管理安全密钥

May 31, 2026

投稿者:

重要提示：

您必须将此功能与 StoreFront™ 1912 LTSR CU2 或更高版本结合使用。

安全 XML 功能仅在思杰 ADC 和思杰网关 12.1 及更高版本上受支持。

注意：

You can manage your Citrix Virtual Apps and Desktops™ deployment using two management consoles: Web Studio (web-based) and Citrix Studio (Windows-based). This article covers only Web Studio. For information about Citrix Studio, see the equivalent article in Citrix Virtual Apps and Desktops 7 2212 or earlier.

此功能允许您仅允许经批准的 StoreFront 和 Citrix Gateway 计算机与 Delivery Controller 通信。启用此功能后，任何不包含密钥的请求都将被阻止。使用此功能可增加一层额外的安全性，以防范源自内部网络的攻击。

使用此功能的通用工作流程如下：

启用 Web Studio 以显示功能设置。
配置您的站点的设置。
对 StoreFront 进行设置配置。
配置 Citrix ADC 的相关设置。

配置站点的相关设置

您可以使用 Web Studio 或 PowerShell 为您的站点配置安全密钥设置。

使用 Web Studio 管理界面

登录 Web Studio，在左侧窗格中选择设置。
找到 管理安全密钥 磁贴，然后单击编辑。管理安全密钥 页面随即显示。
单击刷新图标以生成密钥。
重要：
- 有两个可用的密钥。您可以对通过 XML 和 STA 端口进行的通信使用相同或不同的密钥。我们建议您一次只使用一个密钥。未使用的密钥仅用于密钥轮换。
- 请勿单击刷新图标来更新已在使用的密钥。如果这样做，将会发生服务中断。
选择密钥在哪些通信中是必需的：
- 通过 XML 端口进行通信需要密钥（仅限 StoreFront）。如果选中，则需要密钥才能通过 XML 端口进行身份验证通信。StoreFront 通过此端口与 Citrix Cloud 通信。有关更改 XML 端口的信息，请参阅知识中心文章 CTX127945。
- 通过 STA 端口进行通信需要密钥。如果选中，则需要密钥才能通过 STA 端口进行身份验证通信。Citrix Gateway 和 StoreFront 通过此端口与 Citrix Cloud 通信。有关更改 STA 端口的信息，请参阅知识中心文章 CTX101988。
单击 Save 以应用更改并关闭窗口。

Use PowerShell

以下 PowerShell 步骤与 Web Studio 中的操作功能等效。

运行思杰虚拟应用和桌面远程 PowerShell SDK。
在命令窗口中，运行以下命令：
- Add-PSSnapIn Citrix*
运行以下命令以生成密钥并设置 Key1：
- New-BrokerXmlServiceKey
- Set-BrokerSite -XmlServiceKey1 <the key you generated>
运行以下命令以生成密钥并设置 Key2：
- New-BrokerXmlServiceKey
- Set-BrokerSite -XmlServiceKey2 <the key you generated>
运行以下一个或两个命令，以启用密钥在身份验证通信中的使用：
- 要通过 XML 端口验证通信：
  - Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- 要通过 STA 端口验证通信：
  - Set-BrokerSite -RequireXmlServiceKeyForSta $true

有关指导和语法，请参阅 PowerShell 命令帮助。

配置 StoreFront 的相关设置

完成站点的配置后，您需要使用 PowerShell 为 StoreFront 配置相关设置。

在 StoreFront 服务器上，您需要执行以下 PowerShell 命令：

要配置用于通过 XML 端口进行通信的密钥，请使用命令 [Set-STFStoreFarm

https://developer-docs.citrix.com/zh-cn/storefront-powershell-sdk/current-release/Set-STFStoreFarm.html]。例如：

$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->

请为以下各项参数输入合适的值：

Path to store
Resource feed name
secret

要配置用于通过 STA 端口进行通信的密钥，请使用 New-STFSecureTicketAuthority 和 Set-STFRoamingGateway 命令。例如：

$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->

请为以下各项参数输入合适的值：

Gateway name
STA URL
Secret

有关指导和语法，请参阅 PowerShell 命令帮助。

配置思杰 ADC 的设置

注意：

除非您使用 Citrix ADC 作为网关，否则无需为 Citrix ADC 配置此功能。如果您使用 Citrix ADC，请按照以下步骤操作：

请务必确保以下先决条件配置已正确部署并处于可用状态：
- 已配置以下 Citrix ADC 相关 IP 地址。
  - 用于访问 Citrix ADC 控制台的 Citrix ADC 管理 IP (NSIP) 地址。有关详细信息，请参阅配置 NSIP 地址。
  - 用于启用 Citrix ADC 设备与后端服务器之间通信的子网 IP (SNIP) 地址。有关详细信息，请参阅配置子网 IP 地址。
  - Citrix Gateway 虚拟 IP 地址和负载均衡器虚拟 IP 地址，用于登录 ADC 设备以启动会话。有关详细信息，请参阅创建虚拟服务器。
- Citrix ADC 设备中所需的模式和功能已启用。
  - 要启用这些模式，请在 Citrix ADC GUI 中转到 系统 > 设置 > 配置模式。
  - 要启用这些功能，请在 Citrix ADC GUI 中转到 系统 > 设置 > 配置基本功能。
- 与证书相关的配置已设置完毕。
  - 已创建证书签名请求 (CSR)。有关详细信息，请参阅创建证书。
  - 已安装服务器证书、CA 证书和根证书。有关详细信息，请参阅安装、链接和更新。
  - 已为 Citrix Virtual Desktops 创建 Citrix Gateway。通过单击测试 STA 连接按钮测试连接，以确认虚拟服务器在线。有关详细信息，请参阅(/zh-cn/citrix-adc/current-release/solutions/deploy-xa-xd.html)。
添加重写操作。有关详细信息，请参阅(/zh-cn/citrix-adc/current-release/appexpert/rewrite.html#configuring-a-rewrite-action)。
1. 转至 应用专家 > 重写 > 操作。
2. 单击添加以添加新的重写操作。您可以将该操作命名为“set Type to INSERT_HTTP_HEADER”。
1. 在类型选项中，请选择 INSERT_HTTP_HEADER 这一项。
2. In Header Name, enter X-Citrix-XmlServiceKey.
3. In Expression, add <XmlServiceKey1 value> with the quotes. You can copy the XmlServiceKey1 value from your Desktop Delivery Controller™ configuration.
添加重写策略。有关详细信息，请参阅(/zh-cn/citrix-adc/current-release/appexpert/rewrite.html#configure-rewrite-policy)。
1. 转至 AppExpert > 重写 > 策略。
2. 单击添加以添加新策略。
1. 在“操作”中，选择上一步中创建的操作。
2. In Expression, add HTTP.REQ.IS_VALID.
3. 单击“确定”。
设置负载平衡。您必须为每个 STA 服务器配置一个负载平衡虚拟服务器。否则，会话将无法启动。

有关详细信息，请参阅设置基本负载平衡。
1. 创建负载平衡虚拟服务器。
  - 转至“流量管理 > 负载平衡 > 服务器”。
  - 在“虚拟服务器”页面中，单击“添加”。
  - 在“协议”中，选择“HTTP”。
  - 添加负载平衡虚拟 IP 地址，并在“端口”中选择“80”。
  - 单击“确定”。
2. 创建负载平衡服务。
  - 转至“流量管理 > 负载平衡 > 服务”。
  - 在 现有服务器 中，选择上一步中创建的虚拟服务器。
  - 在协议中，选择 HTTP；在端口中，选择 80。
  - 单击确定，然后单击完成。
3. 将服务绑定到虚拟服务器。
  - 选择之前创建的虚拟服务器，然后单击编辑。
  - 在 服务和服务器组 中，单击 无负载平衡虚拟服务器服务绑定。
  - 在 服务绑定 中，选择之前创建的服务。
  - 单击绑定。
4. 将之前创建的重写策略绑定到虚拟服务器。
  - 选择之前创建的虚拟服务器，然后单击编辑。
  - 在 高级设置 中，单击策略，然后在策略部分单击 +。
  - 在 选择策略 中，选择重写；在 选择类型 中，选择请求。
  - 单击继续。
  - 在 选择策略 中，选择之前创建的重写策略。
  - 单击绑定。
  - 单击完成。
5. 为虚拟服务器设置持久性（如有必要）。
  - 选择之前创建的虚拟服务器，然后单击编辑。
  - 在 高级设置 中，单击 持久性。
  - 将持久性类型选择为其他。
  - 选择 DESTIP 以根据虚拟服务器选择的服务（目标 IP 地址）的 IP 地址创建持久性会话
  - 在 IPv4 子网掩码 中，添加与 DDC 相同的网络掩码。
  - 单击确定。
6. 对另一个虚拟服务器重复这些步骤。

如果 Citrix ADC 设备已配置 Citrix Virtual Desktops™，则需要对配置进行必要的更改

如果您已将 Citrix ADC 设备配置为使用 Citrix Virtual Desktops，则要使用安全 XML 功能，您必须进行以下配置更改。

在会话启动之前，更改网关的 安全票证颁发机构 URL 以使用负载平衡虚拟服务器的 FQDN。
确保将 TrustRequestsSentToTheXmlServicePort 参数设置为 False。默认情况下，TrustRequestsSentToTheXmlServicePort 参数设置为 False。但是，如果客户已为 Citrix Virtual Desktops 配置了 Citrix ADC，则将 TrustRequestsSentToTheXmlServicePort 设置为 True。

在 Citrix ADC 图形用户界面中，导航到 配置 > 与 Citrix 相关产品集成，然后单击 XenApp and XenDesktop®。
选择网关实例并单击编辑图标。
在 StoreFront 窗格中，单击编辑图标。
添加 安全票证颁发机构 URL。
- 如果启用了安全 XML 功能，则 STA URL 必须是负载平衡服务的 URL。
- 如果禁用了安全 XML 功能，则 STA URL 必须是 STA 的 URL（DDC 的地址），并且 DDC 上的 TrustRequestsSentToTheXmlServicePort 参数必须设置为 True。