Konfigurieren von Clientzertifikaten und LDAP-Zwei-Faktor-Authentifizierung

Last published : Oct 14, 2026
Sie können ein sicheres Clientzertifikat mit LDAP-Authentifizierung und -Autorisierung verwenden, z. B. die Verwendung der Smartcard-Authentifizierung mit LDAP. Der Benutzer meldet sich an, und dann wird der Benutzername aus dem Clientzertifikat extrahiert. Das Clientzertifikat ist die primäre Form der Authentifizierung, und LDAP ist die sekundäre Form. Die Clientzertifikat-Authentifizierung muss Vorrang vor der LDAP-Authentifizierungsrichtlinie haben. Wenn Sie die Priorität der Richtlinien festlegen, weisen Sie der Clientzertifikat-Authentifizierungsrichtlinie eine niedrigere Zahl zu als der LDAP-Authentifizierungsrichtlinie.
Um ein Clientzertifikat zu verwenden, müssen Sie eine Unternehmens-Zertifizierungsstelle (CA) haben, wie z. B. Zertifikatdienste in Windows Server 2008, die auf demselben Computer ausgeführt wird, auf dem auch Active Directory ausgeführt wird. Sie können die CA verwenden, um ein Clientzertifikat zu erstellen.
Um ein Clientzertifikat mit LDAP-Authentifizierung und -Autorisierung zu verwenden, muss es ein sicheres Zertifikat sein, das Secure Sockets Layer (SSL) verwendet. Um sichere Clientzertifikate für LDAP zu verwenden, installieren Sie das Clientzertifikat auf dem Benutzergerät und ein entsprechendes Stammzertifikat auf NetScaler Gateway.
Bevor Sie ein Clientzertifikat konfigurieren, führen Sie die folgenden Schritte aus:
  • Erstellen Sie einen virtuellen Server.
  • Erstellen Sie eine LDAP-Authentifizierungsrichtlinie für den LDAP-Server.
  • Legen Sie den Ausdruck für die LDAP-Richtlinie auf den Wert True fest.
Related information
Konfigurieren der Zwei-Faktor-Authentifizierung

So konfigurieren Sie die Clientzertifikat-Authentifizierung mit LDAP

  1. Wählen Sie im Konfigurationsdienstprogramm auf der Registerkarte Konfiguration erweitern NetScaler Gateway \> Richtlinien \ > Authentifizierung.
  2. Klicken Sie im Navigationsbereich unter Authentifizierung auf Cert.
  3. Klicken Sie im Detailbereich auf Hinzufügen.
  4. Geben Sie unter Name einen Namen für die Richtlinie ein.
  5. Wählen Sie unter Authentifizierungstyp die Option Cert aus.
  6. Klicken Sie neben Server auf Neu.
  7. Geben Sie unter „Name“ einen Namen für den Server ein, und klicken Sie dann auf „Erstellen“.
  8. Geben Sie im Dialogfeld „Authentifizierungsserver erstellen“ unter „Name“ den Namen des Servers ein.
  9. Wählen Sie neben „Zwei-Faktor“ die Option „EIN“.
  10. Wählen Sie im Feld „Benutzername“ die Option „Subject:CN“ aus, und klicken Sie dann auf „Erstellen“.
  11. Wählen Sie im Dialogfeld „Authentifizierungsrichtlinie erstellen“ neben „Benannte Ausdrücke“ den Wert „True“ aus, klicken Sie auf „Ausdruck hinzufügen“, klicken Sie auf „Erstellen“ und dann auf „Schließen“.
Nachdem Sie die Zertifikatsauthentifizierungsrichtlinie erstellt haben, binden Sie die Richtlinie an den virtuellen Server. Nachdem Sie die Zertifikatsauthentifizierungsrichtlinie gebunden haben, binden Sie die LDAP-Authentifizierungsrichtlinie an den virtuellen Server.
Wichtig:
Sie müssen die Zertifikatsauthentifizierungsrichtlinie an den virtuellen Server binden, bevor Sie die LDAP-Authentifizierungsrichtlinie an den virtuellen Server binden.

So installieren Sie ein Stammzertifikat auf NetScaler Gateway

Nachdem Sie die Zertifikatsauthentifizierungsrichtlinie erstellt haben, laden Sie ein Stammzertifikat von Ihrer Zertifizierungsstelle im Base64-Format herunter, installieren es und speichern es auf Ihrem Computer. Anschließend können Sie das Stammzertifikat auf NetScaler Gateway hochladen.
  1. Erweitern Sie in der Konfigurationsdienstprogramm auf der Registerkarte „Konfiguration“ im Navigationsbereich erweitern SSL und klicken Sie dann auf „Zertifikate“.
  2. Klicken Sie im Detailbereich auf „Installieren“.
  3. Geben Sie unter „Zertifikat - Schlüsselpaarname“ einen Namen für das Zertifikat ein.
  4. Klicken Sie unter „Zertifikatdateiname“ auf „Durchsuchen“ und wählen Sie in der Liste entweder „Appliance“ oder „Lokal“ aus.
  5. Navigieren Sie zum Stammzertifikat, klicken Sie auf „Öffnen“ und dann auf „Installieren“.

So fügen Sie einem virtuellen Server ein Stammzertifikat hinzu

Nach der Installation des Stammzertifikats auf NetScaler Gateway fügen Sie das Zertifikat dem Zertifikatspeicher des virtuellen Servers hinzu.
Wichtig:
Wenn Sie das Stammzertifikat für die Smartcard-Authentifizierung zum virtuellen Server hinzufügen, müssen Sie das Zertifikat aus dem Listenfeld CA-Zertifikat auswählen, wie in der folgenden Abbildung gezeigt.
Abbildung 1. Hinzufügen eines Stammzertifikats als CA
Stammzertifikat hinzufügen
  1. Im Konfigurationsdienstprogramm, auf der Registerkarte Konfiguration, im Navigationsbereich, erweitern NetScaler Gateway und klicken Sie dann auf Virtuelle Server.
  2. Wählen Sie im Detailbereich einen virtuellen Server aus, und klicken Sie dann auf Öffnen.
  3. Wählen Sie auf der Registerkarte Zertifikate unter Verfügbar das Zertifikat aus, klicken Sie neben Hinzufügen in der Liste auf CA, und klicken Sie dann auf OK.
  4. Wiederholen Sie Schritt 2.
  5. Klicken Sie auf der Registerkarte Zertifikate auf SSL-Parameter.
  6. Wählen Sie unter Sonstiges die Clientauthentifizierung aus.
  7. Wählen Sie unter Sonstiges neben Clientzertifikat die Option Optional aus, und klicken Sie dann zweimal auf OK.
  8. Nachdem Sie das Clientzertifikat konfiguriert haben, testen Sie die Authentifizierung, indem Sie sich mit dem Citrix Secure Access Client bei NetScaler Gateway anmelden. Wenn Sie mehr als ein Zertifikat installiert haben, werden Sie aufgefordert, das richtige Zertifikat auszuwählen. Nachdem Sie das Zertifikat ausgewählt haben, wird der Anmeldebildschirm mit dem Benutzernamen angezeigt, der mit den aus dem Zertifikat erhaltenen Informationen ausgefüllt ist. Geben Sie das Kennwort ein, und klicken Sie dann auf Anmelden.
Wenn der richtige Benutzername nicht im Feld Benutzername auf dem Anmeldebildschirm angezeigt wird, überprüfen Sie die Benutzerkonten und Gruppen in Ihrem LDAP-Verzeichnis. Die auf NetScaler Gateway definierten Gruppen müssen mit denen im LDAP-Verzeichnis übereinstimmen. Konfigurieren Sie in Active Directory Gruppen auf Domänenstamm-Ebene. Wenn Sie Active Directory-Gruppen erstellen, die sich nicht auf Domänenstamm-Ebene befinden, kann dies zu einem falschen Lesen des Clientzertifikats führen.
Wenn sich Benutzer und Gruppen nicht auf der Domänenstamm-Ebene befinden, zeigt die NetScaler Gateway Anmeldeseite den Benutzernamen an, der in Active Directory konfiguriert ist. Wenn Sie beispielsweise in Active Directory einen Ordner namens Benutzer haben und das Zertifikat CN=Benutzer angibt, erscheint auf der Anmeldeseite im Feld Benutzername das Wort Benutzer.
Wenn Sie Ihre Gruppen- und Benutzerkonten nicht auf die Domänenstamm-Ebene verschieben möchten, lassen Sie bei der Konfiguration des Zertifikatsauthentifizierungsservers auf NetScaler Gateway die Felder Benutzername und Gruppenname leer.