Konfigurieren der Smartcard-Authentifizierung

Last published : Oct 14, 2026
Sie können NetScaler Gateway so konfigurieren, dass eine kryptografische Smartcard zur Authentifizierung von Benutzern verwendet wird.
Um eine Smartcard mit NetScaler Gateway zu konfigurieren, müssen Sie Folgendes tun:
  • Erstellen Sie eine Zertifikatsauthentifizierungsrichtlinie. Weitere Informationen finden Sie unter Konfigurieren der Clientzertifikatsauthentifizierung.
  • Binden Sie die Authentifizierungsrichtlinie an einen virtuellen Server.
  • Fügen Sie das Stammzertifikat der Zertifizierungsstelle (CA), die die Clientzertifikate ausstellt, zu NetScaler Gateway hinzu. Weitere Informationen finden Sie unter So installieren Sie ein Stammzertifikat auf NetScaler Gateway.
    Wichtig:
    Wenn Sie das Stammzertifikat für die Smartcard-Authentifizierung zum virtuellen Server hinzufügen, müssen Sie das Zertifikat aus der Select CA Certificate Liste auswählen.
    Stammzertifikat hinzufügen
Nachdem Sie das Clientzertifikat erstellt haben, können Sie das Zertifikat, auch als Flash bezeichnet, auf die Smartcard schreiben. Wenn Sie diesen Schritt abgeschlossen haben, können Sie die Smartcard testen.
Wenn Sie StoreFront™ für die Smartcard-Passthrough-Authentifizierung konfigurieren und eine der folgenden Bedingungen zutrifft, schlägt die einmalige Anmeldung bei StoreFront fehl:
  • Wenn Sie die Domäne auf der Registerkarte Veröffentlichte Anwendungen als mydomain.com anstelle von mydomain festlegen.
  • Wenn Sie den Domänennamen auf der Registerkarte Veröffentlichte Anwendungen nicht festlegen und den Befehl wi-sso-split-upn ausführen, der den Wert auf 1 setzt. In diesem Fall enthält der UserPrincipalName den Domänennamen „mydomain.com“.
Sie können die Smartcard-Authentifizierung verwenden, um den Anmeldevorgang für Ihre Benutzer zu optimieren und gleichzeitig die Sicherheit des Benutzerzugriffs auf Ihre Infrastruktur zu verbessern. Der Zugriff auf das interne Unternehmensnetzwerk wird durch zertifikatbasierte Zwei-Faktor-Authentifizierung unter Verwendung der Public-Key-Infrastruktur geschützt. Private Schlüssel werden durch Hardwarekontrollen geschützt und verlassen niemals die Smartcard. Ihre Benutzer erhalten den Komfort, mit ihren Smartcards und PINs von einer Reihe von Unternehmensgeräten auf ihre Desktops und Anwendungen zuzugreifen.
Sie können Smartcards für die Benutzerauthentifizierung über StoreFront für Desktops und Anwendungen verwenden, die von Citrix Virtual Apps and Desktops bereitgestellt werden. Smartcard-Benutzer, die sich bei StoreFront anmelden, können auch auf Anwendungen zugreifen, die von NetScaler Endpoint Management bereitgestellt werden. Benutzer müssen sich jedoch erneut authentifizieren, um auf Endpoint Management-Webanwendungen zuzugreifen, die die Clientzertifikatsauthentifizierung verwenden.
Weitere Informationen finden Sie unter Smartcard-Authentifizierung konfigurieren in der StoreFront-Dokumentation.
Related information
Konfigurieren der Clientzertifikat-Authentifizierung

Konfigurieren der Smartcard-Authentifizierung mit Secure ICA®-Verbindungen

Benutzer, die sich anmelden und eine sichere ICA-Verbindung mithilfe einer Smartcard mit auf NetScaler Gateway konfiguriertem Single Sign-On herstellen, werden möglicherweise zweimal zur Eingabe ihrer persönlichen Identifikationsnummer (PIN) aufgefordert.
  • Beim Anmelden und beim Versuch, eine veröffentlichte Ressource zu starten. Diese Situation tritt auf, wenn der Webbrowser und die Citrix Workspace-App denselben virtuellen Server verwenden, der für die Verwendung von Clientzertifikaten konfiguriert ist.
  • Die Citrix Workspace-App teilt keinen Prozess oder keine Secure Sockets Layer (SSL)-Verbindung mit dem Webbrowser. Wenn die ICA-Verbindung den SSL-Handshake mit NetScaler Gateway abschließt, ist das Clientzertifikat daher ein zweites Mal erforderlich.
Um zu verhindern, dass Benutzer die zweite PIN-Eingabeaufforderung erhalten, müssen Sie zwei Einstellungen ändern:
  • Die Clientauthentifizierung auf dem VPN Virtual Server muss deaktiviert werden.
  • Die SSL-Neuverhandlung muss aktiviert werden.
Nachdem Sie den virtuellen Server konfiguriert haben, binden Sie einen oder mehrere STA-Server an den virtuellen Server, wie unter Konfigurieren von NetScaler Gateway zur Verarbeitung des STA- und ICA-Datenverkehrs beschrieben.
Möglicherweise möchten Sie auch die Smartcard-Authentifizierung testen.
So deaktivieren Sie die Clientauthentifizierung:
  1. Erweitern Sie in der Konfigurationsdienstprogramm auf der Registerkarte „Konfiguration“ im Navigationsbereich erweitern NetScaler Gateway, und klicken Sie dann auf „Virtuelle Server“.
  2. Wählen Sie den entsprechenden virtuellen Server im Hauptdetailbereich aus, und klicken Sie dann auf „Bearbeiten“.
  3. Klicken Sie im Bereich „Erweiterte Optionen“ auf „SSL-Parameter“.
  4. Deaktivieren Sie das Kontrollkästchen „Clientauthentifizierung“.
  5. Klicken Sie auf Fertig.
So aktivieren Sie die SSL-Neuverhandlung:
  1. Navigieren Sie im Konfigurationsprogramm auf der Registerkarte Konfiguration zu Traffic Management, und klicken Sie dann auf SSL.
  2. Klicken Sie im Hauptbereich auf Erweiterte SSL-Einstellungen ändern.
  3. Wählen Sie im Menü SSL-Neuverhandlung verweigern die Option NEIN aus.
So testen Sie die Smartcard-Authentifizierung:
  1. Verbinden Sie die Smartcard mit dem Benutzergerät.
  2. Öffnen Sie Ihren Webbrowser und melden Sie sich bei NetScaler Gateway an.