SAML 单点登录与 Citrix Files

重要:

本文仅适用于未启用 Workspace 的 Endpoint Management 环境。在启用了 Workspace 的环境中, Citrix Files 与 Citrix Workspace 直接集成。

可以将 Endpoint Management 和 Citrix Files 配置为使用安全声明标记语言 (SAML) 来提供对 Citrix Files 移动应用程序的单点登录 (SSO) 访问。此功能包括使用 MDX Service 或 MDX Toolkit 打包的 Citrix Files 应用程序和未打包的 Citrix Files 客户端(例如 Web 站点、Outlook 插件或同步客户端)。

  • 打包的 Citrix Files 应用程序。通过 Citrix Files 移动应用程序登录 Citrix Files 的用户将被重定向到 Secure Hub 进行用户身份验证以及获取 SAML 令牌。成功进行身份验证后,Citrix Files 移动应用程序会将 SAML 令牌发送到 Citrix Files。初始登录后,用户可以通过 SSO 访问 Citrix Files 移动应用程序。还可以将附件从 Citrix Files 附加到 Secure Mail 邮件,而不需要每次都登录。
  • 对于未打包的 Citrix Files 客户端。使用 web 浏览器或其他 Citrix Files 客户端登录 Citrix Files 的用户将被重定向到 Endpoint Management。Endpoint Management 对用户进行身份验证,然后用户获取发送到 Citrix Files 的 SAML 令牌。初始登录后,用户可以通过 SSO 访问 Citrix Files 客户端,而不需要每次都登录。

要将 Endpoint Management 用作 SAML 身份提供程序 (IdP) 来 Citrix Files, 必须将 Endpoint Management 配置为使用 Citrix Files Enterprise, 如本文中所述。或者,可以将 Endpoint Management 配置为只与 StorageZone 连接器一起使用。有关详细信息,请参阅将 Citrix Files 与 Endpoint Management 结合使用

有关详细的参考体系结构图,请参阅体系结构

必备条件

先完成以下必备条件,才能对 Endpoint Management 和 Citrix Files 应用程序配置 SSO:

  • MDX Service 或兼容版本的 MDX Toolkit(适用于 Citrix Files 移动应用程序)。

    有关详细信息,请参阅Endpoint Management 兼容性

  • 兼容版本的 Citrix Files 移动应用程序和 Secure Hub。
  • Citrix Files 管理员帐户。
  • 在 Endpoint Management 与 Citrix Files 之间验证连接。

配置 Citrix Files 访问

为 Citrix Files 设置 SAML 之前,请按如下所示提供 Citrix Files 访问信息:

  1. 在 Endpoint Management Web 控制台中,单击配置 > ShareFile。此时将显示 ShareFile 配置页面。

    “ShareFile”配置屏幕图

  2. 配置以下设置:

    • 域: 键入 Citrix Files 子域名称。例如:example.sharefile.com
    • 分配给交付组: 选择或搜索希望能够对 ShareFile 使用 SSO 的交付组。
    • ShareFile 管理员帐户登录
    • 用户名: 键入 Citrix Files 管理员用户名。此用户必须具有管理员权限。
    • 密码: 键入 Citrix Files 管理员密码。
    • 用户帐户预配:要在 Endpoint Management 中启用用户预配, 请启用此设置。要使用 Citrix Files 用户管理工具进行用户预配,请让此设置保留禁用状态。

    注意:

    如果选定的角色中包含不含 Citrix Files 帐户的用户, 并且您启用了用户帐户预配: Endpoint Management 将自动为该用户预配一个 Citrix Files 帐户。Citrix 建议您使用具有小型成员身份的角色以测试配置。这样可以避免出现许多没有 Citrix Files 帐户的用户的可能性。

  3. 单击测试连接按钮以确认 Citrix Files 管理员帐户的用户名和密码是否可以向指定的 Citrix Files 帐户进行身份验证。

  4. 单击保存。Endpoint Management 与 Citrix Files 同步, 并更新颁发者/实体 ID登录 URLShareFile 的 Citrix Files 设置。

为打包的 Citrix Files MDX 应用程序设置 SAML

以下步骤适用于 iOS 和 Android 应用程序和设备。

  1. 使用 MDX 打包 Citrix Files 移动应用程序。有关详细信息,请参阅 Endpoint Management MDX Service

  2. 在 Endpoint Management 控制台中,上载打包的 Citrix Files 移动应用程序。有关上载 MDX 应用程序的信息,请参阅向 Endpoint Management 中添加 MDX 应用程序

  3. 验证 SAML 设置:使用在上面配置的管理员用户名和密码登录 Citrix Files。

  4. 确认 Citrix Files 和 Endpoint Management 配置了相同的时区。确保 Endpoint Management 按配置的时区显示正确时间。如果不正确,SSO 可能会失败。

验证 Citrix Files 移动应用程序

  1. 在用户设备上,安装和配置 Secure Hub。

  2. 从应用商店中下载并安装 Citrix Files 移动应用程序。

  3. 启动 Citrix Files 移动应用程序。Citrix Files 将启动,但不提示输入用户名和密码。

使用 Secure Mail 验证

  1. 在用户设备上,如果尚未安装和配置 Secure Hub,请进行安装和配置。

  2. 从应用商店下载、安装并设置 Secure Mail。

  3. 打开新的电子邮件窗体,并轻按从 ShareFile 附加。此时将显示可以附加到电子邮件中的文件,但不提示输入用户名或密码。

为其他 Citrix Files 客户端配置 Citrix Gateway

要配置对未打包的 Citrix Files 客户端(例如 Web 站点、Outlook 插件或同步客户端)的访问,请将 Citrix Gateway 配置为支持将 Endpoint Management 用作 SAML 身份提供程序,如下所示。

  • 禁用主页重定向。
  • 创建 Citrix Files 的会话策略和配置文件。
  • 在 Citrix Gateway 虚拟服务器上配置策略。

禁用主页重定向

对通过 /cginfra 路径发出的请求禁用默认行为。执行该操作后,用户将看到最初请求的内部 URL,而非配置的主页。

  1. 编辑用于 Endpoint Management 登录的 Citrix Gateway 虚拟服务器的设置。在 Citrix Gateway 中,转至 Other Settings(其他设置),然后取消选中标签为 Redirect to Home Page(重定向到主页)的复选框。

    Citrix Gateway 屏幕图

  2. ShareFile 下方,键入 Endpoint Management 内部服务器的名称和端口号。

  3. AppController 下,键入您的 Endpoint Management URL。

    此配置授权您向通过 /cginfra 路径输入的 URL 发送请求。

创建 Citrix Files 会话策略并请求配置文件

请配置以下设置以创建 Citrix Files 会话策略并请求配置文件:

  1. 在 Citrix Gateway 配置实用程序的左侧导航窗格中单击 NetScaler Gateway > Policies(策略)> Session(会话)

  2. 创建会话策略。在 Policies(策略)选项卡上,单击 Add(添加)。

  3. Name(名称)字段中,键入 ShareFile_Policy

  4. 单击 + 按钮创建操作。此时将显示 Create NetScaler Gateway Session Profile(创建 NetScaler Gateway 会话配置文件)页面。

    Citrix Gateway 会话配置文件屏幕示意图

    配置以下设置:

    • Name(名称): 键入 ShareFile_Profile
    • 单击 Client Experience(客户端体验)选项卡,然后配置以下设置:
      • Home Page(主页): 键入 none(无)。
      • Session Time-out (mins)(会话超时(分钟)):键入 1
      • Single Sign-on to Web Applications(单点登录到 Web 应用程序): 选择此设置。
      • Credential Index(凭据索引): 单击 PRIMARY(主要)。
    • 单击 Published Applications(已发布的应用程序)选项卡。

    Citrix Gateway 会话配置文件屏幕示意图

    配置以下设置:

    • ICA Proxy(ICA 代理): 单击 ON(开)。
    • Web Interface Address(Web Interface 地址): 键入Endpoint Management 服务器 URL。
    • Single Sign-on Domain(单点登录域): 键入 Active Directory 的域名。

      配置 Citrix Gateway 会话配置文件时,Single Sign-on Domain(单点登录域)的域后缀必须与在 LDAP 中定义的 Endpoint Management 域别名匹配。

  5. 单击 Create(创建)以定义会话配置文件。

  6. 单击 Expression Editor(表达式编辑器)。

    Citrix Gateway 会话配置文件屏幕示意图

    配置以下设置:

    • Value(值): 键入 NSC_FSRD
    • Header Name(标头名称): 键入 COOKIE
  7. 单击 Create(创建),然后单击 Close(关闭)。

    Citrix Gateway 会话配置文件屏幕示意图

在 Citrix Gateway 虚拟服务器上配置策略

在 Citrix Gateway 虚拟服务器上配置以下设置。

  1. 在 Citrix Gateway 配置实用程序的左侧导航窗格中单击 NetScaler Gateway > Virtual Servers(虚拟服务器)。

  2. Details(详细信息)窗格中,单击 Citrix Gateway 虚拟服务器。

  3. 单击编辑

  4. 单击 Configured policies(已配置的策略) > Session policies(会话策略),然后单击 Add binding(添加绑定)。

  5. 选择 ShareFile_Policy

  6. 编辑为选定策略自动生成的 Priority(优先级)编号,以便与列出的任何其他策略相比,其优先级最高(编号最小)。例如:

    “VPN Virtual Server Session Policy Binding”(VPN 虚拟服务器会话策略绑定)屏幕图

  7. 单击 Done(完成),然后保存运行的 Citrix Gateway 配置。

修改 Citrix Files.com SSO 设置

针对 MDX 和非 MDX Citrix Files 应用程序进行以下更改。

重要:

每次在 Endpoint Management 中编辑或重新创建 Citrix Files 应用程序或更改 Citrix Files 设置时,都会在内部应用程序名称后附加一个新数字。因此,您还必须在 Citrix Files Web 站点中更新登录 URL,以反映更新后的应用程序名称。

ShareFile 不再发送 Chrome 或 FireFox 上的引用标头。有关信息,请参阅 发行说明,ShareFile Web 应用程序 v19.17

  1. 以 Citrix Files 管理员身份登录 Citrix Files 帐户https://<subdomain>.sharefile.com()。

  2. 在 Citrix Files Web 界面中,单击 Admin(管理),然后选择 Configure Single Sign-on(配置单点登录)。

  3. 按如下所示编辑 Login URL(登录 URL):

    下面是编辑之前的 Login URL(登录 URL)示例:https://xms.citrix.lab/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1

    “Login URL”(登录 URL)示例图

    • 在 Endpoint Management 服务器 FQDN 前面插入 Citrix Gateway 虚拟服务器的外部 FQDN 和 /cginfra/https/,然后在 Endpoint Management 的 FQDN 后面添加 8443

      下面是编辑后的 URL 示例: https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1

    • 将参数 &app=ShareFile_SAML_SP 更改为内部 Citrix Files 应用程序名称。默认情况下,内部名称为 ShareFile_SAML。但是,每次更改配置时,都会向内部名称附加一个数字(ShareFile_SAML_2ShareFile_SAML_3 等)。

      下面是编辑后的 URL 示例: https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1

    • 向 URL 的末尾添加 &nssso=true

      下面是最终 URL 示例:https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1&nssso=true

  4. Optional Settings(可选设置)下方,选中 Enable Web Authentication(启用 Web 身份验证)复选框。

    “Optional Settings”(可选设置)屏幕图

验证配置

请执行以下配置以验证设置。

  1. 在浏览器中访问 https://<subdomain>sharefile.com/saml/login

    系统会将您重定向到 Citrix Gateway 登录表单。如果未被重定向,请验证前面的配置设置。

  2. 输入所配置的 Citrix Gateway 和 Endpoint Management 环境的用户名和密码。

    此时<subdomain>.sharefile.com将显示您的 Citrix Files 文件夹。如果未显示您的 Citrix Files 文件夹,请确保您输入了正确的登录凭据。