Chiavi di sicurezza

Last published : Nov 03, 2026
Nota:
  • È necessario utilizzare questa funzionalità in combinazione con StoreFront™ 1912 LTSR CU2 o versioni successive.
  • La funzionalità Secure XML è supportata solo su Citrix ADC e Citrix Gateway versione 12.1 e successive.
Questa funzionalità consente di autorizzare solo le macchine StoreFront e Citrix Gateway approvate a comunicare con i Citrix Delivery Controller. Dopo aver abilitato questa funzionalità, tutte le richieste che non contengono la chiave vengono bloccate. Utilizzare questa funzionalità per aggiungere un ulteriore livello di sicurezza per proteggere dagli attacchi provenienti dalla rete interna.
Un flusso di lavoro generale per l'utilizzo di questa funzionalità è il seguente:
  1. Visualizzare le impostazioni della chiave di sicurezza in Studio. (Utilizzare l'SDK di PowerShell remoto)
  2. Configurare le impostazioni per la propria distribuzione. (Utilizzare Studio o l'SDK di PowerShell remoto).
  3. Configurare le impostazioni in StoreFront. (Utilizzare PowerShell).
  4. Configurare le impostazioni in Citrix ADC.
Related information
Gestisci

Configurare le impostazioni per la propria distribuzione

È possibile configurare le impostazioni per la propria distribuzione utilizzando Studio o PowerShell.

Utilizzare Studio

Dopo aver abilitato la funzionalità, passare a Settings > Site settings > Manage security key e fare clic su Edit. Viene visualizzato il pannello Manage Security Key. Fare clic su Save per applicare le modifiche e uscire dal pannello.
Procedura guidata Gestisci chiave di sicurezza
Importante:
  • Sono disponibili due chiavi per l'uso. È possibile utilizzare la stessa chiave o chiavi diverse per le comunicazioni sulle porte XML e STA. Si consiglia di utilizzare una sola chiave alla volta. La chiave non utilizzata viene usata solo per la rotazione delle chiavi.
  • Non fare clic sull'icona di aggiornamento per aggiornare la chiave già in uso. In caso contrario, si verificherà un'interruzione del servizio.
Fare clic sull'icona di aggiornamento per generare nuove chiavi.
Richiedi chiave per le comunicazioni sulla porta XML (solo StoreFront). Se selezionato, richiede una chiave per autenticare le comunicazioni sulla porta XML. StoreFront comunica con Citrix Cloud tramite questa porta. Per informazioni sulla modifica della porta XML, consultare l'articolo del Knowledge Center CTX127945.
Richiedi chiave per le comunicazioni sulla porta STA. Se selezionato, richiede una chiave per autenticare le comunicazioni sulla porta STA. Citrix Gateway e StoreFront comunicano con Citrix Cloud tramite questa porta. Per informazioni sulla modifica della porta STA, consultare l'articolo del Knowledge Center CTX101988.
Dopo aver applicato le modifiche, fare clic su Chiudi per uscire dal pannello Gestisci chiave di sicurezza.

Utilizzare l'SDK Remote PowerShell

Di seguito sono riportati i passaggi di PowerShell equivalenti alle operazioni eseguite in Studio.
  1. Eseguire l'SDK Remote PowerShell.
  2. In una finestra di comando, eseguire il seguente comando:
    • Add-PSSnapIn Citrix*
  3. Eseguire i seguenti comandi per generare una chiave e configurare Key1:
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey1 <the key you generated>
  4. Eseguire i seguenti comandi per generare una chiave e configurare Key2:
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey2 <the key you generated>
  5. Eseguire uno o entrambi i seguenti comandi per abilitare l'uso di una chiave nell'autenticazione delle comunicazioni:
    • Per autenticare le comunicazioni sulla porta XML:
      • Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
    • Per autenticare le comunicazioni sulla porta STA:
      • Set-BrokerSite -RequireXmlServiceKeyForSta $true
Consultare la guida del comando PowerShell per indicazioni e sintassi.

Configurare le impostazioni in StoreFront

Dopo aver completato le impostazioni per la distribuzione, è necessario configurare le impostazioni pertinenti in StoreFront utilizzando PowerShell.
Sul server StoreFront, eseguire i seguenti comandi PowerShell:
Per configurare la chiave per le comunicazioni sulla porta XML, utilizzare il comando Set-STFStoreFarm. Ad esempio:
$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
Immettere i valori appropriati per i seguenti parametri:
  • Path to store
  • Resource feed name
  • secret
Per configurare la chiave per le comunicazioni sulla porta STA, utilizzare i comandi New-STFSecureTicketAuthority e Set-STFRoamingGateway. Ad esempio:
$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
Immettere i valori appropriati per i seguenti parametri:
  • Gateway name
  • STA URL
  • Secret
Consultare la guida dei comandi PowerShell per indicazioni e sintassi.

Configurare le impostazioni in Citrix ADC

Nota:
La configurazione di questa funzionalità in Citrix ADC non è necessaria a meno che non si utilizzi Citrix ADC come gateway. Se si utilizza Citrix ADC, seguire i passaggi seguenti.
  1. Assicurarsi che la seguente configurazione dei prerequisiti sia già presente:
    • I seguenti indirizzi IP relativi a Citrix ADC sono configurati.
      Indirizzo IP di gestione ADC
      • Indirizzo IP di subnet (SNIP) per abilitare la comunicazione tra l'appliance Citrix ADC e i server back-end. Per i dettagli, vedere Configurazione degli indirizzi IP di subnet.
      • Indirizzo IP virtuale di Citrix Gateway e indirizzo IP virtuale del bilanciatore di carico per accedere all'appliance ADC per l'avvio della sessione. Per i dettagli, vedere Creare un server virtuale.
      Indirizzo IP di subnet
    • Le modalità e le funzionalità richieste nell'appliance Citrix ADC sono abilitate.
      • Per abilitare le modalità, nell'interfaccia grafica di Citrix ADC andare su Sistema > Impostazioni > Configura modalità.
      • Per abilitare le funzionalità, nell'interfaccia grafica di Citrix ADC andare su Sistema > Impostazioni > Configura funzionalità di base.
    • Le configurazioni relative ai certificati sono complete.
      • La richiesta di firma del certificato (CSR) è stata creata. Per i dettagli, vedere Creare un certificato.
      Creare un certificato CSR Installare il certificato serverInstallare il certificato CA
      • È stato creato un Citrix Gateway per Citrix DaaS (precedentemente servizio Citrix Virtual Apps and Desktops). Testare la connettività facendo clic sul pulsante Test STA Connectivity per confermare che i server virtuali siano online. Per i dettagli, vedere Configurazione di Citrix ADC per Citrix Virtual Apps and Desktops.
      Gateway per desktop virtuali
  2. Aggiungere un'azione di riscrittura. Per i dettagli, vedere Configurazione di un'azione di riscrittura.
    1. Andare a AppExpert > Rewrite > Actions.
    2. Fare clic su Add per aggiungere una nuova azione di riscrittura. È possibile denominare l'azione come "set Type to INSERT_HTTP_HEADER".
    Aggiungi azione di riscrittura
    1. In Type, selezionare INSERT_HTTP_HEADER.
    2. In Header Name, immettere X-Citrix-XmlServiceKey.
    3. In Expression, aggiungere <XmlServiceKey1 value> con le virgolette. È possibile copiare il valore XmlServiceKey1 dalla configurazione del Desktop Delivery Controller™.
    Valore della chiave del servizio XML
  3. Aggiungere un criterio di riscrittura. Per i dettagli, vedere Configurazione di un criterio di riscrittura.
    1. Andare a AppExpert > Rewrite > Policies.
    2. Fare clic su Add per aggiungere un nuovo criterio.
    Aggiungi criterio di riscrittura
    1. In Action, selezionare l'azione creata nel passaggio precedente.
    2. In Expression, aggiungere HTTP.REQ.IS_VALID.
    3. Fare clic su OK.
  4. Configurare il bilanciamento del carico. È necessario configurare un server virtuale di bilanciamento del carico per ogni server STA. In caso contrario, le sessioni non verranno avviate.
    Per i dettagli, vedere Set up basic load balancing.
    1. Creare un server virtuale di bilanciamento del carico.
      • Andare a Traffic Management > Load Balancing > Servers.
      • Nella pagina Virtual Servers, fare clic su Add.
      Aggiungere un server di bilanciamento del carico
      • In Protocol, selezionare HTTP.
      • Aggiungere l'indirizzo IP virtuale di bilanciamento del carico e in Port selezionare 80.
      • Fare clic su OK.
    2. Creare un servizio di bilanciamento del carico.
      • Andare a Traffic Management > Load Balancing > Services.
      Aggiungere un servizio di bilanciamento del carico
      • In Existing Server, selezionare il server virtuale creato nel passaggio precedente.
      • In Protocol, selezionare HTTP e in Port selezionare 80.
      • Fare clic su OK, e quindi fare clic su Done.
    3. Associare il servizio al server virtuale.
      • Selezionare il server virtuale creato in precedenza e fare clic su Edit (Modifica).
      • In Services and Service Groups (Servizi e gruppi di servizi), fare clic su No Load Balancing Virtual Server Service Binding (Nessun binding del servizio del server virtuale di bilanciamento del carico).
      Associare il servizio a un server virtuale
      • In Service Binding (Binding del servizio), selezionare Citrix DaaS™ creato in precedenza.
      • Fare clic su Bind (Associa).
    4. Associare il criterio di riscrittura creato in precedenza al server virtuale.
      • Selezionare il server virtuale creato in precedenza e fare clic su Edit (Modifica).
      • In Advanced Settings (Impostazioni avanzate), fare clic su Policies (Criteri), quindi nella sezione Policies (Criteri) fare clic su +.
      Associare il criterio di riscrittura
      • In Choose Policy (Scegli criterio), selezionare Rewrite (Riscrittura) e in Choose Type (Scegli tipo), selezionare Request (Richiesta).
      • Fare clic su Continue (Continua).
      • In Select Policy (Seleziona criterio), selezionare il criterio di riscrittura creato in precedenza.
      • Fare clic su Bind (Associa).
      • Fare clic su Done (Fatto).
    5. Configurare la persistenza per il server virtuale, se necessario.
      • Selezionare il server virtuale creato in precedenza e fare clic su Modifica.
      • In Impostazioni avanzate, fare clic su Persistenza.
      Imposta persistenza
      • Selezionare il tipo di persistenza come Altro.
      • Selezionare DESTIP per creare sessioni di persistenza basate sull'indirizzo IP del servizio selezionato dal server virtuale (l'indirizzo IP di destinazione)
      • In IPv4 Netmask, aggiungere la subnet mask uguale a quella del DDC.
      • Fare clic su OK.
    6. Ripetere questi passaggi anche per l'altro server virtuale.

Modifiche alla configurazione se l'appliance Citrix ADC è già configurata con Citrix DaaS

Se l'appliance Citrix ADC è già stata configurata con Citrix DaaS, per utilizzare la funzione Secure XML, è necessario apportare le seguenti modifiche alla configurazione.
  • Prima dell'avvio della sessione, modificare l'URL dell'autorità del ticket di sicurezza del gateway per utilizzare gli FQDN dei server virtuali di bilanciamento del carico.
  • Assicurarsi che il parametro TrustRequestsSentToTheXmlServicePort sia impostato su False. Per impostazione predefinita, il parametro TrustRequestsSentToTheXmlServicePort è impostato su False. Tuttavia, se il cliente ha già configurato Citrix ADC per Citrix DaaS, TrustRequestsSentToTheXmlServicePort è impostato su True.
  1. Nell'interfaccia grafica di Citrix ADC, andare su Configuration > Integrate with Citrix Products e fare clic su XenApp and XenDesktop®.
  2. Selezionare l'istanza del gateway e fare clic sull'icona di modifica.
    Modifica configurazione gateway esistente
  3. Nel riquadro StoreFront, fare clic sull'icona di modifica.
    Modifica i dettagli di StoreFront(/en-us/citrix-daas/media/edit-storefront-details.png)
  4. Aggiungere l'URL dell'autorità di ticket sicuri.
    • Se la funzionalità Secure XML è abilitata, l'URL STA deve essere l'URL del servizio di bilanciamento del carico.
    • Se la funzionalità Secure XML è disabilitata, l'URL STA deve essere l'URL di STA (indirizzo del DDC) e il parametro TrustRequestsSentToTheXmlServicePort sul DDC deve essere impostato su True.
    Aggiungere gli URL STA(/en-us/citrix-daas/media/add-sta-urls.png)