配置客户端证书身份验证
登录到 NetScaler Gateway 虚拟服务器的用户也可以根据提供给虚拟服务器的客户端证书属性进行身份验证。客户端证书身份验证还可以与其他身份验证类型（例如 LDAP 或 RADIUS）结合使用，以提供双因素身份验证。
要根据客户端证书属性对用户进行身份验证，必须在虚拟服务器上启用客户端身份验证并请求客户端证书。您必须将根证书绑定到 NetScaler Gateway 上的虚拟服务器。
当用户登录到 NetScaler Gateway 虚拟服务器时，身份验证后，将从证书的指定字段中提取用户名信息。通常，此字段是 Subject:CN。如果成功提取用户名，则用户将进行身份验证。在以下情况下，身份验证会失败。
-
如果用户在安全套接字层 (SSL) 握手期间未提供有效证书。
-
用户名提取失败，身份验证失败。
您可以通过将默认身份验证类型设置为使用客户端证书来根据客户端证书对用户进行身份验证。您还可以创建证书操作，该操作定义在基于客户端 SSL 证书的身份验证期间要执行的操作。
从适用于 Windows 的 Citrix Secure Access 客户端版本 24.8.1.15 和适用于 macOS 的版本 25.11.1.1 开始，在客户端证书身份验证期间，Citrix Secure Access 会根据 NetScaler Gateway 上配置的 CA 证书自动选择客户端证书。在以前的版本中，当存在来自不同证书颁发机构的多个证书时，用户必须通过试错过程来选择正确的证书进行身份验证。
注意：
-
请联系 Citrix 支持 以在 macOS 设备中启用客户端证书的自动选择。
-
App Store 版本的 Citrix Secure Access for macOS 不支持客户端证书的自动选择。
下表说明了不同的客户端证书身份验证场景：
| CA 证书配置 | 客户端证书选项 | Citrix Secure Access™ 的预期行为 |
|---|---|---|
| CA1 配置在 NetScaler Gateway 上 | 来自 CA1 的客户端证书 1 | Citrix Secure Access 自动选择客户端证书，无需用户交互即可进行身份验证。 |
| 来自 CA 1 的客户端证书 1 和客户端证书 2 | Citrix Secure Access 根据最长有效期选择客户端证书，无需用户交互即可进行身份验证。 | |
| CA1 和 CA2 配置在 NetScaler Gateway 上 | 来自 CA 1 或 CA 2 的客户端证书 1 和客户端证书 2 | Citrix Secure Access 根据最长有效期选择客户端证书，无需用户交互即可进行身份验证。 |
| 仅来自 CA1 或 CA2 的 1 个客户端证书 | Citrix Secure Access 自动选择客户端证书，无需用户交互即可进行身份验证。 | |
| 来自 CA1 的客户端证书 1 和来自 CA 2 的客户端证书 2 | Citrix Secure Access 会向用户提示两个客户端证书，用户应根据其要求选择客户端证书。 |
使用 GUI 将客户端证书配置为默认身份验证类型
-
转到 Configuration > NetScaler Gateway，然后单击 Global Settings。
-
在详细信息窗格中，在 Authentication Settings 下，单击 Change authentication CERT settings。
-
根据您的要求，选择 ON 以启用使用证书的双因素身份验证。
-
在 User Name Field 中，选择包含用户名的证书字段类型。
-
在 Group Name Field 中，选择包含组名的证书字段类型。
-
在 Default Authorization Group 中，键入默认组的名称，然后单击 OK。
从客户端证书中提取用户名
如果在 NetScaler Gateway 上启用了客户端证书身份验证，则用户将根据客户端证书的某些属性进行身份验证。身份验证成功后，将从证书中提取用户的用户名或用户和组名。此外，还会应用为该用户指定的策略。