从 Citrix 网关直通
当使用 Citrix Gateway 远程访问应用商店时，通常会将其配置为用户必须首先在网关进行身份验证。为避免 StoreFront 需要重新对用户进行身份验证，您可以启用从 Citrix Gateway 直通身份验证。这有三种变体：
- 网关将 Active Directory 用户名和密码传递给 StoreFront，StoreFront 使用它们对用户进行身份验证。
- 网关将 Active Directory 用户名传递给 StoreFront，但不传递密码。StoreFront 配置为信任网关，并且不对用户进行身份验证。
- 网关将 Entra ID 访问令牌传递给 StoreFront。StoreFront 配置为信任网关，并且不对用户进行身份验证。StoreFront 使用 Microsoft Graph API 查找用户信息。
首次配置对应用商店的远程访问时，从 Citrix Gateway 直通身份验证方法会自动启用。有关通过 Citrix Gateway 访问配置 StoreFront 的详细信息，请参阅 配置 Citrix Gateway。
支持的 Citrix Gateway 身份验证方法
StoreFront 支持通过以下 Citrix Gateway 身份验证方法进行直通：
- 域 用户使用其 Active Directory 用户名和密码登录。
- RSA 用户使用由安全令牌生成的令牌代码（有时与个人识别码结合）派生的密码登录。如果您仅通过安全令牌启用直通身份验证，请确保您提供的资源不需要额外或替代的身份验证形式，例如用户的 Microsoft Active Directory 域凭据。
- 智能卡 用户使用与其 Active Directory 帐户关联的智能卡登录。
- RSA + 域 用户使用其域凭据和安全令牌密码登录。
-
SAML 用户被重定向到第三方 IdP 以通过 SAML 登录。SAML 断言必须包含用户 Active Directory 帐户的 UPN。有关详细信息，请参阅 将 NetScaler 用作 SAML SP。
- 要使用 Entra ID 配置 SAML，请参阅 将 Microsoft Entra ID 配置为 SAML 身份提供商并将 NetScaler 配置为 SAML 服务提供商。用户必须具有混合身份。StoreFront 在使用 SAML 时不支持纯 Entra ID 身份。
- 使用 Entra ID 的 OIDC 用户被重定向到 Microsoft Entra ID 进行身份验证。用户可以是纯 Entra ID 身份，也可以是混合身份。有关详细信息，请参阅 使用 OIDC 进行 Entra ID 身份验证。
为了实现直通，在会话配置文件中，您必须选择“Web 应用程序的单点登录”。如果您已禁用此设置，或者未将网关用于身份验证，则不使用“从 Citrix Gateway 直通”身份验证，您必须配置其他 StoreFront 身份验证方法之一。
双重来源身份验证
如果您为从 Citrix Workspace 应用程序内部访问应用商店的远程用户配置了到 Citrix Gateway 的双源身份验证，则必须在 Citrix Gateway 上创建两个身份验证策略。将 RADIUS（远程身份验证拨号用户服务）配置为主要身份验证方法，将 LDAP（轻量级目录访问协议）配置为辅助方法。修改凭据索引以在会话配置文件中使用辅助身份验证方法，以便将 LDAP 凭据传递给 StoreFront。将 Citrix Gateway 设备添加到 StoreFront 配置时，将登录类型设置为“域和安全令牌”。有关详细信息，请参阅 http://support.citrix.com/article/CTX125364
多域名身份验证
要通过 Citrix Gateway 为 StoreFront 启用多域身份验证，请在每个域的 Citrix Gateway LDAP 身份验证策略中将 SSO 名称属性设置为 userPrincipalName。您可以要求用户在 Citrix Gateway 登录页面上指定一个域，以便确定要使用的相应 LDAP 策略。为连接到 StoreFront 配置 Citrix Gateway 会话配置文件时，请勿指定单点登录域。您必须在每个域之间配置信任关系。确保允许用户从任何域登录 StoreFront，而不是仅限制访问显式信任的域。
启用网关直通功能
要在通过 Workspace 应用程序连接时为应用商店启用或禁用网关直通身份验证，请在 身份验证方法 窗口中勾选或取消勾选“从 Citrix Gateway 直通”。
默认情况下，为应用商店启用 Citrix Gateway 直通身份验证也会为该应用商店的所有网站启用它。您可以在 身份验证方法 选项卡上为特定网站禁用用户名和密码身份验证。
配置受信任的用户域
如果您的 Citrix Gateway 配置为使用 LDAP 身份验证，则可以限制对特定域的访问。
-
在“管理身份验证方法”窗口中，从“从 Citrix Gateway 直通”>“设置”下拉菜单中，选择“配置受信任的域”。
-
选择“仅受信任的域”，然后单击“添加”以输入受信任域的名称。拥有该域帐户的用户能够登录使用身份验证服务的所有应用商店。要修改域名，请在“受信任的域”列表中选择该条目，然后单击“编辑”。要停止域中用户帐户对应用商店的访问，请在列表中选择该域，然后单击“删除”。
您指定域名的方式决定了用户必须输入其凭据的格式。如果您希望用户以域用户名格式输入其凭据，请将 NetBIOS 名称添加到列表中。要要求用户以用户主体名称格式输入其凭据，请将完全限定域名添加到列表中。如果您希望用户能够以域用户名格式和用户主体名称格式输入其凭据，则必须将 NetBIOS 名称和完全限定域名都添加到列表中。
-
如果您配置了多个受信任的域，请从“默认域”列表中选择用户登录时默认选中的域。
-
如果您想在登录页面上列出受信任的域，请选中“在登录页面中显示域列表”复选框。
受信任域屏幕截图(/zh-cn/storefront/current-release/media/stores/authentication/authentication-trusted-domain.png)
委派身份验证
默认情况下，StoreFront 会验证从 Citrix Gateway 接收到的用户名和密码。如果您的 Citrix Gateway 不使用通过 LDAP 的 Active Directory 凭据作为身份验证因素（例如，在使用 SAML 或智能卡时），则必须将 StoreFront 配置为信任网关执行的验证。在这种情况下，务必在配置网关时输入回调 URL，以便 StoreFront 可以验证请求是否来自 Citrix Gateway，请参阅 管理 Citrix Gateway。
-
在“管理身份验证方法”窗口中，从“从 Citrix Gateway 直通”>“设置”下拉菜单中，选择“配置委派身份验证”。
-
选择“将凭据验证完全委派给 Citrix Gateway”。
。
动力壳
To configure the store to delegate authentication to the Citrix Gateway using PowerShell, run cmdlet Set-STFCitrixAGBasicOptions.
- 要将身份验证委派给网关，请将
CredentialValidationMode设置为Auto。 - 要让 StoreFront 验证凭据，请将
CredentialValidationMode设置为Password。
密码验证功能
您可以选择 StoreFront 是自行验证凭据，还是要求交付控制器验证凭据。有关详细信息，请参阅 用户名和密码身份验证 - 密码验证。
如果选择了“将凭据验证完全委派给 Citrix Gateway”，则使用交付控制器验证密码的设置将不起作用。在这种情况下，StoreFront 必须能够在 Active Directory 中查找用户，因此 StoreFront 服务器的域必须始终与用户域具有信任关系。
允许用户在登录时更改过期密码
如果您的 Citrix Gateway 配置为使用 LDAP（用户名和密码）身份验证，则可以配置 NetScaler 以允许在登录时更改过期密码。
- 登录 NetScaler® 管理网站
- 在侧边菜单中，转到“身份验证”>“仪表板”。
- 单击身份验证服务器。
- 在“其他设置”下，勾选“允许更改密码”。
允许用户登录后更改密码
您可以将 StoreFront 配置为允许用户登录后更改其密码。此功能仅在网关使用 LDAP 身份验证且用户通过浏览器（而非本地安装的 Citrix Workspace 应用程序）访问应用商店时可用。
默认的 StoreFront 配置会阻止用户更改其密码，即使密码已过期。如果您决定启用此功能，请确保包含服务器的域的策略不会阻止用户更改其密码。允许用户更改密码会将敏感的安全功能暴露给任何可以访问使用身份验证服务的任何应用商店的人。如果您的组织有安全策略，规定用户密码更改功能仅供内部使用，请确保没有任何应用商店可以从公司网络外部访问。
-
在“管理身份验证方法”窗口中，从“Citrix Gateway 直通”>“设置”下拉菜单中，选择“管理密码选项”
-
要允许用户更改密码，请选中“允许用户更改密码”复选框。
注意：
如果您选择或清除“允许用户更改密码”，这也会影响 用户名和密码 身份验证的“管理密码选项”下的设置。
PowerShell
To modify change password options using PowerShell, run cmdlet Set-STFExplicitCommonOptions.
配置交付控制器™以信任 StoreFront
当 Citrix 网关 配置了 LDAP 身份验证时，它会将凭据传递给 StoreFront。对于其他身份验证方法，StoreFront 无法访问凭据，因此无法向 Citrix Virtual Apps and Desktops 进行身份验证。因此，您必须将 交付控制器 配置为信任来自 StoreFront 的请求，请参阅 Citrix Virtual Apps and Desktops 安全注意事项和最佳实践。
使用 OIDC 的 Entra 身份识别
如果您已为 使用 OIDC 的 Entra ID 身份验证 配置了网关，则必须配置 StoreFront 以读取 NetScaler 网关提供的访问令牌，并在 Microsoft Graph API 中查找用户信息。
- 在“管理身份验证方法”窗口中，从“从 Citrix Gateway 直通”>“设置”下拉菜单中，选择“管理密码选项”
- 选择“已启用”。
- 输入 Entra 租户标识。
- （可选）输入“Graph API URL”。如果未指定，则使用
https://graph.microsoft.com/v1.0。
PowerShell
运行以下 PowerShell，将租户 ID 替换为您的 Entra ID 租户中的 ID，并将 /Citrix/EntraStore 替换为应用商店路径。
$store = Get-STFStoreService /Citrix/EntraStore
$authenticationService = Get-STFAuthenticationService -Store $store
Set-STFEntraIdSettings -AuthenticationService $authenticationService -TenantId "<Your tenant id>" -Enabled $true
<!--NeedCopy-->
单点登录到 VDA
使用 活动目录 凭据
当用户使用 LDAP 身份验证在网关进行身份验证时，网关会将凭据传递给 StoreFront 以进行 VDA 身份验证，提供单点登录。这不需要额外配置。
使用联合身份验证服务
当用户使用 LDAP 以外的身份验证方法在网关进行身份验证时，StoreFront 无法访问用户的凭据，因此默认情况下无法进行单点登录。您可以配置 联合身份验证服务 以提供单点登录。
使用 Entra ID 身份验证
如果您已将 Citrix Gateway 配置为使用 Entra ID 身份验证，则可以启用 Entra ID 单点登录。此功能需要 StoreFront 2603 或更高版本。有关详细信息，请参阅配置 VDA Entra ID 单点登录。