Gerenciar chaves de segurança
Importante:
- Você deve usar este recurso em combinação com o StoreFront 1912 LTSR CU2 ou posterior.
- O recurso Secure XML só é suportado no Citrix ADC e no Citrix Gateway versão 12.1 ou superior.
Nota:
Você pode gerenciar a implantação do seu Citrix Virtual Apps and Desktops usando dois consoles de gerenciamento: Web Studio (baseado na Web) e Citrix Studio (baseado no Windows). Este artigo abrange somente o Web Studio. Para obter informações sobre o Citrix Studio, consulte o artigo equivalente no Citrix Virtual Apps and Desktops 7 2212 ou anterior.
Este recurso permite que você autorize apenas máquinas StoreFront e Citrix Gateway aprovadas para se comunicarem com Delivery Controllers. Depois que você habilitar esse recurso, todas as solicitações que não contenham a chave serão bloqueadas. Use esse recurso para adicionar uma camada extra de segurança para se proteger contra ataques originados na rede interna.
Eis aqui um fluxo de trabalho geral para usar esse recurso:
-
Ative o Web Studio para mostrar as configurações do recurso.
-
Defina as configurações do seu site.
-
Defina as configurações do StoreFront.
-
Defina as configurações do Citrix ADC.
Ativar o Web Studio para mostrar as configurações do recurso
Por padrão, as configurações das chaves de segurança estão ocultas do Web Studio. Para permitir que o Web Studio os exiba, use o SDK do PowerShell da seguinte forma:
- Execute o SDK do PowerShell do Citrix Virtual Apps and Desktops.
- Em uma janela de comando, execute os seguintes comandos:
-
Add-PSSnapIn Citrix*. Esse comando adiciona os snap-ins da Citrix. Set-ConfigSiteMetadata -Name "Citrix_DesktopStudio_SecurityKeyManagementEnabled" -Value "True"
-
Para obter mais informações sobre o PowerShell SDK, consulte SDKs e APIs.
Definir configurações para o site
Você pode usar o Web Studio ou o PowerShell para definir as configurações da chave de segurança do seu site.
Usar o Web Studio
- Entre no Web Studio, selecione Settings no painel esquerdo.
-
Localize o bloco Manage security key e clique em Edit. A página Manage Security Key é exibida.
-
Clique no ícone de atualização para gerar as chaves.
Importante:
- Existem duas chaves disponíveis para uso. Você pode usar a mesma chave ou chaves diferentes para comunicações pelas portas XML e STA. Recomendamos que você use apenas uma chave de cada vez. A chave não utilizada é usada apenas para a rotação de chaves.
- Não clique no ícone de atualização para atualizar a chave já em uso. Se você fizer isso, ocorrerá a interrupção do serviço.
-
Selecione onde uma chave é necessária para a comunicação:
-
Require key for communications over XML port (StoreFront only). Se selecionada, exige uma chave para autenticar comunicações pela porta XML. O StoreFront se comunica com o Citrix Cloud por essa porta. Para obter informações sobre como alterar a porta XML, consulte o artigo do Knowledge Center CTX127945.
-
Require key for communications over STA port. Se selecionada, exige uma chave para autenticar comunicações pela porta STA. O Citrix Gateway e o StoreFront se comunicam com o Citrix Cloud por essa porta. Para obter informações sobre como alterar a porta STA, consulte o artigo do Knowledge Center CTX101988.
-
- Clique em Save para aplicar as alterações e fechar a janela.
Usar o PowerShell
A seguir estão as etapas do PowerShell equivalentes às operações do Web Studio.
-
Execute o SDK do PowerShell remoto do Citrix Virtual Apps and Desktops
- Em uma janela de comando, execute o seguinte comando:
Add-PSSnapIn Citrix*
- Execute os seguintes comandos para gerar uma chave e configurar Key1:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey1 <the key you generated>
- Execute os seguintes comandos para gerar uma chave e configurar Key2:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey2 <the key you generated>
- Execute um ou ambos os comandos a seguir para habilitar o uso de uma chave na autenticação de comunicações:
- Para autenticar comunicações pela porta XML:
Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- Para autenticar comunicações pela porta STA:
Set-BrokerSite -RequireXmlServiceKeyForSta $true
- Para autenticar comunicações pela porta XML:
Consulte a ajuda do comando do PowerShell para obter orientação e sintaxe.
Definir as configurações do StoreFront
Depois de concluir a configuração do seu site, você precisa definir as configurações relevantes do StoreFront usando o PowerShell.
No servidor StoreFront, execute os seguintes comandos do PowerShell:
| Para configurar a chave para comunicações pela porta XML, use o comando [Set-STFStoreFarm | https://developer-docs.citrix.com/en-us/storefront-powershell-sdk/current-release/Set-STFStoreFarm.html]. Por exemplo |
$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->
Insira os valores apropriados para os seguintes parâmetros:
Path to storeResource feed namesecret
Para configurar a chave para comunicações pela porta STA, use os comandos New-STFSecureTicketAuthority e Set-STFRoamingGateway. Por exemplo:
$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->
Insira os valores apropriados para os seguintes parâmetros:
Gateway nameSTA URLSecret
Consulte a ajuda do comando do PowerShell para obter orientação e sintaxe.
Definir configurações do Citrix ADC
Nota:
A configuração desse recurso do Citrix ADC não é necessária, a menos que você use o Citrix ADC como gateway. Se você usa o Citrix ADC, siga estas etapas:
-
Verifique se a seguinte configuração de pré-requisito já está em vigor:
- Os seguintes endereços IP relacionados ao Citrix ADC são configurados.
- Endereço IP de gerenciamento do Citrix ADC (NSIP) para acessar o console do Citrix ADC. Para obter detalhes, consulte Configurando o endereço NSIP.
- Endereço IP de sub-rede (SNIP) para permitir a comunicação entre o appliance Citrix ADC e os servidores back-end. Para obter detalhes, consulte Configuração de endereços IP de sub-rede.
- Endereço IP virtual do Citrix Gateway e endereço IP virtual do balanceador de carga para fazer login no appliance ADC para iniciar a sessão. Para obter detalhes, consulte Criar um servidor virtual.
- Os modos e recursos necessários no dispositivo Citrix ADC estão ativados.
- Para ativar os modos, na GUI do Citrix ADC, navegue até System > Settings > Configure Mode.
- Para habilitar os recursos, na GUI do Citrix ADC, navegue até System > Settings > Configure Basic Features.
- As configurações relacionadas aos certificados estão completas.
- A solicitação de assinatura de certificado (CSR) é criada. Para obter detalhes, consulte Criar um certificado.
- O servidor e os certificados CA e os certificados raiz estão instalados. Para obter detalhes, consulte Instalação, link e atualizações.
- Um Citrix Gateway foi criado para o Citrix Virtual Desktops. Teste a conectividade clicando no botão Test STA Connectivity para confirmar se os servidores virtuais estão online. Para obter detalhes, consulte Configuração do Citrix ADC para Citrix Virtual Apps and Desktops.
- Os seguintes endereços IP relacionados ao Citrix ADC são configurados.
-
Adicione uma ação de regravação Para obter detalhes, consulte Configurando uma ação de regravação.
- Navegue até AppExpert > Rewrite > Actions.
- Clique em Add para adicionar uma nova ação de regravação. Você pode nomear a ação como “set Type to INSERT_HTTP_HEADER”.
- Em Type, selecione INSERT_HTTP_HEADER.
- Em Header Name, insira X-Citrix-XmlServiceKey.
- Em Expression, adicione
<XmlServiceKey1 value>com as aspas. Você pode copiar o valor XmlServiceKey1 da configuração do Desktop Delivery Controller.
- Adicione uma política de regravação. Para obter detalhes, consulte Configurando uma política de regravação.
-
Navegue até AppExpert > Rewrite > Policies.
-
Clique em Add para adicionar uma nova política.
- Em Action, selecione a ação criada na etapa anterior.
- Em Action, adicione HTTP.REQ.IS_VALID.
- Clique em OK.
-
-
Configure o balanceamento de carga. Você deve configurar um servidor virtual de balanceamento de carga por servidor STA. Caso contrário, as sessões não serão iniciadas.
Para obter detalhes, consulte Configurar o balanceamento de carga básico.
- Crie um servidor virtual de balanceamento de carga.
- Navegue até Traffic Management > Load Balancing > Servers.
- Na página Virtual Servers, clique em Add.
- Em Protocol, selecione HTTP.
- Adicione o endereço IP virtual de balanceamento de carga e, em Port, selecione 80.
- Clique em OK.
- Crie um serviço de balanceamento de carga.
- Navegue até Traffic Management > Load Balancing > Services.
- Em Existing Server, selecione o servidor virtual criado na etapa anterior.
- Em Protocol, selecione HTTP e, em Port, selecione 80.
- Clique em OK e clique em Done.
- Vincule o serviço ao servidor virtual.
- Selecione o servidor virtual criado anteriormente e clique em Edit.
- Em Services and Service Groups, clique em No Load Balancing Virtual Server Service Binding.
- Em Service Binding, selecione o serviço criado anteriormente.
- Clique em Bind.
- Vincule a política de regravação criada anteriormente ao servidor virtual.
- Selecione o servidor virtual criado anteriormente e clique em Edit.
- Em Advanced Settings, clique em Policies e então, na sessão Policies, clique em +.
- Em Choose Policy, selecione Rewrite e em Choose Type, selecione Request.
- Clique em Continuar.
- Em Select Policy, selecione a política de regravação criada anteriormente.
- Clique em Bind.
- Clique em Concluído.
- Configure a persistência para o servidor virtual, se necessário.
- Selecione o servidor virtual criado anteriormente e clique em Edit.
- Em Advanced Settings, clique em Persistence.
- Selecione o tipo de persistência como Others.
- Selecione DESTIP para criar sessões de persistência com base no endereço IP do serviço selecionado pelo servidor virtual (o endereço IP de destino)
- Em IPv4 Netmask, adicione uma máscara de rede igual à do DDC.
- Clique em OK.
- Repita essas etapas para o outro servidor virtual também.
- Crie um servidor virtual de balanceamento de carga.
Mudanças de configuração se o dispositivo Citrix ADC já estiver configurado com o Citrix Virtual Desktops
Se você já configurou o dispositivo Citrix ADC com o Citrix Virtual Desktops, para usar o recurso Secure XML, faça as seguintes alterações de configuração.
- Antes do início da sessão, altere o Security Ticket Authority URL do gateway para usar os FQDNs dos servidores virtuais de balanceamento de carga.
- Verifique se o parâmetro
TrustRequestsSentToTheXmlServicePortestá definido como False. Por padrão, o parâmetroTrustRequestsSentToTheXmlServicePorté definido como False. No entanto, se o cliente já tiver configurado o Citrix ADC para Citrix Virtual Desktops, oTrustRequestsSentToTheXmlServicePortestá definido como Verdadeiro.
- Na GUI do Citrix ADC, navegue até Configuration > Integrate with Citrix Products e clique em XenApp and XenDesktop.
-
Selecione a instância do gateway e clique no ícone de edição.
-
No painel StoreFront, clique no ícone de edição.
- Adicione o Secure Ticket Authority URL.
- Se o recurso XML seguro estiver habilitado, a URL STA deverá ser a URL do serviço de balanceamento de carga.
- Se o recurso XML seguro estiver desativado, a URL STA deverá ser a URL do STA (endereço do DDC) e o parâmetro TrustRequestsSentToTheXmlServicePort no DDC deve ser definido como True.
