使用不同域进行身份验证
有些组织制定了相关策略，不允许第三方开发人员或承包商访问生产环境中的已发布资源。本文介绍如何通过使用一个域通过 Citrix Gateway 进行身份验证，从而授予对测试环境中已发布资源的访问权限。然后，您可以使用其他域向 StoreFront 和 Receiver for Web 站点进行身份验证。本文中介绍的通过 Citrix Gateway 进行身份验证支持通过 Receiver for Web 站点登录的用户。此身份验证方法不支持本机桌面或移动 Citrix Receiver 或 Citrix Workspace 应用程序的用户。
设置测试环境
此示例使用名为 production.com 的生产域和名为 development.com 的测试域。
production.com 域
此示例中的 production.com 域设置如下：
- 配置了
production.comLDAP 身份验证策略的 Citrix Gateway。 - 通过网关进行身份验证时，使用 production\testuser1 帐户和密码。
development.com 域
此示例中的 development.com 域设置如下：
- StoreFront、Citrix Virtual Apps and Desktops 和 VDA 都位于
development.com域中。 - 对 Citrix Receiver for Web 站点的身份验证使用 development\testuser1 帐户和密码。
- 两个域之间没有信任关系。
为应用商店配置 Citrix Gateway
要为应用商店配置 Citrix Gateway，请执行以下操作：
- 在 Citrix StoreFront 管理控制台的左侧窗格中选择应用商店，然后在操作窗格中，单击管理 Citrix Gateway。
- 在“管理 Citrix Gateway”屏幕上，单击添加。
-
完成“常规设置”、“安全票据颁发机构”和“身份验证”步骤。
注意：
可能需要添加 DNS 条件转发器，以便两个域中使用的 DNS 服务器可以解析其他域上的 FQDN。Citrix Gateway 必须能够使用其
production.comDNS 服务器解析development.com域上的 STA 服务器 FQDN。StoreFront 还应该能够使用其development.comDNS 服务器解析production.com域上的回调 URL。或者，可以使用解析为 Citrix Gateway 虚拟服务器虚拟 IP (VIP) 的development.comFQDN。
启用 Citrix Gateway 直通
- 在 Citrix StoreFront 管理控制台的左侧窗格中选择应用商店，然后在操作窗格中，单击管理身份验证方法。
- 在“管理身份验证方法”屏幕上，选择从 Citrix Gateway 直通。
- 单击确定。
使用网关配置应用商店以进行远程访问
- 在 Citrix StoreFront 管理控制台的左侧窗格中选择应用商店节点，然后在结果窗格中选择一个应用商店。在操作窗格中，单击配置远程访问设置。
- 选择启用远程访问。
- 确保您已将 Citrix Gateway 注册到您的应用商店。如果您未注册 Citrix Gateway，STA 票据将无法正常工作。
禁用令牌一致性
- 在 Citrix StoreFront 管理控制台的左侧窗格中选择应用商店节点，然后在结果窗格中选择一个应用商店。在操作窗格中，单击配置应用商店设置。
- 在“配置应用商店设置”页面上，选择高级设置。
-
清除要求令牌一致性复选框。有关详细信息，请参阅高级应用商店设置。
- 单击确定。
注意：
“要求令牌一致性”设置默认处于选中（启用）状态。如果禁用此设置，用于 Citrix Gateway 端点分析 (EPA) 的 SmartAccess 功能将停止工作。
禁用 Citrix Gateway 对网站的直通
重要提示：
禁用 Citrix Gateway 直通可防止网站尝试使用从 Citrix Gateway 传递的
production.com域中的不正确凭据。禁用 Citrix Gateway 直通会导致网站提示用户输入凭据。这些凭据与通过 Citrix Gateway 登录时使用的凭据不同。
- 在 Citrix StoreFront 管理控制台的左侧窗格中选择应用商店节点。
- 选择要修改的应用商店。
- 在操作窗格中，单击管理 Receiver for Web 站点。
- 在“身份验证方法”中，清除从 Citrix Gateway 直通。
-
单击确定。
使用 production.com 用户和凭据登录到网关
要进行测试，请使用 production.com 用户和凭据登录到网关。
登录后，系统会提示用户输入 development.com 凭据。
在 StoreFront 中添加受信任域下拉列表（可选）
此设置是可选的，但它可能有助于防止用户在通过 Citrix Gateway 进行身份验证时意外输入错误的域。
如果两个域的用户名相同，则更有可能输入错误的域。新用户可能也习惯于在通过 Citrix Gateway 登录时省略域。然后，当系统提示用户登录 Receiver for Web 站点时，用户可能会忘记为 domain\username 输入第二个域。
- 在 Citrix StoreFront 管理控制台的左侧窗格中选择应用商店，然后在操作窗格中，单击管理身份验证方法。
- 选择用户名和密码旁边的下拉箭头。
- 单击添加以将
development.com添加为受信任域，然后选中在登录页面中显示域列表复选框。 - 单击确定。
注意：
在此身份验证方案中不建议使用浏览器密码缓存。如果用户为两个不同的域帐户设置了不同的密码，密码缓存可能会导致糟糕的体验。
NetScaler® 会话操作策略
- 如果在 Citrix Gateway 会话策略中启用了对 Web 应用程序的单点登录，则 Citrix Gateway 发送到网站的不正确凭据将被忽略，因为您已在网站上禁用了从 Citrix Gateway 直通身份验证方法。无论此选项设置为如何，网站都会提示输入凭据。
-
在 Citrix Gateway 的“客户端体验”和“已发布应用程序”选项卡中填充单点登录条目不会改变本文中描述的行为。
