out] HDX zu VDA
StoreFront [in] HTTPS von Citrix Gateway, [out] HTTPS zum Delivery Controller™, [out] HTTP mit Kerberos-Sicherheit zu FAS
Delivery Controller [in] HTTPS vom StoreFront-Server, [in/out] HTTP mit Kerberos-Sicherheit von VDAs
VDA [in/out] HTTP mit Kerberos-Sicherheit vom Delivery Controller, [in] HDX von Citrix Gateway, [out] HTTP mit Kerberos-Sicherheit zu FAS
Microsoft-Zertifizierungsstelle [in] DCOM von FAS

Kommunikation zwischen StoreFront und FAS

  • Beim Starten eines VDA kontaktiert der StoreFront-Server den FAS-Server, um ein Einwegticket zu erhalten, das vom Citrix Virtual Delivery Agent (VDA) benötigt wird, um den Benutzer anzumelden.
  • StoreFront stellt über SOAP über HTTP eine Verbindung zu FAS her. Standardmäßig wird Port 80 verwendet.
  • Die Authentifizierung erfolgt über gegenseitiges Kerberos mit der Kerberos HOST/FQDN-Identität des FAS-Servers und der Kerberos-Computeridentität des StoreFront-Servers.
  • Daten werden durch die Verwendung von Nachrichtenebenensicherheit verschlüsselt. Es ist keine zusätzliche Konfiguration erforderlich, um die Verschlüsselung zu aktivieren.

Kommunikation zwischen VDA und FAS

Wenn eine HDX™-Sitzung mit dem VDA verbunden ist, kontaktiert der VDA den FAS-Server, um ein Zertifikat anzufordern.
  • Der VDA stellt über SOAP über HTTP eine Verbindung zum FAS-Server her. Standardmäßig wird Port 80 verwendet.
  • Die Authentifizierung erfolgt über gegenseitiges Kerberos mit der Kerberos HOST/FQDN-Identität des FAS-Servers und der Kerberos-Computeridentität des VDA. Außerdem muss der VDA das „Anmeldeinformations-Handle“ bereitstellen, um auf das Zertifikat und den privaten Schlüssel zugreifen zu können.
  • Daten werden mithilfe von Nachrichtenebenensicherheit verschlüsselt. Es ist keine zusätzliche Konfiguration erforderlich, um die Verschlüsselung zu aktivieren.

Kommunikation zwischen FAS und Microsoft-Zertifizierungsstelle

Wenn ein Benutzer einen VDA startet und der FAS-Server noch kein Zertifikat für den Benutzer besitzt, kommuniziert er mit der Zertifizierungsstelle, um ein Zertifikat anzufordern. Die Zertifizierungsstelle verlangt vom FAS-Server die Bereitstellung eines CMC-Pakets, das von einem vertrauenswürdigen Registrierungsagenten-Zertifikat signiert ist.
  • Der FAS-Server kommuniziert über DCOM mit der Microsoft-Zertifizierungsstelle. Informationen zu den erforderlichen Ports finden Sie in der Microsoft-Dokumentation.
  • Die Authentifizierung erfolgt über Kerberos.

Verbindungen zwischen Citrix Federated Authentication Service und Citrix Cloud™

Wenn Sie FAS mit Citrix Cloud verbinden, müssen Ihre FAS-Server über HTTPS-Port 443 auf die folgenden Adressen zugreifen können.
Citrix Cloud:
  • FAS-Administrationskonsole, die unter dem Benutzerkonto ausgeführt wird
    • *.cloud.com
    • *.citrixworkspacesapi.net
    • Adressen, die von einem Drittanbieter-Identitätsanbieter benötigt werden, falls dieser in Ihrer Umgebung verwendet wird
  • FAS-Dienst, der unter dem Network Service-Konto ausgeführt wird:
    • *.citrixworkspacesapi.net
    • *.citrixnetworkapi.net
Citrix Cloud Japan:
  • FAS-Verwaltungskonsole, unter dem Benutzerkonto
    • *.citrixcloud.jp
    • *.citrixworkspacesapi.jp
    • Adressen, die von einem Identitätsanbieter eines Drittanbieters benötigt werden, falls dieser in Ihrer Umgebung verwendet wird
  • FAS-Dienst, unter dem Netzwerkkonto:
    • *.citrixworkspacesapi.jp
    • *.citrixnetworkapi.jp
Wenn Ihre Umgebung Proxyserver enthält, konfigurieren Sie den Benutzerproxy mit den Adressen für die FAS-Verwaltungskonsole. Stellen Sie außerdem sicher, dass die Adresse für das Netzwerkkonto mit netsh oder einem ähnlichen Tool konfiguriert ist.

Weitere Informationen

Informationen zur Absicherung der Kommunikation zwischen anderen Citrix-Komponenten finden Sie in den folgenden Artikeln:

Sicherheitsüberlegungen

FAS verfügt über ein Registrierungsstellenzertifikat, das es ihm ermöglicht, Zertifikate autonom für Ihre Domänenbenutzer auszustellen. Es hilft bei der Entwicklung und Implementierung einer Sicherheitsrichtlinie zum Schutz von FAS-Servern und zur Einschränkung ihrer Berechtigungen.

Delegierte Registrierungsagenten

FAS stellt Benutzerzertifikate aus, indem es als Registrierungsagent fungiert. Die Microsoft-Zertifizierungsstelle ermöglicht es Ihnen, Registrierungsagenten, Zertifikatvorlagen und Benutzer einzuschränken, für die die Registrierungsagenten Zertifikate ausstellen können.
Sie können das angegebene Dialogfeld verwenden, um sicherzustellen, dass:
  • Die Liste der Registrierungsagenten nur FAS-Server enthält (vorausgesetzt, es sind keine anderen Registrierungsagenten in Ihrer Active Directory-Bereitstellung erforderlich).
  • Die Liste der Zertifikatvorlagen nur die FAS-Vorlagen enthält, die zum Ausstellen von Benutzerzertifikaten verwendet werden. Standardmäßig ist dies die Citrix_SmartcardLogon-Vorlage.
  • Die Liste der Berechtigungen Benutzer enthält, die FAS verwenden dürfen. Es wird beispielsweise empfohlen, keine Zertifikate für Administratoren oder die Gruppe „Geschützte Benutzer“ auszustellen.
Hinweis:
Änderungen an der Active Directory-Gruppenmitgliedschaft eines Computerkontos werden erst nach dem Neustart des Computers wirksam.

Konfiguration der Zugriffssteuerungsliste

Wie im Abschnitt „Regeln konfigurieren“ beschrieben, müssen Sie eine Liste von StoreFront-Servern konfigurieren. Diese StoreFront-Server bestätigen Benutzeridentitäten gegenüber FAS, wenn Zertifikate ausgestellt werden. Ebenso können Sie einschränken, welchen Benutzern Zertifikate ausgestellt werden und bei welchen VDA-Maschinen sie sich authentifizieren können. Diese Funktion ergänzt alle standardmäßigen Active Directory- oder Zertifizierungsstellen-Sicherheitsfunktionen, die Sie konfigurieren.

Firewall-Einstellungen

Der FAS-Server muss eingehende Verbindungen von StoreFront und VDAs über Port 80 akzeptieren, es sei denn, anders konfiguriert. Weitere Informationen zur Netzwerkkommunikation finden Sie unter Netzwerkarchitektur und Sicherheit.
Der FAS-Installer kann optional die Windows-Firewall konfigurieren. Weitere Informationen finden Sie unter FAS-Installer-Optionen.

FAS-Server-Port ändern

Der FAS-Server verwendet standardmäßig Port 80. Sie können den Port anpassen:
Hinweis:
Sie können den FAS-Serverport auf Port 443 ändern, dies ändert jedoch nicht das von FAS verwendete Protokoll. FAS verwendet kein HTTPS, selbst wenn es auf Port 443 konfiguriert ist.
  1. Führen Sie die folgende Befehlszeile auf Ihrem FAS-Server aus:
    "C:\Program Files\Citrix\Federated Authentication Service\Citrix.Authentication.FederatedAuthenticationService.exe" /SVCPORT [port] /CONFIGUREFIREWALL
    Ersetzen Sie [port] durch die Portnummer, die Sie verwenden möchten.
    Der Schalter /CONFIGUREFIREWALL bewirkt, dass die Windows-Firewall aktualisiert wird, um eingehende Verbindungen auf dem angegebenen Port zuzulassen.
  2. Starten Sie den FAS-Dienst neu.
  3. Aktualisieren Sie in Ihrem FAS-Gruppenrichtlinienobjekt die Liste der FAS-Server, um den Port einzuschließen (z. B. fas.example.com:[port]).
  4. Übertragen Sie die Änderung auf den FAS-Server, StoreFront und den VDA (z. B. mit gpupdate /force).

Überwachung des Ereignisprotokolls

FAS und der VDA schreiben Informationen in das Windows-Ereignisprotokoll. Dieses Protokoll kann zur Überwachung und für Audit-Informationen verwendet werden. Der Abschnitt Ereignisprotokolle listet die Ereignisprotokolleinträge auf, die generiert werden können.

Hardware-Sicherheitsmodule

Alle privaten Schlüssel, einschließlich der von FAS ausgestellten Benutzerzertifikatschlüssel, werden vom Network Service-Konto als nicht exportierbare private Schlüssel gespeichert. FAS unterstützt die Verwendung eines kryptografischen Hardware-Sicherheitsmoduls, falls Ihre Sicherheitsrichtlinie dies erfordert.
Eine kryptografische Konfiguration auf niedriger Ebene ist über die PowerShell-Befehle verfügbar. Für private Schlüssel von FAS-Autorisierungszertifikaten und Benutzerzertifikatschlüssel können unterschiedliche Einstellungen verwendet werden. Weitere Informationen finden Sie unter Schutz privater Schlüssel.

Administratoraufgaben

Die Verwaltung der Umgebung kann in die folgenden Gruppen unterteilt werden:
Name Zuständigkeit
Unternehmensadministrator Zertifikatvorlagen in der Gesamtstruktur installieren und sichern
Domänenadministrator Gruppenrichtlinieneinstellungen konfigurieren
Zertifizierungsstellenadministrator Die Zertifizierungsstelle konfigurieren
FAS-Administrator Den FAS-Server installieren und konfigurieren
StoreFront-/Citrix Gateway-Administrator Benutzerauthentifizierung konfigurieren
Citrix Virtual Desktops™-Administrator VDAs und Controller konfigurieren
Jeder Administrator steuert verschiedene Aspekte des gesamten Sicherheitsmodells, was einen mehrstufigen Ansatz zur Absicherung des Systems ermöglicht.

Gruppenrichtlinieneinstellungen

Hinweis:
Wenn alle Ihre FAS-Server und VDAs Version 2511 oder höher sind, wird die FQDN-Liste der Gruppenrichtlinie auf dem VDA nicht mehr benötigt. Siehe FAS V2-Ticketing und die Registrierungsadressliste.
Vertrauenswürdige FAS-Maschinen werden durch eine über Gruppenrichtlinien konfigurierte Nachschlagetabelle „Indexnummer -> FQDN“ identifiziert. Beim Kontaktieren eines FAS-Servers überprüfen Clients die HOST\<fqdn> Kerberos-Identität des FAS-Servers. Alle Server, die auf den FAS-Server zugreifen, müssen identische FQDN-Konfigurationen für denselben Index aufweisen; andernfalls können StoreFront und VDAs unterschiedliche FAS-Server kontaktieren. Wenn der FAS-Server mit Citrix Cloud verbunden ist, muss die Gruppenrichtlinie zusätzlich auch auf den FAS-Server selbst angewendet werden.
Citrix empfiehlt, eine einzige Richtlinie auf alle Maschinen in der Umgebung anzuwenden, um Fehlkonfigurationen zu vermeiden. Seien Sie vorsichtig, wenn Sie die Liste der FAS-Server ändern, insbesondere beim Entfernen oder Neuanordnen von Einträgen.
Die Kontrolle über dieses GPO muss auf FAS-Administratoren (und/oder Domänenadministratoren) beschränkt sein, die FAS-Server installieren und außer Betrieb nehmen. Achten Sie darauf, einen FQDN-Namen einer Maschine nicht kurz nach der Außerbetriebnahme eines FAS-Servers wiederzuverwenden.
FAS-Gruppenrichtlinieneinstellungen werden in der Registrierung unter HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\Authentication angezeigt. Die Liste der FAS-FQDNs aus der Gruppenrichtlinie wird unter dem Unterschlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\Authentication\UserCredentialService\Addresses angezeigt.

Zertifikatvorlagen

Wenn Sie die mit FAS gelieferte Zertifikatvorlage Citrix_SmartcardLogon nicht verwenden möchten, können Sie eine Kopie davon ändern. Die folgenden Änderungen werden unterstützt.

Zertifikatvorlage umbenennen

Wenn Sie Citrix_SmartcardLogon umbenennen möchten, um Ihren organisationsspezifischen Benennungsstandard für Vorlagen zu erfüllen, müssen Sie:
  • Erstellen Sie eine Kopie der Zertifikatvorlage und benennen Sie sie um, um sie an Ihren organisationsspezifischen Benennungsstandard für Vorlagen anzupassen.
  • Verwenden Sie FAS-PowerShell-Befehle zur Verwaltung von FAS anstelle der administrativen Benutzeroberfläche. (Die administrative Benutzeroberfläche ist nur für die Verwendung mit den Citrix-Standardvorlagennamen vorgesehen.)
    • Verwenden Sie entweder das Microsoft MMC-Snap-In für Zertifikatvorlagen oder den Befehl Publish-FasMsTemplate, um Ihre Vorlage zu veröffentlichen, und
    • Verwenden Sie den Befehl New-FasCertificateDefinition, um FAS mit dem Namen Ihrer Vorlage zu konfigurieren.

Allgemeine Eigenschaften ändern

Standardmäßig beträgt die Lebensdauer eines Benutzerzertifikats sieben Tage. Sie können den Gültigkeitszeitraum in der Zertifikatvorlage ändern.
Ändern Sie den Verlängerungszeitraum nicht. FAS ignoriert diese Einstellung in der Zertifikatvorlage. FAS verlängert das Zertifikat automatisch nach der Hälfte seiner Gültigkeitsdauer.

Eigenschaften der Anforderungsbehandlung ändern

Ändern Sie diese Eigenschaften nicht. FAS ignoriert diese Einstellungen in der Zertifikatvorlage.
Siehe Schutz des privaten Schlüssels für die Einstellungen, die FAS bereitstellt.

Kryptografieeigenschaften ändern

Ändern Sie diese Eigenschaften nicht. FAS ignoriert diese Einstellungen in der Zertifikatvorlage.
Siehe Schutz des privaten Schlüssels für die entsprechenden Einstellungen, die FAS bereitstellt.

Eigenschaften der Schlüsselbestätigung ändern

Ändern Sie diese Eigenschaften nicht. FAS unterstützt keine Schlüsselbestätigung.

Eigenschaften der abgelösten Vorlagen ändern

Ändern Sie diese Eigenschaften nicht. FAS unterstützt keine abgelösten Vorlagen.

Erweiterungseigenschaften ändern

Sie können diese Einstellungen an Ihre Unternehmensrichtlinien anpassen.
Hinweis:
Ungeeignete Erweiterungseinstellungen können Sicherheitsprobleme verursachen oder zu unbrauchbaren Zertifikaten führen.

Sicherheitseigenschaften ändern

Citrix empfiehlt, diese Einstellungen so zu ändern, dass die Berechtigungen Lesen und Registrieren nur für die Computerkonten der FAS-Server zugelassen werden. Der FAS-Dienst benötigt keine weiteren Berechtigungen.
Zusätzlich:
  • erlauben Sie authentifizierten Benutzern, die Vorlage zu lesen. Dies ist notwendig, da die Zertifizierungsstellen selbst die Vorlage lesen können müssen.
  • erlauben Sie Ihren Zertifizierungsstellen-Administratoren, die Vorlage zu lesen und zu schreiben.
Die Empfehlung gilt für alle drei FAS-Vorlagen:
  • Citrix_SmartcardLogon
  • Citrix_RegistrationAuthority
  • Citrix_RegistrationAuthority_ManualAuthorization
lokalisiertes Bild
Hinweis:
Änderungen an der Active Directory-Gruppenmitgliedschaft eines Computerkontos werden erst nach einem Neustart des Computers wirksam.

Eigenschaften des Antragstellernamens ändern

Citrix empfiehlt, diese Eigenschaften nicht zu ändern.
Die Vorlage hat die Option Aus diesen Active Directory-Informationen erstellen ausgewählt, wodurch die Zertifizierungsstelle die SID des Benutzers in eine Zertifikaterweiterung aufnimmt, was eine starke Zuordnung zum Active Directory-Konto des Benutzers ermöglicht.

Servereigenschaften ändern

Obwohl Citrix dies nicht empfiehlt, können Sie diese Einstellungen bei Bedarf an Ihre Unternehmensrichtlinien anpassen.

Eigenschaften der Ausstellungsanforderungen ändern

Ändern Sie diese Einstellungen nicht. Diese Einstellungen müssen wie folgt aussehen:
lokalisiertes Bild

Kompatibilitätseigenschaften ändern

Sie können diese Einstellungen ändern. Die Einstellung muss mindestens Windows Server 2003 CAs (Schemaversion 2) sein. FAS unterstützt jedoch nur Windows Server 2008 und spätere CAs. Wie oben erläutert, ignoriert FAS auch die zusätzlichen Einstellungen, die durch die Auswahl von Windows Server 2008 CAs (Schemaversion 3) oder Windows Server 2012 CAs (Schemaversion 4) verfügbar sind.

Verwaltung der Zertifizierungsstelle

Der Administrator der Zertifizierungsstelle ist für die Konfiguration des Servers der Zertifizierungsstelle und des von ihm verwendeten privaten Schlüssels des ausstellenden Zertifikats verantwortlich.

Veröffentlichen von Vorlagen

Damit eine Zertifizierungsstelle Zertifikate auf der Grundlage einer vom Unternehmensadministrator bereitgestellten Vorlage ausstellen kann, muss der Administrator der Zertifizierungsstelle diese Vorlage zur Veröffentlichung auswählen.
Eine einfache Sicherheitspraxis besteht darin, nur die Zertifikatvorlagen der Registrierungsstelle zu veröffentlichen, wenn FAS-Server installiert werden, oder auf einen vollständig Offline-Ausstellungsprozess zu bestehen. In beiden Fällen muss der Administrator der Zertifizierungsstelle die vollständige Kontrolle über die Autorisierung von Zertifikatanforderungen der Registrierungsstelle behalten und eine Richtlinie für die Autorisierung von FAS-Servern haben.

Firewall-Einstellungen

Der Administrator der Zertifizierungsstelle hat die Kontrolle über die Netzwerk-Firewall-Einstellungen der Zertifizierungsstelle, was die Kontrolle über eingehende Verbindungen ermöglicht. Der Administrator der Zertifizierungsstelle kann DCOM-TCP- und Firewall-Regeln so konfigurieren, dass nur FAS-Server Zertifikate anfordern können.

Eingeschränkte Registrierung

Standardmäßig kann jeder Inhaber eines Registrierungsstellenzertifikats Zertifikate für jeden Benutzer ausstellen, unter Verwendung jeder Zertifikatvorlage, die den Zugriff erlaubt. Citrix empfiehlt, dass die Ausstellung von Zertifikaten auf eine Gruppe nicht privilegierter Benutzer beschränkt wird, indem die Eigenschaft der Zertifizierungsstelle Registrierungsagenten einschränken verwendet wird. Siehe Delegierte Registrierungsagenten.

Richtlinienmodule und Überwachung

Für erweiterte Bereitstellungen können benutzerdefinierte Sicherheitsmodule verwendet werden, um die Zertifikatsausstellung zu verfolgen und zu untersagen.

FAS-Verwaltung

FAS verfügt über mehrere Sicherheitsfunktionen.

StoreFront, Benutzer und VDAs über eine ACL einschränken

Im Mittelpunkt des FAS-Sicherheitsmodells steht die Kontrolle darüber, welche Kerberos-Konten auf Funktionen zugreifen können:
Zugriffsvektor Beschreibung
StoreFront [IdP] Diesen Kerberos-Konten wird vertraut, zu erklären, dass ein Benutzer korrekt authentifiziert wurde. Wenn eines dieser Konten kompromittiert wird, können Zertifikate für Benutzer erstellt und verwendet werden, die durch die Konfiguration von FAS zugelassen sind.
VDAs [Relying party] Dies sind die Computer, die auf die Zertifikate und privaten Schlüssel zugreifen dürfen. Ein vom IdP abgerufener Anmeldeinformations-Handle wird ebenfalls benötigt, sodass ein kompromittiertes VDA-Konto in dieser Gruppe nur einen begrenzten Spielraum hat, um das System anzugreifen.
Benutzer Diese Option steuert, welche Benutzer vom IdP bestätigt werden können. Beachten Sie, dass es Überschneidungen mit den Konfigurationsoptionen „Eingeschränkter Registrierungsagent“ bei der Zertifizierungsstelle gibt. Im Allgemeinen ist es ratsam, nur nicht-privilegierte Konten in diese Liste aufzunehmen. Dies verhindert, dass ein kompromittiertes StoreFront-Konto seine Berechtigungen auf eine höhere administrative Ebene ausweitet. Insbesondere dürfen Domänenadministratorkonten durch diese ACL nicht zugelassen werden.

Regeln konfigurieren

Regeln sind nützlich, wenn mehrere unabhängige Citrix Virtual Apps™- oder Citrix Virtual Desktops-Bereitstellungen dieselbe FAS-Serverinfrastruktur verwenden. Jede Regel verfügt über einen separaten Satz von Konfigurationsoptionen; insbesondere können die Kerberos-Zugriffssteuerungslisten (ACLs) unabhängig voneinander konfiguriert werden.

Zertifizierungsstelle und Vorlagen konfigurieren

Für unterschiedliche Zugriffsrechte können verschiedene Zertifikatvorlagen und CAs konfiguriert werden. Erweiterte Konfigurationen können je nach Umgebung weniger oder leistungsfähigere Zertifikate verwenden. Beispielsweise können als „extern“ identifizierte Benutzer ein Zertifikat mit weniger Berechtigungen als „interne“ Benutzer haben.

In-Session- und Authentifizierungszertifikate

Der FAS-Administrator kann steuern, ob das zur Authentifizierung verwendete Zertifikat in der Benutzersitzung verfügbar ist. Beispielsweise kann ein Benutzer nur „Signatur“-Zertifikate in der Sitzung verfügbar haben, wobei das leistungsfähigere „Anmelde“-Zertifikat nur bei der Anmeldung verwendet wird.

Schutz des privaten Schlüssels und Schlüssellänge

Der FAS-Administrator kann FAS so konfigurieren, dass private Schlüssel in einem Hardware Security Module (HSM) oder Trusted Platform Module (TPM) gespeichert werden. Citrix empfiehlt, dass mindestens der private Schlüssel des FAS-Autorisierungszertifikats durch Speicherung in einem TPM geschützt wird.
Ebenso können private Schlüssel von Benutzerzertifikaten in einem TPM oder HSM gespeichert werden. Alle Schlüssel müssen als nicht exportierbar generiert werden und bei Verwendung von RSA mindestens 2048 Bit lang sein.
Hinweis:
Obwohl FAS Benutzerzertifikatsschlüssel in einem TPM oder HSM generieren und speichern kann, ist die Hardware für große Bereitstellungen möglicherweise zu langsam oder in der Größe eingeschränkt.
Weitere Informationen finden Sie unter Schutz des privaten Schlüssels.

Ereignisprotokolle

Der FAS-Server stellt detaillierte Konfigurations- und Laufzeit-Ereignisprotokolle bereit, die für Audits und die Erkennung von Eindringversuchen verwendet werden können.

Administrativer Zugriff und Verwaltungstools

FAS umfasst Funktionen (gegenseitig authentifiziertes Kerberos) und Tools für die Remoteadministration. Mitglieder der „Gruppe der lokalen Administratoren“ haben die volle Kontrolle über die FAS-Konfiguration. Die FAS-Konfiguration muss ordnungsgemäß verwaltet werden.

Citrix Virtual Apps-, Citrix Virtual Desktops- und VDA-Administratoren

Die Verwendung von FAS ändert das Sicherheitsmodell der Delivery Controller- und VDA-Administratoren nicht, da das FAS-„Anmeldeinformationshandle“ einfach das „Active Directory-Kennwort“ ersetzt. Controller- und VDA-Administrationsgruppen dürfen nur vertrauenswürdige Benutzer enthalten. Audits und Ereignisprotokolle müssen gepflegt werden.

Allgemeine Windows-Serversicherheit

Alle Server müssen vollständig gepatcht sein und über Standard-Firewall- und Antivirensoftware verfügen. Sicherheitskritische Infrastrukturserver müssen an einem physisch sicheren Ort aufbewahrt werden, wobei auf Festplattenverschlüsselung und Wartungsoptionen für virtuelle Maschinen zu achten ist.
Audits und Ereignisprotokolle müssen sicher auf einem Remotecomputer gespeichert werden.
Der RDP-Zugriff muss auf autorisierte Administratoren beschränkt sein. Citrix empfiehlt die Smartcard-Anmeldung für Benutzerkonten, insbesondere für Zertifizierungsstellen- und Domänenadministratorkonten.

Unterstützung des Federal Information Processing Standard (FIPS)

FAS verwendet die FIPS-validierten kryptografischen Algorithmen auf FIPS-fähigen Windows-Computern. Wenn Sie FAS für die Verwendung eines TPM oder HSM zur Schlüsselaufbewahrung konfigurieren, wenden Sie sich an Ihren Hardwareanbieter, um Informationen zur FIPS-Konformität zu erhalten.

Zugehörige Informationen