Citrix DaaS

这篇文章已经过机器翻译.放弃

管理安全密钥

January 28, 2025

投稿者:

注意：

您必须将此功能与 StoreFront 1912 LTSR CU2 或更高版本结合使用。

安全 XML 功能仅在 Citrix ADC 和 Citrix Gateway 版本 12.1 及更高版本上受支持。

此功能允许您仅允许已批准的 StoreFront 和 Citrix Gateway 计算机与 Citrix Delivery Controller 通信。开启该功能后，任何不包含 Key 的请求都将被阻止。使用此功能可添加额外的安全层，以防止来自内部网络的攻击。

使用此功能的一般工作流程如下：

在 Studio 中显示安全密钥设置。（使用远程 PowerShell SDK）
配置部署的设置。（使用 Studio 或 Remote PowerShell SDK）。
在 StoreFront 中配置设置。 (使用 PowerShell).
在 Citrix ADC 中配置设置。

配置部署的设置

您可以使用 Studio 或 PowerShell 配置部署设置。

使用 Studio

启用该功能后，导航到 设置 > 管理安全密钥 ，然后单击编辑. 这 管理安全密钥 blade 显示。点击救以应用更改并退出 Blade。

管理安全密钥向导

-priority

有两个密钥可供使用。您可以使用相同密钥或不同的密钥通过 XML 和 STA 端口进行通信。我们建议您一次只使用一个密钥。未使用的 key 仅用于 key 轮换。

请勿单击刷新图标来更新已在使用的密钥。否则，将发生服务中断。

单击刷新图标以生成新密钥。

需要密钥才能通过 XML 端口进行通信（仅限 StoreFront）. 如果选中，则需要密钥来验证通过 XML 端口的通信。 StoreFront 通过此端口与 Citrix Cloud 通信。有关更改 XML 端口的信息，请参阅知识中心文章 CTX127945.

需要密钥才能通过 STA 端口进行通信. 如果选中，则需要密钥来验证通过 STA 端口的通信。 Citrix Gateway 和 StoreFront 通过此端口与 Citrix Cloud 通信。有关更改 STA 端口的信息，请参见知识中心文章 CTX101988.

应用更改后，单击关闭退出 管理安全密钥 叶片。

使用远程 PowerShell SDK

以下是等效于 Studio 中执行的操作的 PowerShell 步骤。

运行远程 PowerShell SDK。
在命令窗口中，运行以下命令：
- Add-PSSnapIn Citrix*
执行以下命令生成 Key 并设置 Key1。
- New-BrokerXmlServiceKey
- Set-BrokerSite -XmlServiceKey1 <the key you generated>
执行以下命令生成 Key 并设置 Key2。
- New-BrokerXmlServiceKey
- Set-BrokerSite -XmlServiceKey2 <the key you generated>
运行以下一个或两个命令，以启用密钥对通信进行身份验证：
- 要验证通过 XML 端口的通信：
  - Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- 要验证通过 STA 端口的通信，请执行以下操作：
  - Set-BrokerSite -RequireXmlServiceKeyForSta $true

有关指南和语法，请参阅 PowerShell 命令帮助。

在 StoreFront 中配置设置

完成部署设置后，您需要使用 PowerShell 在 StoreFront 中配置相关设置。

在 StoreFront 服务器上，运行以下 PowerShell 命令：

要配置通过 XML 端口进行通信的密钥，请使用命令 Set-STFStoreFarm. 例如：

  $store = Get-STFStoreService -VirtualPath [Path to store]
  $farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
  Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
 

为以下参数输入适当的值：

Path to store
Resource feed name
secret

要配置通过 STA 端口进行通信的密钥，请使用 新 STFSecureTicketAuthority 和 Set-STFRoamingGateway 命令。例如：

  $gateway = Get-STFRoamingGateway -Name [Gateway name]
  $sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
  $sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
  Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
 

为以下参数输入适当的值：

Gateway name
STA URL
Secret

有关指南和语法，请参阅 PowerShell 命令帮助。

在 Citrix ADC 中配置设置

注意：

除非您使用 Citrix ADC 作为网关，否则不需要在 Citrix ADC 中配置此功能。如果您使用 Citrix ADC，请按照以下步骤操作。

确保以下先决条件配置已就绪：
- 配置了以下与 Citrix ADC 相关的 IP 地址。
  - 用于访问 Citrix ADC 控制台的 Citrix ADC 管理 IP （NSIP）地址。有关详细信息，请参阅配置 NSIP 地址.
  - 子网 IP （SNIP）地址，用于启用 Citrix ADC 设备与后端服务器之间的通信。有关详细信息，请参阅配置子网 IP 地址.
  - Citrix Gateway 虚拟 IP 地址和负载均衡器虚拟 IP 地址，用于登录 ADC 设备以启动会话。有关详细信息，请参阅创建虚拟服务器.
- Citrix ADC 设备中所需的模式和功能已启用。
  - 要启用这些模式，请在 Citrix ADC GUI 中转到 系统 > 设置 > 配置模式.
  - 要启用这些功能，请在 Citrix ADC GUI 中转到 系统 > 设置 > 配置基本功能.
- 证书相关配置齐全。
  - 创建证书签名请求（CSR）。有关详细信息，请参阅创建证书.
  - 将安装服务器和 CA 证书以及根证书。有关详细信息，请参阅安装、链接和更新.
  - 已为 Citrix DaaS（以前称为 Citrix Virtual Apps and Desktops 服务）创建了 Citrix Gateway。通过单击 测试 STA 连接 按钮确认虚拟服务器处于联机状态。有关详细信息，请参阅为 Citrix Virtual Apps and Desktops 设置 Citrix ADC.
添加重写操作。有关详细信息，请参阅配置 Rewrite 操作.
1. 转到 应用专家 > 重写 > 行动.
2. 点击加以添加新的重写操作。您可以将操作命名为 “set Type to INSERT_HTTP_HEADER”。
1. 在类型选择 INSERT_HTTP_HEADER.
2. 在 标头名称，输入 X-Citrix-XmlServiceKey。
3. 在表达加 <XmlServiceKey1 value> 与引号。您可以从 Desktop Delivery Controller 配置中复制 XmlServiceKey1 值。
添加重写策略。有关详细信息，请参阅配置重写策略.
1. 转到 应用专家 > 重写 > 政策.
2. 点击加以添加新策略。
1. 在行动中，选择在上一步中创建的操作。
2. 在表达中，添加 HTTP。REQ.IS_VALID。
3. 单击 “ 确定”。
设置负载均衡。必须为每个 STA 服务器配置一个负载平衡虚拟服务器。否则，会话将无法启动。

有关详细信息，请参阅设置基本负载均衡.
1. 创建负载平衡虚拟服务器。
  - 转到 流量管理 > 负载均衡 > 服务器.
  - 在 虚拟服务器 页面上，单击加.
  - 在协议选择 HTTP 协议.
  - 添加负载均衡虚拟 IP 地址，然后在港口选择 80.
  - 单击 “ 确定”。
2. 创建负载均衡服务。
  - 转到 流量管理 > 负载均衡 > 服务业.
  - 在 现有服务器，选择在上一步中创建的虚拟服务器。
  - 在协议选择 HTTP 协议 和港口选择 80.
  - 点击还行，然后单击做.
3. 将服务绑定到虚拟服务器。
  - 选择之前创建的虚拟服务器，然后单击编辑.
  - 在 服务和服务组点击 无负载平衡虚拟服务器服务绑定.
  - 在 服务绑定，选择之前创建的 Citrix DaaS。
  - 点击捆.
4. 将之前创建的重写策略绑定到虚拟服务器。
  - 选择之前创建的虚拟服务器，然后单击编辑.
  - 在 高级设置点击政策然后在政策部分单击 +.
  - 在 选择 Policy （策略）选择重写和 选择 Type （类型）选择请求.
  - 点击继续.
  - 在 选择策略中，选择之前创建的重写策略。
  - 点击捆.
  - 单击完成。
5. 如有必要，为虚拟服务器设置持久性。
  - 选择之前创建的虚拟服务器，然后单击编辑.
  - 在 高级设置点击坚持.
  - 选择持久性类型作为别人.
  - 选择 DESTIP 根据虚拟服务器选择的服务的 IP 地址（目标 IP 地址）创建持久性会话
  - 在 IPv4 网络掩码，添加与 DDC 相同的网络掩码。
  - 单击 “ 确定”。
6. 对其他虚拟服务器也重复这些步骤。

如果 Citrix ADC 设备已配置了 Citrix DaaS，则配置更改

如果您已经使用 Citrix DaaS 配置了 Citrix ADC 设备，则要使用安全 XML 功能，必须进行以下配置更改。

在会话启动之前，将 安全票证颁发机构 URL 使用负载平衡虚拟服务器的 FQDN。
确保 TrustRequestsSentToTheXmlServicePort parameter 设置为 False。默认情况下， TrustRequestsSentToTheXmlServicePort parameter 设置为 False。但是，如果客户已经为 Citrix DaaS 配置了 Citrix ADC，则 TrustRequestsSentToTheXmlServicePort 设置为 True。

在 Citrix ADC GUI 中，转到 配置 > 与 Citrix 产品集成 ，然后单击 XenApp 和 XenDesktop.
选择网关实例，然后单击编辑图标。
在 StoreFront 窗格中，单击编辑图标。
添加 Secure Ticket Authority 网址.
- 如果启用了安全 XML 功能，则 STA URL 必须是负载平衡服务的 URL。
- 如果禁用了安全 XML 功能，则 STA URL 必须是 STA 的 URL（DDC 的地址），并且 DDC 上的 TrustRequestsSentToTheXmlServicePort 参数必须设置为 True。

本内容的正式版本为英文版。部分 Cloud Software Group 文档内容采用了机器翻译，仅供您参考。Cloud Software Group 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Cloud Software Group 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Cloud Software Group 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Cloud Software Group 不承担任何责任。

这是否有帮助？

管理安全密钥

January 28, 2025

投稿者:

在本文中

这是否有帮助？