管理安全密钥

重要提示：

• 您必须将此功能与 StoreFront™ 1912 LTSR CU2 或更高版本结合使用。
• The Secure XML feature is only supported on Citrix ADC and Citrix Gateway release 12.1 and later.

注意：

You can manage your Citrix Virtual Apps and Desktops™ deployment using two management consoles: Web Studio (web-based) and Citrix Studio (Windows-based). This article covers only Web Studio. For information about Citrix Studio, see the equivalent article in Citrix Virtual Apps and Desktops 7 2212 or earlier.

此功能允许您仅允许经批准的 StoreFront 和 Citrix Gateway 计算机与 Delivery Controller 通信。启用此功能后，任何不包含密钥的请求都将被阻止。使用此功能可增加一层安全性，以防范源自内部网络的攻击。

使用此功能的通用工作流程如下：

1. 启用 Web Studio 以显示功能设置。

2. 配置您的站点设置。

3. 对 StoreFront 进行设置配置。

4. 对 Citrix ADC 进行设置配置。

配置站点的相关设置

您可以使用 Web Studio 或 PowerShell 为您的站点配置安全密钥设置。

使用 Web Studio 管理控制台

1. 登录 Web Studio，在左侧窗格中选择 设置。

2. 找到 管理安全密钥 磁贴并单击 编辑。将显示 管理安全密钥 页面。

   管理安全密钥向导(/zh-cn/citrix-virtual-apps-desktops/2407/media/manage-security-key-wizard.png)

3. 单击刷新图标以生成密钥。

   重要提示：

   • 有两个密钥可供使用。您可以对通过 XML 和 STA 端口进行的通信使用相同密钥或不同密钥。我们建议您一次只使用一个密钥。未使用的密钥仅用于密钥轮换。
   • 请勿单击刷新图标来更新已在使用中的密钥。否则，服务将中断。

4. 请选择在何种情况下通信需要密钥：

   • 要求通过 XML 端口进行通信时使用密钥（仅限 StoreFront）。如果选中，则要求使用密钥对通过 XML 端口进行的通信进行身份验证。StoreFront 通过此端口与 Citrix Cloud 进行通信。有关更改 XML 端口的信息，请参阅知识中心文章 CTX127945。

   • 要求通过 STA 端口进行通信时使用密钥。如果选中，则要求使用密钥对通过 STA 端口进行的通信进行身份验证。Citrix Gateway 和 StoreFront 通过此端口与 Citrix Cloud 进行通信。有关更改 STA 端口的信息，请参阅知识中心文章 CTX101988。

5. 单击 保存 以应用更改并关闭窗口。

使用 PowerShell 命令提示符

以下是与 Web Studio 操作等效的 PowerShell 命令行步骤。

1. 运行 Citrix 虚拟应用和桌面 远程 PowerShell 软件开发工具包。

2. 在命令窗口中，运行以下命令：
   • Add-PSSnapIn Citrix*
3. 运行以下命令以生成密钥并设置 Key1：
   • New-BrokerXmlServiceKey
   • Set-BrokerSite -XmlServiceKey1 <the key you generated>
4. 运行以下命令以生成密钥并设置 Key2：
   • New-BrokerXmlServiceKey
   • Set-BrokerSite -XmlServiceKey2 <the key you generated>
5. 运行以下一个或两个命令，以启用密钥在通信身份验证中的使用：
   • 要通过 XML 端口验证通信：
     • Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
   • 要通过 STA 端口验证通信：
     • Set-BrokerSite -RequireXmlServiceKeyForSta $true

有关指导和语法，请参阅 PowerShell 命令帮助。

配置 StoreFront 的相关设置

完成站点的配置后，您需要使用 PowerShell 为 StoreFront 配置相关设置。

On the StoreFront server, run the following PowerShell commands:

$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->

请为以下各项参数输入适当的值：

• Path to store
• Resource feed name
• secret

要配置用于通过 STA 端口进行通信的密钥，请使用 New-STFSecureTicketAuthority 和 Set-STFRoamingGateway 命令。例如：

$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->

请为以下各项参数输入适当的值：

• Gateway name
• STA URL
• Secret

有关指导和语法，请参阅 PowerShell 命令帮助。

配置 Citrix 应用交付控制器的设置

注意：

除非您使用 Citrix ADC 作为网关，否则无需为 Citrix ADC 配置此功能。如果您使用 Citrix ADC，请按照以下步骤操作：

1. 请确保以下先决条件配置已正确设置并准备就绪：

   • 已配置以下 Citrix ADC 相关 IP 地址。
     • 用于访问 Citrix ADC 控制台的 Citrix ADC 管理 IP (NSIP) 地址。有关详细信息，请参阅 配置 NSIP 地址。

     

     • 用于在 Citrix ADC 设备和后端服务器之间启用通信的子网 IP (SNIP) 地址。有关详细信息，请参阅 配置子网 IP 地址。
     • Citrix Gateway 虚拟 IP 地址和负载均衡器虚拟 IP 地址，用于登录 ADC 设备以启动会话。有关详细信息，请参阅 创建虚拟服务器。

     

   • Citrix ADC 设备中所需的模式和功能已启用。
     • 要启用这些模式，请在 Citrix ADC GUI 中导航至 系统 > 设置 > 配置模式。
     • 要启用这些功能，请在 Citrix ADC GUI 中导航至 系统 > 设置 > 配置基本功能。
   • 与证书相关的各项配置均已完成。
     • 已创建证书签名请求 (CSR)。有关详细信息，请参阅 创建证书。

     

     • 服务器证书、CA 证书和根证书已安装。有关详细信息，请参阅 安装、链接和更新。

     

     

     • 已为 Citrix 虚拟桌面 创建了 Citrix 网关。通过单击“测试 STA 连接”按钮测试连接，以确认虚拟服务器在线。有关详细信息，请参阅为 Citrix 虚拟应用和桌面 设置 Citrix ADC。

     

2. 添加重写操作。有关详细信息，请参阅配置重写操作。

   1. 转到 应用专家 > 重写 > 操作。
   2. 单击“添加”以添加新的重写操作。您可以将操作命名为“set Type to INSERT_HTTP_HEADER”。

   

   1. In Type, select INSERT_HTTP_HEADER.
   2. 在 标头名称 对应的输入框中，填写 X-Citrix-XmlServiceKey。
   3. 在“表达式”中，将 <XmlServiceKey1 value> 连同其引号一并添加进去。您可以从 Desktop Delivery Controller™ 配置中复制 XmlServiceKey1 值。

   

3. 添加重写策略。有关详细信息，请参阅配置重写策略。

   1. 转到 应用专家 > 重写 > 策略。

   2. 单击“添加”以添加新策略。

   

   1. 在 操作 中，选择之前步骤中创建的操作。
   2. 在 表达式 中，添加名为 HTTP.REQ.IS_VALID 的表达式。
   3. 单击 确定。

4. 设置负载平衡。必须为每个 STA 服务器配置一个负载平衡虚拟服务器。否则会话将无法启动。

   有关详细信息，请参阅 设置基本负载平衡。

   1. 创建负载平衡虚拟服务器。
      • 转到 流量管理 > 负载平衡 > 服务器。
      • 在 虚拟服务器 页面中，单击 添加。

      

      • 在 协议 中，选择 HTTP。
      • 添加负载平衡虚拟 IP 地址，并在 端口 中选择 80。
      • 单击 确定。
   2. 创建负载平衡服务。
      • 转到 流量管理 > 负载平衡 > 服务。

      

      • 在现有服务器中，选择在上一步中创建的虚拟服务器。
      • 在协议中，选择HTTP；在端口中，选择80。
      • 单击确定，然后单击完成。
   3. 将服务绑定到虚拟服务器。
      • 选择之前创建的虚拟服务器，然后单击编辑。
      • 在服务和服务组中，单击无负载平衡虚拟服务器服务绑定。

      

      • 在服务绑定中，选择之前创建的服务。
      • 单击绑定。
   4. 将之前创建的重写策略绑定到虚拟服务器。
      • 选择之前创建的虚拟服务器，然后单击编辑。
      • 在高级设置中，单击策略，然后在策略部分中单击+。

      

      • 在选择策略中，选择重写；在选择类型中，选择请求。
      • 单击继续。
      • 在 选择策略 中，选择之前创建的重写策略。
      • 单击 绑定。
      • 单击 完成。
   5. 如有必要，为虚拟服务器设置持久性。
      • 选择之前创建的虚拟服务器，然后单击 编辑。
      • 在 高级设置 中，单击 持久性。

      

      • 选择持久性类型为 其他。
      • 选择 DESTIP 以根据虚拟服务器选择的服务（目标 IP 地址）的 IP 地址创建持久性会话
      • 在 IPv4 子网掩码 中，添加与 DDC 相同的网络掩码。
      • 单击 确定。
   6. 对其他虚拟服务器也重复这些步骤。

Configuration changes if the Citrix ADC appliance is already configured with Citrix Virtual Desktops™

如果已使用 Citrix Virtual Desktops 配置 Citrix ADC 设备，则要使用安全 XML 功能，必须进行以下配置更改。

• 在会话启动之前，更改网关的 安全票证颁发机构 URL 以使用负载平衡虚拟服务器的 FQDN。
• 确保 TrustRequestsSentToTheXmlServicePort 参数设置为 False。默认情况下，TrustRequestsSentToTheXmlServicePort 参数设置为 False。但是，如果客户已为 Citrix Virtual Desktops 配置了 Citrix ADC，则 TrustRequestsSentToTheXmlServicePort 设置为 True。

1. In the Citrix ADC GUI, go to Configuration > Integrate with Citrix Products and click XenApp and XenDesktop®.

2. 选择网关实例并单击编辑图标。

   

3. 在 StoreFront 窗格中，单击编辑图标。

   

4. 添加 安全票证颁发机构 URL。
   • 如果启用了 Secure XML 功能，则 STA URL 必须是负载平衡服务的 URL。
   • 如果禁用了 Secure XML 功能，则 STA URL 必须是 STA 的 URL（DDC 的地址），并且 DDC 上的 TrustRequestsSentToTheXmlServicePort 参数必须设置为 True。