配置智能卡身份验证
您可以将 NetScaler Gateway 配置为使用加密智能卡对用户进行身份验证。
要使用 NetScaler Gateway 配置智能卡，您需要执行以下操作：
-
创建证书身份验证策略。有关详细信息，请参阅配置客户端证书身份验证。
-
将身份验证策略绑定到虚拟服务器。
-
将颁发客户端证书的证书颁发机构 (CA) 的根证书添加到 NetScaler Gateway。有关详细信息，请参阅在 NetScaler Gateway 上安装根证书。重要提示：当您将根证书添加到虚拟服务器以进行智能卡身份验证时，您必须从 选择 CA 证书 列表中选择证书。
创建客户端证书后，您可以将该证书（称为闪存）写入智能卡。完成该步骤后，即可测试智能卡。
如果您为 StoreFront™ 配置了智能卡直通身份验证，并且存在以下任一情况，则 StoreFront 的单点登录将失败：
-
如果您在“已发布的应用程序”选项卡上将域设置为
mydomain.com 而不是mydomain。 -
如果您未在“已发布的应用程序”选项卡上设置域名，并且运行命令
wi-sso-split-upn将值设置为 1。在此情况下，UserPrincipalName 包含域名“mydomain.com。”
您可以使用智能卡身份验证来简化用户的登录过程，同时增强用户访问基础架构的安全性。通过使用公钥基础架构的基于证书的双因素身份验证来保护对内部公司网络的访问。私钥受硬件控制保护，并且永远不会离开智能卡。您的用户可以通过智能卡和 PIN 码方便地从各种公司设备访问其桌面和应用程序。
您可以使用智能卡通过 StoreFront 对 Citrix Virtual Apps and Desktops 提供的桌面和应用程序进行用户身份验证。登录 StoreFront 的智能卡用户还可以访问 NetScaler Endpoint Management 提供的应用程序。但是，用户必须再次进行身份验证才能访问使用客户端证书身份验证的 Endpoint Management Web 应用程序。
有关详细信息，请参阅 StoreFront 文档中的 配置智能卡身份验证。
使用 Secure ICA® 连接配置智能卡身份验证
使用智能卡在 NetScaler Gateway 上配置了单点登录并登录和建立安全 ICA 连接的用户，可能会收到两次个人识别码 (PIN) 提示。
-
登录时以及尝试启动已发布的资源时。如果 Web 浏览器和 Citrix Workspace 应用程序使用配置为使用客户端证书的同一虚拟服务器，则会出现此情况。
-
Citrix Workspace 应用程序不与 Web 浏览器共享进程或安全套接字层 (SSL) 连接。因此，当 ICA 连接完成与 NetScaler Gateway 的 SSL 握手时，需要再次提供客户端证书。
为防止用户收到第二次 PIN 提示，您必须更改两个设置：
-
必须禁用 VPN 虚拟服务器上的客户端身份验证。
-
必须启用 SSL 重新协商。
配置虚拟服务器后，按照 配置 NetScaler Gateway 以处理 STA 和 ICA 流量 中所述，将一个或多个 STA 服务器绑定到虚拟服务器。
您可能还需要测试智能卡身份验证。
要禁用客户端身份验证：
-
在配置实用程序中，在“配置”选项卡上的导航窗格中，展开 NetScaler Gateway，然后单击“虚拟服务器”。
-
在主详细信息窗格中选择相关的虚拟服务器，然后单击“编辑”。
-
在“高级选项”窗格中，单击“SSL 参数”。
-
清除“客户端身份验证”复选框。
-
点击完成。
要启用 SSL 重新协商：
-
使用配置实用程序，从“配置”选项卡导航到“流量管理”，然后点击“SSL”。
-
在主面板中，点击“更改高级 SSL 设置”。
-
从“拒绝 SSL 重新协商”菜单中，选择“否”。
要测试智能卡身份验证：
-
将智能卡连接到用户设备。
-
打开您的 Web 浏览器并登录到 NetScaler Gateway。