Citrix ADC 作为 OAuth SP

January 5, 2021

贡献者:

身份验证、授权和审核流量管理功能支持 OAuth 身份验证，用于对托管在 Google、Facebook 和 Twitter 等应用程序上的应用程序进行身份验证。

注意事项

Citrix ADC 高级版及更高版本才能使解决方案工作。
Citrix ADC 设备上的 OAuth 适用于符合“OpenID 连接 2.0”的所有 SAML IdP。

使用配置实用程序配置 OAuth

配置 OAuth 操作和策略。

导航到安全”>“AAA-应用程序流量”>“策略”>“身份验证”>“高级策略”>“策略，创建以 OAuth 作为操作类型的策略，并将所需的 OAuth 操作与策略关联。
将 OAuth 策略与身份验证虚拟服务器关联。

导航到安全”>“AAA-应用程序流量”>“虚拟服务器，并将 OAuth 策略与身份验证虚拟服务器关联。

注意

可以在 OAuth 响应中提取属性（1 到 16）。目前不评估这些属性。它们被添加以供将来参考。

要使用命令行界面配置 OAuth，请执行以下操作：**

定义 OAuth 操作。

add authentication OAuthAction <name> -authorizationEndpoint <URL> -tokenEndpoint <URL> [-idtokenDecryptEndpoint <URL>] -clientID <string> -clientSecret <string> [-defaultAuthenticationGroup <string>][-tenantID <string>][-GraphEndpoint <string>][-refreshInterval <positive_integer>] [-CertEndpoint <string>][-audience <string>][-userNameField <string>][-skewTime <mins>][-issuer <string>][-Attribute1 <string>][-Attribute2 <string>][-Attribute3 <string>]...

将操作与高级身份验证策略相关联。
```
add authentication Policy** <name> -rule <expression> -action <string>
```
示例：

add authentication oauthAction a -authorizationEndpoint https://example.com/ -tokenEndpoint https://example.com/ -clientiD sadf -clientsecret df

有关验证 OAuthaction 参数的更多信息，请参阅身份验证操作。

注意

指定 certendPoint 后，Citrix ADC 设备将以配置的频率轮询该终端节点以了解密钥。

要将 Citrix ADC 配置为从该文件读取本地文件和解析密钥，引入了一个新的配置选项，如下所示：

set authentication OAuthAction <> -\*\*CertFilePath\*\* <path to local file with jwks>

OAuth 功能现在支持令牌 API 中从信赖方 (RP) 端以及 Citrix Gateway 和 Citrix ADC 的 IdP 端的以下功能。

PKCE（代码交换的证明密钥）支持
支持 client_assertion

OAuth 身份验证的名称-值属性支持

现在，您可以使用唯一名称和值配置 OAuth 身份验证属性。名称在 OAuth 操作参数中配置为“属性”，并通过查询名称获取值。提取的属性存储在身份验证、授权和审核会话中。管理员可以根据指定属性名称的选择方法使用 http.req.user.attribute("attribute name") 或 http.req.user.attribute(1) 查询这些属性。

通过指定属性的名称，管理员可以轻松地搜索与该属性名称关联的属性值。此外，管理员不再需要单独记住“attribute1 到 attribute16”。

重要

在 OAuth 命令中，您最多可以配置 64 个以逗号分隔的属性，总大小小于 1024 个字节。

注意

如果 “属性 1 到属性 16” 的总值大小和 “属性” 中指定的属性的值不超过 10 KB，则可以避免会话失败。

使用 CLI 配置名称-值属性

在命令提示窗口中，键入：

add authentication OAuthAction <name> [-Attributes <string>]
set authentication OAuthAction <name> [-Attributes <string>]

示例：

add authentication OAuthAction a1 –attributes "email,company" –attribute1 email
set authentication OAuthAction oAuthAct1 -attributes "mail,sn,userprincipalName"

本内容的正式版本为英文版。部分 Citrix 文档内容采用了机器翻译，仅供您参考。Citrix 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Citrix 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Citrix 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Citrix 不承担任何责任。

Citrix ADC 作为 OAuth SP

January 5, 2021

贡献者:

January 5, 2021

贡献者: