ADC

Benutzeridentitätsverwaltung

February 24, 2022

Beitrag von:

Eine zunehmende Anzahl von Sicherheitsverletzungen und die wachsende Beliebtheit mobiler Geräte haben betont, dass sichergestellt werden muss, dass die Nutzung des externen Internets den Unternehmensrichtlinien entspricht. Nur autorisierten Benutzern muss der Zugriff auf externe Ressourcen gewährt werden, die vom Unternehmenspersonal bereitgestellt werden. Identity Management macht es möglich, indem es die Identität einer Person oder eines Geräts überprüft. Es bestimmt nicht, welche Aufgaben der Einzelne übernehmen kann oder welche Dateien der Einzelne sehen kann.

Eine SSL-Forward-Proxybereitstellung identifiziert den Benutzer, bevor der Zugriff auf das Internet gewährt wird. Alle Anfragen und Antworten des Benutzers werden überprüft. Benutzeraktivität wird protokolliert, und Datensätze werden zur Berichterstellung in das Citrix Application Delivery Management (ADM) exportiert. In Citrix ADM können Sie die Statistiken zu Benutzeraktivitäten, Transaktionen und Bandbreitenverbrauch anzeigen.

Standardmäßig wird nur die IP-Adresse des Benutzers gespeichert, aber Sie können die Funktion so konfigurieren, dass weitere Details über den Benutzer aufgezeichnet werden. Sie können diese Identitätsinformationen verwenden, um umfangreichere Richtlinien zur Internetnutzung für bestimmte Benutzer zu erstellen.

Die Citrix ADC-Appliance unterstützt die folgenden Authentifizierungsmodi für eine explizite Proxy-Konfiguration.

Lightweight Directory Access Protocol (LDAP). Authentifiziert den Benutzer über einen externen LDAP-Authentifizierungsserver. Weitere Informationen finden Sie unter LDAP-Authentifizierungsrichtlinien.
RADIUS. Authentifiziert den Benutzer über einen externen RADIUS-Server. Weitere Informationen finden Sie unter RADIUS-Authentifizierungsrichtlinien.
TACACS +. Authentifiziert den Benutzer über einen externen TACACS-Authentifizierungsserver (Terminal Access Controller Access-Control System). Weitere Informationen finden Sie unter Authentifizierungsrichtlinien.
Verhandeln. Authentifiziert den Benutzer über einen Kerberos-Authentifizierungsserver. Wenn bei der Kerberos-Authentifizierung ein Fehler auftritt, verwendet die Appliance die NTLM-Authentifizierung. Weitere Informationen finden Sie unter Authentifizierungsrichtlinien aushandeln.

Bei transparentem Proxy wird nur IP-basierte LDAP-Authentifizierung unterstützt. Wenn eine Clientanfrage empfangen wird, authentifiziert der Proxy den Benutzer, indem er einen Eintrag für die Client-IP-Adresse im Active Directory überprüft. Es erstellt dann eine Sitzung basierend auf der IP-Adresse des Benutzers. Wenn Sie das ssonameAttribute jedoch in einer LDAP-Aktion konfigurieren, wird eine Sitzung unter Verwendung des Benutzernamens anstelle der IP-Adresse erstellt. Klassische Richtlinien werden für die Authentifizierung in einem transparenten Proxy-Setup nicht unterstützt.

Hinweis:

Für expliziten Proxy müssen Sie den LDAP-Anmeldenamen auf sAMAccountNamefestlegen. Für transparenten Proxy müssen Sie den LDAP-Anmeldenamen auf NetworkAddress und attribute1 auf sAMAccountName festlegen.

Beispiel für expliziten Proxy:

add authentication ldapAction swg-auth-action-explicit -serverIP 10.105.157.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword freebsd123$ -ldapLoginName sAMAccountName
<!--NeedCopy-->

Beispiel für transparenten Proxy:

add authentication ldapAction swg-auth-action-explicit -serverIP 10.105.157.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword freebsd123$ -ldapLoginName networkAddress -authentication disable -Attribute1 sAMAccountName
<!--NeedCopy-->

Einrichten der Benutzerauthentifizierung mit der CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

add authentication vserver <vserver name> SSL

bind ssl vserver <vserver name> -certkeyName <certkey name>

add authentication ldapAction <action name> -serverIP <ip_addr> -ldapBase <string> -ldapBindDn <string> -ldapBindDnPassword -ldapLoginName <string>

add authentication Policy <policy name> -rule <expression> -action <string>

bind authentication vserver <vserver name> -policy <string> -priority <positive_integer>

set cs vserver <name> -authn401 ON -authnVsName <string>
<!--NeedCopy-->

Argumente:

Servername:

Name des virtuellen Authentifizierungsservers, an den die Richtlinie gebunden werden soll.

Maximale Länge: 127

serviceType:

Protokolltyp des virtuellen Authentifizierungsservers. Immer SSL.

Mögliche Werte: SSL

Standardwert: SSL

Name der Aktion:

Name für die neue LDAP-Aktion. Muss mit einem Buchstaben, einer Zahl oder dem Unterstrich (_) beginnen und nur Buchstaben, Zahlen und Bindestrich (-), Punkt (.) Pfund (#), Leerzeichen (), at (@), Gleich (=), Doppelpunkt (:) und Unterstrich enthalten. Kann nicht geändert werden, nachdem die LDAP-Aktion hinzugefügt wurde. Die folgende Anforderung gilt nur für die CLI:

Wenn der Name ein oder mehrere Leerzeichen enthält, schließen Sie den Namen in doppelte oder einfache Anführungszeichen ein (z. B. “Meine Authentifizierungsaktion” oder ‘Meine Authentifizierungsaktion’).

Maximale Länge: 127

serverIP:

IP-Adresse, die dem LDAP-Server zugewiesen ist.

ldapBase:

Basis (Knoten), von dem aus LDAP-Suchen gestartet werden sollen. Wenn der LDAP-Server lokal läuft, ist der Standardwert von base dc=netscaler, dc=com. Maximale Länge: 127

ldapBindDn:

Vollständiger Distinguished Name (DN), der zum Binden an den LDAP-Server verwendet wird.

Standard: cn=Manager, dc=netscaler, dc=com

Maximale Länge: 127

ldapBindDnPassword:

Kennwort für die Bindung an den LDAP-Server.

Maximale Länge: 127

ldapLoginName:

LDAP-Anmeldenamen-Attribut. Die Citrix ADC-Appliance verwendet den LDAP-Anmeldenamen, um externe LDAP-Server oder Active Directories abzufragen. Maximale Länge: 127

Richtlinienname:

Name für die erweiterte Authentifizierungsrichtlinie. Muss mit einem Buchstaben, einer Zahl oder dem Unterstrich (_) beginnen und nur Buchstaben, Zahlen und Bindestrich (-), Punkt (.) Pfund (#), Leerzeichen (), at (@), Gleich (=), Doppelpunkt (:) und Unterstrich enthalten. Kann nicht geändert werden, nachdem eine AUTHENTIFIZIERUNGSrichtlinie erstellt wurde. Die folgende Anforderung gilt nur für die CLI:

Wenn der Name ein oder mehrere Leerzeichen enthält, schließen Sie den Namen in doppelte oder einfache Anführungszeichen ein (z. B. “meine Authentifizierungsrichtlinie” oder ‘meine Authentifizierungsrichtlinie’).

Maximale Länge: 127

rule:

Name der Regel oder eines Standardsyntaxausdrucks, mit dem die Richtlinie bestimmt, ob versucht wird, den Benutzer beim AUTHENTICATION-Server zu authentifizieren.

Maximale Länge: 1499

action:

Name der Authentifizierungsaktion, die ausgeführt werden soll, wenn die Richtlinie übereinstimmt.

Maximale Länge: 127

priority:

Positive Ganzzahl, die die Priorität der Richtlinie angibt. Eine niedrigere Zahl gibt eine höhere Priorität an. Richtlinien werden in der Reihenfolge ihrer Prioritäten ausgewertet, und die erste Richtlinie, die der Anforderung entspricht, wird angewendet. Muss innerhalb der Liste der Richtlinien eindeutig sein, die an den virtuellen Authentifizierungsserver gebunden sind.

Mindestwert: 0

Maximalwert: 4294967295

Beispiel:

add authentication vserver swg-auth-vs SSL

Done

bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey

Done

add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzz -ldapLoginName sAMAccountName

Done

add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit
Done

bind authentication vserver swg-auth-vs -policy swg-auth-policy -priority 1

Done

set cs vserver testswg -authn401 ON -authnVsName swg-auth-vs

Done
<!--NeedCopy-->

Aktivieren der Benutzernamenprotokollierung mit der CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Argumente:

AAAUserName

Aktivieren Sie die AppFlow Authentifizierung, Autorisierung und Auditing-Benutzernamenprotokollierung.

Mögliche Werte: ENABLED, DISABLED

Standardwert: DISABLED

Beispiel:

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Benutzeridentitätsverwaltung

February 24, 2022

Beitrag von:

February 24, 2022

Beitrag von:

In diesem Artikel

Einrichten der Benutzerauthentifizierung mit der CLI
Aktivieren der Benutzernamenprotokollierung mit der CLI