Benutzeridentitätsverwaltung

Immer mehr Sicherheitsverstöße und die wachsende Beliebtheit mobiler Geräte haben die Notwendigkeit betont, sicherzustellen, dass die Nutzung des externen Internets den Unternehmensrichtlinien entspricht und nur autorisierte Benutzer auf externe Ressourcen zugreifen, die vom Unternehmenspersonal bereitgestellt werden. Identity Management ermöglicht dies, indem die Identität einer Person oder eines Geräts überprüft wird. Es bestimmt nicht, welche Aufgaben der Einzelne übernehmen kann oder welche Dateien der Einzelne sehen kann.

Eine SWG-Bereitstellung (Secure Web Gateway) identifiziert den Benutzer, bevor der Zugriff auf das Internet gewährt wird. Alle Anfragen und Antworten des Benutzers werden überprüft. Benutzeraktivität wird protokolliert, und Datensätze werden zur Berichterstellung in das Citrix Application Delivery Management (ADM) exportiert. In Citrix ADM können Sie die Statistiken zu Benutzeraktivitäten, Transaktionen und Bandbreitenverbrauch anzeigen.

Standardmäßig wird nur die IP-Adresse des Benutzers gespeichert, Sie können jedoch die Citrix SWG-Appliance so konfigurieren, dass weitere Details über den Benutzer aufgezeichnet werden. Mithilfe dieser Identitätsinformationen können Sie für bestimmte Benutzer umfassendere Internetnutzungsrichtlinien erstellen.

Die Citrix ADC-Appliance unterstützt die folgenden Authentifizierungsmodi für eine explizite Proxy-Konfiguration.

• Lightweight Directory Access Protocol (LDAP). Authentifiziert den Benutzer über einen externen LDAP-Authentifizierungsserver. Weitere Informationen finden Sie unter LDAP-Authentifizierungsrichtlinien.
• RADIUS. Authentifiziert den Benutzer über einen externen RADIUS-Server. Weitere Informationen finden Sie unter RADIUS-Authentifizierungsrichtlinien.
• TACACS +. Authentifiziert den Benutzer über einen externen TACACS-Authentifizierungsserver (Terminal Access Controller Access-Control System). Weitere Informationen finden Sie unter Authentifizierungsrichtlinien.
• Verhandeln. Authentifiziert den Benutzer über einen Kerberos-Authentifizierungsserver. Wenn bei der Kerberos-Authentifizierung ein Fehler auftritt, verwendet die Appliance die NTLM-Authentifizierung. Weitere Informationen finden Sie unter Authentifizierungsrichtlinien aushandeln.

Für transparenten Proxy wird derzeit nur IP-basierte LDAP-Authentifizierung unterstützt. Wenn eine Clientanforderung empfangen wird, authentifiziert der Proxy den Benutzer, indem er einen Eintrag für die Client-IP-Adresse im Active Directory überprüft und eine Sitzung basierend auf der IP-Adresse des Benutzers erstellt. Wenn Sie jedoch ssoNameAttribute in einer LDAP-Aktion konfigurieren, wird eine Sitzung mit dem Benutzernamen anstelle der IP-Adresse erstellt. Klassische Richtlinien werden für die Authentifizierung in einem transparenten Proxy-Setup nicht unterstützt.

Hinweis

Für einen expliziten Proxy müssen Sie den LDAP-Anmeldenamen auf sAMAccountName festlegen. Für transparenten Proxy müssen Sie den LDAP-Anmeldenamen auf networkAddress und attribute1 auf sAMAccountName festlegen.

Beispiel für expliziten Proxy:

add authentication ldapAction swg-auth-action-explicit -serverIP 10.105.157.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword freebsd123$ -ldapLoginName sAMAccountName
<!--NeedCopy-->

Beispiel für transparenten Proxy:

add authentication ldapAction swg-auth-action-explicit -serverIP 10.105.157.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword freebsd123$ -ldapLoginName networkAddress -authentication disable -Attribute1 sAMAccountName
<!--NeedCopy-->

Einrichten der Benutzerauthentifizierung mit der Citrix SWG-CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

add authentication vserver <vserver name> SSL

bind ssl vserver <vserver name> -certkeyName <certkey name>

add authentication ldapAction <action name> -serverIP <ip_addr> -ldapBase <string> -ldapBindDn <string> -ldapBindDnPassword -ldapLoginName <string>

add authentication Policy <policy name> -rule <expression> -action <string>

bind authentication vserver <vserver name> -policy <string> -priority <positive_integer>

set cs vserver <name> -authn401 ON -authnVsName <string>
<!--NeedCopy-->

Argumente:

Servername:

Name des virtuellen Authentifizierungsservers, an den die Richtlinie gebunden werden soll.

Maximale Länge: 127

serviceType:

Protokolltyp des virtuellen Authentifizierungsservers. Immer SSL.

Mögliche Werte: SSL

Standardwert: SSL

Name der Aktion:

Name für die neue LDAP-Aktion. Muss mit einem Buchstaben, einer Zahl oder dem Unterstrich (_) beginnen und nur Buchstaben, Zahlen und Bindestrich (-), Punkt (.) Pfund (#), Leerzeichen (), at (@), Gleich (=), Doppelpunkt (:) und Unterstrich enthalten. Kann nicht geändert werden, nachdem die LDAP-Aktion hinzugefügt wurde. Die folgende Anforderung gilt nur für die CLI:

Wenn der Name ein oder mehrere Leerzeichen enthält, schließen Sie den Namen in doppelte oder einfache Anführungszeichen ein (z. B. “Meine Authentifizierungsaktion” oder ‘Meine Authentifizierungsaktion’).

Maximale Länge: 127

serverIP:

IP-Adresse, die dem LDAP-Server zugewiesen ist.

ldapBase:

Basis (Knoten), von dem aus LDAP-Suchen gestartet werden sollen. Wenn der LDAP-Server lokal ausgeführt wird, lautet der Standardwert von base dc = netscaler, dc = com. Maximale Länge: 127

ldapBindDn:

Vollständiger Distinguished Name (DN), der zum Binden an den LDAP-Server verwendet wird.

Standard: cn=Manager,dc=netscaler,dc=com

Maximale Länge: 127

ldapBindDnPassword:

Kennwort für die Bindung an den LDAP-Server.

Maximale Länge: 127

ldapLoginName:

LDAP-Anmeldenamen-Attribut. Die Citrix ADC-Appliance verwendet den LDAP-Anmeldenamen, um externe LDAP-Server oder Active Directories abzufragen. Maximale Länge: 127

Richtlinienname:

Name für die erweiterte Authentifizierungsrichtlinie. Muss mit einem Buchstaben, einer Zahl oder dem Unterstrich (_) beginnen und nur Buchstaben, Zahlen und Bindestrich (-), Punkt (.) Pfund (#), Leerzeichen (), at (@), Gleich (=), Doppelpunkt (:) und Unterstrich enthalten. Kann nicht geändert werden, nachdem die Authentifizierungsrichtlinie erstellt wurde. Die folgende Anforderung gilt nur für die CLI:

Wenn der Name ein oder mehrere Leerzeichen enthält, schließen Sie den Namen in doppelte oder einfache Anführungszeichen ein (z. B. “meine Authentifizierungsrichtlinie” oder ‘meine Authentifizierungsrichtlinie’).

Maximale Länge: 127

rule:

Name der Regel oder eines Standardsyntaxausdrucks, mit dem die Richtlinie bestimmt, ob versucht wird, den Benutzer beim AUTHENTICATION-Server zu authentifizieren.

Maximale Länge: 1499

action:

Name der Authentifizierungsaktion, die ausgeführt werden soll, wenn die Richtlinie übereinstimmt.

Maximale Länge: 127

priority:

Positive Ganzzahl, die die Priorität der Richtlinie angibt. Eine niedrigere Zahl gibt eine höhere Priorität an. Richtlinien werden in der Reihenfolge ihrer Prioritäten ausgewertet, und die erste Richtlinie, die der Anforderung entspricht, wird angewendet. Muss innerhalb der Liste der Richtlinien eindeutig sein, die an den virtuellen Authentifizierungsserver gebunden sind.

Mindestwert: 0

Maximalwert: 4294967295

Beispiel:

add authentication vserver swg-auth-vs SSL

Done

bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey

Done

add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzz -ldapLoginName sAMAccountName

Done

add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit                                                                                   Done

bind authentication vserver swg-auth-vs -policy swg-auth-policy -priority 1

Done

set cs vserver testswg -authn401 ON -authnVsName swg-auth-vs

Done
<!--NeedCopy-->

Aktivieren der Benutzernamenprotokollierung mit der Citrix SWG-CLI

Geben Sie an der Eingabeaufforderung Folgendes ein:

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->

Argumente:

AAAUserName

Aktivieren Sie die AppFlow AAA-Benutzernamenprotokollierung.

Mögliche Werte:ENABLED, DISABLED

Standardwert:DISABLED

Beispiel:

set appflow param -AAAUserName ENABLED
<!--NeedCopy-->