Application Delivery Management

Microsoft ADFS-Proxy-StyleBook

February 9, 2022

Beitrag von:

Der Microsoft™ ADFS-Proxy spielt eine wichtige Rolle, indem er Single Sign-On-Zugriff sowohl für interne, verbündungsfähige Ressourcen als auch für Cloud-Ressourcen gewährt. Ein Beispiel für Cloud-Ressourcen ist Office 365. Der Zweck des ADFS-Proxyservers besteht darin, Anfragen an ADFS-Server zu empfangen und weiterzuleiten, auf die über das Internet nicht zugegriffen werden kann. ADFS-Proxy ist ein Reverseproxy und befindet sich normalerweise im Umkreisnetzwerk (DMZ) Ihrer Organisation. Der ADFS-Proxy spielt eine wichtige Rolle bei der Remotebenutzerkonnektivität und dem Anwendungszugriff.

Citrix ADC verfügt über die präzise Technologie, um sichere Konnektivität, Authentifizierung und Verarbeitung von Verbundidentitäten zu ermöglichen. Die Verwendung von Citrix ADC als ADFS-Proxy vermeidet die Bereitstellung einer zusätzlichen Komponente in der DMZ.

Mit dem Microsoft ADFS Proxy StyleBook in Citrix Application Delivery Management (ADM) können Sie einen ADFS-Proxyserver auf einer Citrix ADC-Instanz konfigurieren.

Das folgende Bild zeigt die Bereitstellung einer Citrix ADC Instanz als ADFS-Proxyserver in der Enterprise DMZ.

Lokalisiertes Bild

Vorteile der Verwendung von Citrix ADC als ADFS-Proxy

Erfolgt sowohl Lastausgleich als auch ADFS-Proxy-Anforderungen
Unterstützt sowohl interne als auch externe Benutzerzugriffsszenarien
Unterstützt umfassende Methoden für die Vorauthentifizierung
Bietet Benutzern eine einmalige Anmeldung
Unterstützt sowohl aktive als auch passive Protokolle
1. Beispiele für aktive Protokoll-Apps sind — Microsoft Outlook, Microsoft Skype for Business
2. Beispiele für passive Protokoll-Apps sind: Microsoft Outlook Web App, Webbrowser
Gehärtetes Gerät für DMZ-basierte Bereitstellung
Mehrwert durch die Verwendung zusätzlicher Citrix ADC Kernfunktionen
1. Content Switching
2. SSL-Abladung
3. Rewrite
4. Sicherheit (Citrix ADC AAA)

Bei aktiven protokollbasierten Szenarien können Sie eine Verbindung zu Office 365 herstellen und Ihre Anmeldeinformationen angeben. Microsoft Federation Gateway kontaktiert den ADFS-Dienst (über ADFS-Proxy) im Auftrag des aktiven Protokollclients. Das Gateway übermittelt die Anmeldeinformationen dann mit der Standardauthentifizierung (401). Citrix ADC behandelt die Clientauthentifizierung vor dem Zugriff auf den ADFS-Dienst. Nach der Authentifizierung stellt der ADFS-Dienst ein SAML-Token für das Federation Gateway bereit. Das Federation Gateway wiederum sendet das Token an Office 365, um Clientzugriff zu ermöglichen.

Für passive Clients erstellt das ADFS-Proxy-StyleBook ein KCD-Benutzerkonto (Kerberos Constrained Delegation). Das KCD-Konto ist für die Kerberos-SSO-Authentifizierung erforderlich, um eine Verbindung mit den ADFS-Servern herzustellen. Das StyleBook generiert auch eine LDAP-Richtlinie und eine Sitzungsrichtlinie. Diese Richtlinien sind später an den virtuellen Citrix ADC AAA-Server gebunden, der die Authentifizierung für passive Clients verarbeitet.

Das StyleBook kann auch sicherstellen, dass die DNS-Server auf dem Citrix ADC für ADFS konfiguriert sind.

Im folgenden Abschnitt zur Konfiguration wird beschrieben, wie Citrix ADC für die Behandlung der aktiven und passiven protokollbasierten Clientauthentifizierung eingerichtet wird.

Konfigurationsdetails

In der folgenden Tabelle sind die Mindestsoftwareversionen aufgeführt, die für die erfolgreiche Bereitstellung dieser Integration erforderlich sind.

Produkt	Erforderliche Mindestversion
Citrix ADC	11.0, Advanced/Premium Lizenz

In den folgenden Anweisungen wird davon ausgegangen, dass Sie bereits die entsprechenden externen und internen DNS-Einträge erstellt haben.

Bereitstellen von Microsoft ADFS Proxy StyleBook-Konfigurationen von Citrix ADM

Die folgenden Anweisungen helfen Ihnen bei der Implementierung des Microsoft ADFS Proxy StyleBook in Ihrem Unternehmensnetzwerk.

So stellen Sie Microsoft ADFS-Proxy StyleBook bereit

Navigieren Sie in Citrix ADM zu Anwendungen > StyleBooks. Auf der Seite StyleBooks werden alle für Ihre Verwendung in Citrix ADM verfügbaren StyleBooks angezeigt.
Scrollen Sie nach unten und suchen Sie das Microsoft ADFS Proxy StyleBook. Klicken Sie auf Konfiguration erstellen. Das StyleBook wird als Benutzeroberfläche geöffnet, auf der Sie die Werte für alle in diesem StyleBook definierten Parameter eingeben können.
Geben Sie Werte für die folgenden Parameter ein:
1. ADFS-Proxybereitstellungsname. Wählen Sie einen Namen für die im Netzwerk bereitgestellte ADFS-Proxy-Konfiguration aus.
2. ADFS-Server-FQDNs oder IPs. Geben Sie die IP-Adressen oder FQDNs (Domänennamen) aller ADFS-Server im Netzwerk ein.
3. ADFS Proxy Public VIP IP. Geben Sie die öffentliche virtuelle IP-Adresse auf dem Citrix ADC ein, der als ADFS-Proxyserver ausgeführt wird.
Geben Sie im Abschnitt ADFS-Proxyzertifikate die Details des SSL-Zertifikats und des Zertifikatsschlüssels ein.

Dieses SSL-Zertifikat ist an alle virtuellen Server gebunden, die auf der Citrix ADC-Instanz erstellt wurden.

Wählen Sie die entsprechenden Dateien aus Ihrem lokalen Speicherordner aus. Sie können auch das Kennwort für den privaten Schlüssel eingeben, um verschlüsselte private Schlüssel im PEM-Format zu laden.

Sie können auch das Kontrollkästchen Erweiterte Zertifikateinstellungen aktivieren. Hier können Sie Details wie Zertifikatablaufbenachrichtigungszeitraum eingeben, den Zertifikatablaufmonitor aktivieren oder deaktivieren.
Optional können Sie das Kontrollkästchen SSL-CA-Zertifikat aktivieren, wenn für das SSL-Zertifikat ein öffentliches Zertifizierungsstellenzertifikat auf Citrix ADC installiert werden muss. Stellen Sie sicher, dass Sie im Abschnitt Erweiterte Zertifikateinstellungendie Option Ist ein Zertifizierungsstellenzertifikat auswählen.
Aktivieren Sie die Authentifizierung für aktive und passive Clients. Geben Sie den DNS-Domänennamen ein, der in Active Directory für die Benutzerauthentifizierung verwendet wird. Anschließend können Sie die Authentifizierung entweder für aktive oder passive Clients oder für beide konfigurieren.
Geben Sie die folgenden Details ein, um die Authentifizierung für aktive Clients zu aktivieren:

Hinweis:

Es ist optional, die Unterstützung für aktive Clients zu konfigurieren.
1. ADFS Proxy Active Authentication VIP. Geben Sie die virtuelle IP-Adresse des virtuellen Authentifizierungsservers auf der Citrix ADC-Instanz ein, in der die aktiven Clients zur Authentifizierung umgeleitet werden.
2. Benutzername des Dienstkontos. Geben Sie den Benutzernamen des Dienstkontos ein, der von Citrix ADC verwendet wird, um Ihre Benutzer im Active Directory zu authentifizieren.
3. Kennwort des Dienstkontos. Geben Sie das Kennwort ein, das von Citrix ADC verwendet wird, um Ihre Benutzer beim Active Directory zu authentifizieren.
Konfigurieren Sie die Authentifizierung für passive Clients, indem Sie die entsprechende Option aktivieren und die LDAP-Einstellungen konfigurieren.

Hinweis:

Es ist optional, die Unterstützung für passive Clients zu konfigurieren.

Geben Sie die folgenden Details ein, um die Authentifizierung für passive Clients zu aktivieren:
1. LDAP-Basis (Active Directory). Geben Sie den Basisdomänennamen für die Domäne ein, in der sich die Benutzerkonten im Active Directory (AD) befinden, um die Authentifizierung zu ermöglichen. Beispiel: dc=netscaler, dc=com
2. LDAP (Active Directory) Bindet DN. Fügen Sie ein Domänenkonto hinzu (unter Verwendung einer E-Mail-Adresse zur Vereinfachung der Konfiguration), das über Berechtigungen zum Durchsuchen der AD-Struktur verfügt. Beispiel: cn=Manager,dc=netscaler,dc=com
3. LDAP (Active Directory) Bindet DN Kennwort. Geben Sie das Kennwort des Domänenkontos für die Authentifizierung ein.
  
  Einige andere Felder, die Sie in die Werte in diesem Abschnitt eingeben müssen, sind wie folgt:
4. LDAP-Server-IP (Active Directory). Geben Sie die IP-Adresse des Active Directory Servers ein, damit die AD-Authentifizierung ordnungsgemäß funktioniert.
5. **FQDN-Name des LDAP-Servers** Geben Sie den FQDN-Namen des Active Directory Servers ein. Der FQDN-Name ist optional. Geben Sie die IP-Adresse wie in Schritt 1 oder den FQDN-Namen an.
6. LDAP-Server-Active Directory Port. Standardmäßig sind die TCP- und UDP-Ports für das LDAP-Protokoll 389, während der TCP-Port für Secure LDAP 636 ist.
7. LDAP-Anmeldebenutzername (Active Directory). Geben Sie den Benutzernamen als samAccountname ein.
8. ADFS Proxy Passive Authentifizierung VIP. Geben Sie die IP-Adresse des virtuellen ADFS-Proxyservers für passive Clients ein.
  
  Hinweis:
  
  Die mit * gekennzeichneten Felder sind Pflichtfelder.
Optional können Sie auch eine DNS-VIP für Ihre DNS-Server konfigurieren.
Klicken Sie auf Zielinstanzen, und wählen Sie die Citrix ADC-Instanzen aus, um diese Microsoft ADFS-Proxykonfiguration bereitzustellen. Klicken Sie auf Erstellen, um die Konfiguration zu erstellen und die Konfiguration auf den ausgewählten Citrix ADC-Instanzen bereitzustellen.

Hinweis

Citrix empfiehlt, vor dem Ausführen der eigentlichen Konfiguration die Option Trockenlauf auszuwählen. Sie können zunächst die Konfigurationsobjekte anzeigen, die vom StyleBook auf den Citrix ADC Zielinstanzen erstellt werden. Sie können dann auf Erstellen klicken, um die Konfiguration auf den ausgewählten Instanzen bereitzustellen.

Erstellte Objekte

Mehrere Konfigurationsobjekte werden erstellt, wenn die ADFS-Proxykonfiguration auf der Citrix ADC-Instanz bereitgestellt wird. In der folgenden Abbildung wird die Liste der erstellten Objekte angezeigt.

Lokalisiertes Bild

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Microsoft ADFS-Proxy-StyleBook

February 9, 2022

Beitrag von:

February 9, 2022

Beitrag von:

In diesem Artikel

Vorteile der Verwendung von Citrix ADC als ADFS-Proxy