Konfigurieren der Clientzertifikat-Authentifizierung
Benutzer, die sich bei einem NetScaler Gateway Virtual Server anmelden, können auch basierend auf den Clientzertifikatattributen authentifiziert werden, die dem virtuellen Server präsentiert werden. Die Clientzertifikat-Authentifizierung kann auch mit anderen Authentifizierungstypen, wie LDAP oder RADIUS, verwendet werden, um eine Zwei-Faktor-Authentifizierung bereitzustellen.
Um Benutzer basierend auf den clientseitigen Zertifikatattributen zu authentifizieren, muss die Clientauthentifizierung auf dem virtuellen Server aktiviert und das Clientzertifikat angefordert werden. Sie müssen ein Stammzertifikat an den virtuellen Server auf NetScaler Gateway binden.
Wenn sich Benutzer nach der Authentifizierung am NetScaler Gateway Virtual Server anmelden, werden die Benutzernameninformationen aus dem angegebenen Feld des Zertifikats extrahiert. Typischerweise ist dieses Feld Subject:CN. Wenn der Benutzername erfolgreich extrahiert wird, wird der Benutzer authentifiziert. Die Authentifizierung schlägt in den folgenden Fällen fehl.
-
Wenn der Benutzer während des Secure Sockets Layer (SSL)-Handshakes kein gültiges Zertifikat bereitstellt.
-
Schlägt die Extraktion des Benutzernamens fehl, schlägt die Authentifizierung fehl.
Sie können Benutzer basierend auf dem Clientzertifikat authentifizieren, indem Sie den Standardauthentifizierungstyp auf die Verwendung des Clientzertifikats einstellen. Sie können auch eine Zertifikataktion erstellen, die definiert, was während der Authentifizierung basierend auf einem Client-SSL-Zertifikat zu tun ist.
Ab Citrix Secure Access Client für Windows Version 24.8.1.15 und macOS Version 25.11.1.1 wählt Citrix Secure Access während der Clientzertifikat-Authentifizierung das Clientzertifikat automatisch basierend auf den auf NetScaler Gateway konfigurierten CA-Zertifikaten aus. In früheren Versionen mussten Benutzer ein Trial-and-Error-Verfahren anwenden, um das richtige Zertifikat für die Authentifizierung auszuwählen, wenn mehrere Zertifikate von verschiedenen Zertifizierungsstellen vorhanden waren.
Hinweis:
-
Wenden Sie sich an den Citrix Support, um die automatische Auswahl von Clientzertifikaten auf macOS-Geräten zu aktivieren.
-
Die automatische Auswahl von Clientzertifikaten wird in der App Store-Version von Citrix Secure Access für macOS nicht unterstützt.
Die folgende Tabelle veranschaulicht verschiedene Szenarien der Clientzertifikat-Authentifizierung:
| CA-Zertifikatkonfigurationen | Clientzertifikatoptionen | Erwartetes Verhalten von Citrix Secure Access™ |
|---|---|---|
| CA1 ist auf NetScaler Gateway konfiguriert | Clientzertifikat 1 von CA1 | Citrix Secure Access wählt das Clientzertifikat automatisch aus und fährt mit der Authentifizierung ohne Benutzerinteraktion fort. |
| Clientzertifikat 1 und Clientzertifikat 2 von CA 1 | Citrix Secure Access wählt das Clientzertifikat basierend auf der maximalen Ablaufzeit aus und fährt mit der Authentifizierung ohne Benutzerinteraktion fort. | |
| CA1 und CA2 sind auf NetScaler Gateway konfiguriert | Clientzertifikat 1 und Clientzertifikat 2 entweder von CA 1 oder CA 2 | Citrix Secure Access wählt das Clientzertifikat basierend auf der maximalen Ablaufzeit aus und fährt mit der Authentifizierung ohne Benutzerinteraktion fort. |
| Nur 1 Clientzertifikat entweder von CA1 oder CA2 | Citrix Secure Access wählt das Clientzertifikat automatisch aus und fährt mit der Authentifizierung ohne Benutzerinteraktion fort. | |
| Clientzertifikat 1 von CA1 und Clientzertifikat 2 von CA 2 | Citrix Secure Access fordert den Benutzer mit beiden Clientzertifikaten auf, und der Benutzer sollte das Clientzertifikat basierend auf seinen Anforderungen auswählen. |
So konfigurieren Sie das Clientzertifikat als Standardauthentifizierungstyp über die GUI
-
Gehen Sie zu Configuration > NetScaler Gateway, und klicken Sie dann auf Global Settings.
-
Klicken Sie im Detailbereich unter Authentication Settings auf Change authentication CERT settings.
-
Wählen Sie ON, um die Zwei-Faktor-Authentifizierung mit dem Zertifikat gemäß Ihren Anforderungen zu aktivieren.
-
Wählen Sie unter User Name Field den Typ des Zertifikatsfelds aus, das die Benutzernamen enthält.
-
Wählen Sie unter Group Name Field den Typ des Zertifikatsfelds aus, das den Gruppennamen enthält.
-
Geben Sie unter Default Authorization Group den Namen der Standardgruppe ein, und klicken Sie dann auf OK.
Extrahieren des Benutzernamens aus dem Clientzertifikat
Wenn die Clientzertifikatsauthentifizierung auf NetScaler Gateway aktiviert ist, werden Benutzer basierend auf bestimmten Attributen des Clientzertifikats authentifiziert. Nach erfolgreicher Authentifizierung werden der Benutzername oder der Benutzer- und Gruppenname des Benutzers aus dem Zertifikat extrahiert. Außerdem werden die für diesen Benutzer angegebenen Richtlinien angewendet.