配置双因素客户端证书身份验证
您可以配置客户端证书以首先对用户进行身份验证，然后要求用户使用辅助身份验证类型（例如 LDAP 或 RADIUS）登录。在此场景中，客户端证书首先对用户进行身份验证。然后，会出现一个登录页面，用户可以在其中输入其用户名和密码。当安全套接字层 (SSL) 握手完成后，登录序列可以采用以下两种路径之一：
-
既不从证书中提取用户名，也不提取组。登录页面会向用户显示，提示输入有效的登录凭据。NetScaler Gateway 会像正常密码身份验证一样对用户凭据进行身份验证。
-
用户名和组名从客户端证书中提取。如果只提取了用户名，则会向用户显示一个登录页面，其中包含登录名，并且用户无法修改该名称。只有密码字段为空。
NetScaler Gateway 在第二轮身份验证期间提取的组信息将附加到 NetScaler Gateway 从证书中提取的任何组信息（如果有）中。