Konfiguration des Federated Authentication Service
Federated Authentication Service (FAS) bietet Single Sign-On für VDAs mittels Zertifikatsauthentifizierung. Dieser Ansatz ist nützlich, wenn Sie Authentifizierungsmethoden wie SAML aktiviert haben, bei denen StoreFront nicht über die Active Directory-Anmeldeinformationen des Benutzers verfügt. Sobald Sie FAS aktivieren, übernimmt es immer das Single Sign-On, selbst bei Authentifizierungsmethoden, bei denen StoreFront das Active Directory-Benutzername-Passwort besitzt.
FAS über die Verwaltungskonsole konfigurieren
Hinweis:
Von StoreFront aus können Sie FAS über die Verwaltungskonsole konfigurieren. Für Versionen vor 2511 macht die Verwaltungskonsole diese Einstellungen nicht zugänglich, daher müssen Sie FAS (#configure-fas-using-powershell) konfigurieren.
So konfigurieren Sie FAS:
-
Konfigurieren Sie die Liste der FAS-Server mithilfe der Gruppenrichtlinie. Weitere Informationen finden Sie in der (/de-de/federated-authentication-service/current-release/install-configure#configure-group-policy).
-
Wählen Sie den Knoten Stores im linken Bereich der Citrix StoreFront-Verwaltungskonsole aus, wählen Sie einen Store im mittleren Bereich aus.
-
Wählen Sie im Bereich „Aktionen“ die Option Store-Einstellungen konfigurieren.
-
Auf der Seite Store-Einstellungen konfigurieren wählen Sie die Registerkarte Federated Authentication Service.
-
Um Single Sign-On mit FAS zu aktivieren, wählen Sie Federated Authentication Service für diesen Store aktivieren.
-
Wenn der FAS-Server nicht verfügbar ist, schlägt der Start standardmäßig fehl. Sie können StoreFront jedoch so konfigurieren, dass Benutzer sich beim VDA anmelden können, indem sie ihre Anmeldeinformationen eingeben, falls der FAS-Server nicht verfügbar ist. Um dies zu aktivieren, aktivieren Sie das Kontrollkästchen Fallback auf Benutzername/Passwort, wenn keine FAS-Server verfügbar sind.
-
Standardmäßig wählt StoreFront den FAS-Server beim Start aus. Sie können die FAS-Serverauswahl in Bei Anmeldung auswählen ändern. Dies ist normalerweise nicht erforderlich, aber Sie können dies aktivieren, wenn die FAS-Auswahl langsam ist, um Verzögerungen beim Start zu vermeiden. Diese Einstellung betrifft alle Stores, die denselben Authentifizierungsdienst nutzen.
-
Klicken Sie auf OK, um Ihre Änderungen zu speichern.
FAS mit PowerShell konfigurieren
Um FAS mit PowerShell zu aktivieren, führen Sie das Cmdlet Set-STFStoreLaunchOptions aus, um den Anmeldeanbieter für VDA-Anmeldedaten auf
FASLogonDataProvider festzulegen.
Zum Beispiel, um FAS für einen Store zu aktivieren:
$store = Get-STFStoreService -VirtualPath [VirtualPath]
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider "FASLogonDataProvider"
Um FAS für einen Store zu deaktivieren:
$store = Get-STFStoreService -VirtualPath [VirtualPath]
Set-STFStoreLaunchOptions -StoreService $store -VdaLogonDataProvider ""
Ersetzen Sie
[VirtualPath] durch den entsprechenden virtuellen Pfad, z. B. /Citrix/Store.
Standardmäßig wird der FAS-Server bei der Anmeldung ausgewählt. Um dies zu konfigurieren, führen Sie das Cmdlet Set-STFClaimsFactoryNames mit dem Parameter
ClaimsFactoryName aus. Um den FAS-Server bei der Anmeldung auszuwählen, setzen Sie ihn auf FASClaimsFactory. Um das Standardverhalten wiederherzustellen und einen FAS-Server beim Start auszuwählen, setzen Sie ihn auf standardClaimsFactory.
Zum Beispiel, um einen FAS-Server bei der Anmeldung auszuwählen:
$store = Get-STFStoreService -VirtualPath [VirtualPath]
$auth = Get-STFAuthenticationService -StoreService $store
Set-STFClaimsFactoryNames -AuthenticationService $auth -ClaimsFactoryName "FASClaimsFactory"
Um die Rückfalloption auf Benutzername- und Kennwortauthentifizierung zu aktivieren, führen Sie das Cmdlet Set-STFStoreLaunchOptions mit dem Parameter
FederatedAuthenticationServiceFailover aus. Zum Beispiel:
$storeService = Get-STFStoreService -VirtualPath [VirtualPath]
Set-STFStoreLaunchOptions $storeService -FederatedAuthenticationServiceFailover $True