Share via

Zelfstudie: Integratie van eenmalige aanmelding van Microsoft Entra met Citrix ADC (verificatie op basis van headers)

  • Artikel

In deze zelfstudie leert u hoe u Citrix ADC integreert met Microsoft Entra ID. Wanneer u Citrix ADC integreert met Microsoft Entra ID, kunt u het volgende doen:

  • In Microsoft Entra ID beheren wie toegang heeft tot Citrix ADC.
  • Ervoor zorgen dat gebruikers automatisch met hun Microsoft Entra-account worden aangemeld bij Citrix ADC.
  • Beheer uw accounts op één centrale locatie.

Voorwaarden

U hebt het volgende nodig om aan de slag te gaan:

  • Een Microsoft Entra-abonnement. Als u geen abonnement hebt, kunt u een gratis account krijgen.
  • Een abonnement op Citrix ADC waarvoor eenmalige aanmelding is ingeschakeld.

Beschrijving van scenario

In deze zelfstudie configureert en test u eenmalige aanmelding van Microsoft Entra in een testomgeving. De zelfstudie bevat de volgende scenario's:

Als u Citrix ADC wilt integreren met Microsoft Entra ID, voegt u Citrix ADC eerst toe aan uw lijst met beheerde SaaS-apps vanuit de galerie:

  1. Meld u als cloudtoepassingsbeheerder aan bij het Microsoft Entra-beheercentrum.

  2. Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>>Nieuwe toepassing.

  3. Voer In de sectie Toevoegen uit de galerie Citrix ADC in het zoekvak in.

  4. Selecteer Citrix ADC in de resultaten en voeg vervolgens de app toe. Wacht enkele seconden terwijl de app is toegevoegd aan uw tenant.

U kunt ook de wizard Enterprise App Configuration gebruiken. In deze wizard kunt u een toepassing toevoegen aan uw tenant, gebruikers/groepen toevoegen aan de app, rollen toewijzen en ook de configuratie van eenmalige aanmelding doorlopen. Meer informatie over Microsoft 365-wizards.

Eenmalige aanmelding van Microsoft Entra voor Citrix ADC configureren en testen

Configureer en test eenmalige aanmelding van Microsoft Entra met Citrix ADC met behulp van een testgebruiker met de naam B.Simon. Eenmalige aanmelding werkt alleen als u een koppelingsrelatie tot stand brengt tussen een Microsoft Entra-gebruiker en de bijbehorende gebruiker in Citrix ADC.

Voer de volgende stappen uit om eenmalige aanmelding van Microsoft Entra met Citrix ADC te configureren en te testen:

  1. Configureer eenmalige aanmelding van Microsoft Entra - zodat uw gebruikers deze functie kunnen gebruiken.

    1. Maak een Microsoft Entra-testgebruiker om eenmalige aanmelding van Microsoft Entra met B.Simon te testen.

    2. Wijs de Microsoft Entra-testgebruiker toe om B.Simon in staat te stellen eenmalige aanmelding van Microsoft Entra te gebruiken.

  2. Eenmalige aanmelding voor Citrix ADC configureren : als u de instellingen voor eenmalige aanmelding aan de toepassingszijde wilt configureren.

    • Een Citrix ADC-testgebruiker maken: als u een tegenhanger van B.Simon in Citrix ADC wilt hebben die is gekoppeld aan de Microsoft Entra-weergave van de gebruiker.

  3. Eenmalige aanmelding testen: om te controleren of de configuratie werkt.

Eenmalige aanmelding voor Microsoft Entra configureren

Voer de volgende stappen uit om eenmalige aanmelding van Microsoft Entra in te schakelen met behulp van Azure Portal:

  1. Meld u als cloudtoepassingsbeheerder aan bij het Microsoft Entra-beheercentrum.

  2. Blader naar het deelvenster Integratie van Citrix ADC-toepassingen> van Identity>Applications>Enterprise onder Beheren en selecteer Eenmalige aanmelding.

  3. Selecteer SAML in het deelvenster Een methode voor eenmalige aanmelding selecteren.

  4. Selecteer in het deelvenster Eenmalige aanmelding met SAML instellen het pictogram Pen bewerken voor Standaard SAML-configuratie om de instellingen te bewerken.

    Standaard SAML-configuratie bewerken

  5. In de sectie Standaard SAML-configuratie configureert u de toepassing in de door IDP geïnitieerde modus:

    1. Voer in het tekstvak Id een URL in met het volgende patroon: https://<Your FQDN>

    2. Voer in het tekstvak Antwoord-URL een URL in met het volgende patroon: https://<Your FQDN>/CitrixAuthService/AuthService.asmx

  6. Als u de toepassing in de door SP geïnitieerde modus wilt configureren, selecteert u Extra URL's instellen en voert u de volgende stap uit:

    • Voer in het tekstvak Aanmeldings-URL een URL in met het volgende patroon: https://<Your FQDN>/CitrixAuthService/AuthService.asmx

    Notitie

    • De URL's die in deze sectie worden gebruikt, zijn geen echte waarden. Werk deze waarden bij met de werkelijke waarden voor id, antwoord-URL en aanmeldings-URL. Neem contact op met het ondersteuningsteam van Citrix ADC om deze waarden te verkrijgen. U kunt ook verwijzen naar de patronen die worden weergegeven in de sectie Standaard SAML-configuratie .
    • Als u eenmalige aanmelding wilt instellen, moeten de URL's toegankelijk zijn vanaf openbare websites. U moet de firewall of andere beveiligingsinstellingen aan de Zijde van Citrix ADC inschakelen om Microsoft Entra ID in te schakelen om het token te posten op de geconfigureerde URL.

  7. In het deelvenster Eenmalige aanmelding instellen met SAML , in de sectie SAML-handtekeningcertificaat , kopieert u de URL voor app-federatieve metagegevens en slaat u deze op in Kladblok.

    De downloadkoppeling voor het certificaat

  8. In de Citrix ADC-toepassing worden SAML-asserties in een specifieke indeling verwacht. Hiervoor moet u aangepaste kenmerktoewijzingen toevoegen aan de configuratie van uw SAML-tokenkenmerken. In de volgende schermopname ziet u de lijst met standaardkenmerken. Selecteer het pictogram Bewerken en wijzig de kenmerktoewijzingen.

    De toewijzing van het SAML-kenmerk bewerken

  9. In de Citrix ADC-toepassing worden ook nog enkele kenmerken verwacht die als SAML-antwoord moeten worden doorgestuurd. Voer in het dialoogvenster Gebruikerskenmerken onder Gebruikersclaims de volgende stappen uit om de SAML-tokenkenmerken toe te voegen, zoals wordt weergegeven in de tabel:

    Naam Bronkenmerk
    mySecretID user.userprincipalname

    1. Selecteer Nieuwe claim toevoegen om het dialoogvenster Gebruikersclaims beheren te openen.

    2. Voer in het tekstvak Naam de kenmerknaam in die voor die rij wordt weergegeven.

    3. Laat de naamruimte leeg.

    4. Voor Kenmerk selecteert u Bron.

    5. Voer in de lijst Met bronkenmerken de kenmerkwaarde in die voor die rij wordt weergegeven.

    6. Selecteer OK.

    7. Selecteer Opslaan.

  10. Kopieer in de sectie Citrix ADC instellen de relevante URL's op basis van uw vereisten.

    Configuratie-URL's kopiëren

Een Microsoft Entra-testgebruiker maken

In deze sectie maakt u een testgebruiker met de naam B.Simon.

  1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een gebruikersbeheerder.
  2. Blader naar Identiteitsgebruikers>>Alle gebruikers.
  3. Selecteer Nieuwe gebruiker Nieuwe gebruiker> maken bovenaan het scherm.
  4. Voer in de gebruikerseigenschappen de volgende stappen uit:
    1. Voer in het veld Weergavenaam de tekst in B.Simon.
    2. Voer in het veld User Principal Name de username@companydomain.extensionnaam in. Bijvoorbeeld B.Simon@contoso.com.
    3. Schakel het selectievakje Wachtwoord weergeven in en noteer de waarde die wordt weergegeven in het vak Wachtwoord .
    4. Selecteer Beoordelen en maken.
  5. Selecteer Maken.

De Microsoft Entra-testgebruiker toewijzen

In deze sectie geeft u de gebruiker B.Simon toestemming om eenmalige aanmelding van Azure te gebruiken door de gebruiker toegang te geven tot Citrix ADC.

  1. Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>.

  2. Selecteer Citrix ADC in de lijst met toepassingen.

  3. Selecteer gebruikers en groepen in het app-overzicht onder Beheren.

  4. Selecteer Gebruiker toevoegen. Selecteer vervolgens in het dialoogvenster Toewijzing toevoegen gebruikers en groepen.

  5. Selecteer B.Simon in het dialoogvenster Gebruikers en groepen in de lijst Gebruikers. Kies Selecteren.

  6. Als u verwacht dat een rol wordt toegewezen aan de gebruikers, kunt u deze selecteren in de vervolgkeuzelijst Een rol selecteren. Als er geen rol is ingesteld voor deze app, wordt de rol Standaardtoegang geselecteerd.

  7. Selecteer Toewijzen in het dialoogvenster Toewijzing toevoegen.

Eenmalige aanmelding voor Citrix ADC configureren

Selecteer een koppeling voor de stappen voor het type verificatie dat u wilt configureren:

De webserver publiceren

Een virtuele server maken:

  1. Selecteer Traffic Management>Load Balancing>Services.

  2. Selecteer Toevoegen.

    Citrix ADC-configuratie - Deelvenster Services

  3. Stel de volgende waarden in voor de webserver waarop de toepassingen worden uitgevoerd:

    • Servicenaam

    • Server-IP/bestaande server

    • Protocol

    • Haven

      Citrix ADC-configuratiedeelvenster

De load balancer configureren

De load balancer configureren:

  1. Ga naar Virtuele servers voor verkeersbeheertaakverdeling>>.

  2. Selecteer Toevoegen.

  3. Stel de volgende waarden in zoals beschreven in de volgende schermopname:

    • Naam
    • Protocol
    • IP-adres
    • Haven

  4. Selecteer OK.

    Citrix ADC-configuratie - deelvenster Basisinstellingen

De virtuele server binden

De load balancer verbinden met de virtuele server:

  1. Selecteer in het deelvenster Services en servicegroepen geen taakverdelingsservicebinding voor virtuele server.

    Citrix ADC-configuratie - deelvenster Taakverdeling van servicebinding voor virtuele server

  2. Controleer de instellingen zoals weergegeven in de volgende schermopname en selecteer Vervolgens Sluiten.

    Citrix ADC-configuratie - De binding van de virtuele serverservices controleren

Het certificaat binden

Als u deze service als TLS wilt publiceren, verbindt u het servercertificaat en test u de toepassing:

  1. Selecteer onder Certificaat geen servercertificaat.

    Citrix ADC-configuratie - deelvenster Servercertificaat

  2. Controleer de instellingen zoals weergegeven in de volgende schermopname en selecteer Vervolgens Sluiten.

    Citrix ADC-configuratie - Het certificaat controleren

Citrix ADC SAML-profiel

Voltooi de volgende secties om het Citrix ADC SAML-profiel te configureren:

Een verificatiebeleid maken

Een verificatiebeleid maken:

  1. Ga naar Security>AAA – Verificatiebeleid voor verificatiebeleid> voor toepassingsverkeer.>>

  2. Selecteer Toevoegen.

  3. Voer in het deelvenster Verificatiebeleid maken de volgende waarden in of selecteer deze:

    • Naam: Voer een naam in voor uw verificatiebeleid.
    • Actie: Voer SAML in en selecteer Vervolgens Toevoegen.
    • Expressie: Voer waar in.

    Citrix ADC-configuratie - deelvenster Verificatiebeleid maken

  4. Selecteer Maken.

Een SAML-verificatieserver maken

Als u een verificatie-SAML-server wilt maken, gaat u naar het deelvenster Verificatie SAML-server maken en voert u de volgende stappen uit:

  1. Voer bij Naam een naam in voor de VERIFICATIE SAML-server.

  2. Onder SAML-metagegevens exporteren:

    1. Schakel het selectievakje Metagegevens importeren in.

    2. Voer de URL voor federatieve metagegevens in vanuit de Azure SAML-gebruikersinterface die u eerder hebt gekopieerd.

  3. Voer voor de naam van de verlener de relevante URL in.

  4. Selecteer Maken.

Citrix ADC-configuratie - Deelvenster Verificatie SAML-server maken

Een virtuele verificatieserver maken

Een virtuele verificatieserver maken:

  1. Ga naar Security>AAA - Verificatie>van verificatie van verificatie van toepassingsbeleid>voor verificatie>van virtuele servers.

  2. Selecteer Toevoegen en voer de volgende stappen uit:

    1. Voer bij Naam een naam in voor de virtuele verificatieserver.

    2. Schakel het selectievakje Niet-adresseerbaar in.

    3. Selecteer SSL voor Protocol.

    4. Selecteer OK.

    Citrix ADC-configuratie - Deelvenster Virtuele verificatieserver

De virtuele verificatieserver configureren voor het gebruik van Microsoft Entra-id

Wijzig twee secties voor de virtuele verificatieserver:

  1. Selecteer geen verificatiebeleid in het deelvenster Geavanceerd verificatiebeleid.

    Citrix ADC-configuratie - deelvenster Geavanceerd verificatiebeleid

  2. Selecteer in het deelvenster Beleidsbinding het verificatiebeleid en selecteer Vervolgens Binding.

    Citrix ADC-configuratie - Deelvenster Beleidsbinding

  3. Selecteer geen taakverdeling virtuele server in het deelvenster Virtuele servers op basis van formulieren.

    Citrix ADC-configuratie - deelvenster Virtuele servers op basis van formulieren

  4. Voer voor verificatie-FQDN een FQDN (Fully Qualified Domain Name) in (vereist).

  5. Selecteer de virtuele server voor taakverdeling die u wilt beveiligen met Microsoft Entra-verificatie.

  6. Selecteer Binden.

    Citrix ADC-configuratie - deelvenster Taakverdeling van virtuele serverbinding

    Notitie

    Zorg ervoor dat u Gereed selecteert in het deelvenster Configuratie van de virtuele verificatieserver.

  7. Als u uw wijzigingen wilt controleren, gaat u in een browser naar de URL van de toepassing. U ziet de aanmeldingspagina van uw tenant in plaats van de niet-geverifieerde toegang die u eerder had gezien.

    Citrix ADC-configuratie - Een aanmeldingspagina in een webbrowser

Eenmalige aanmelding voor Citrix ADC configureren voor verificatie op basis van headers

Citrix ADC configureren

Voltooi de volgende secties om Citrix ADC te configureren voor verificatie op basis van headers.

Een herschrijfactie maken

  1. Ga naar AppExpert>Rewrite Rewrite>Actions.

    Citrix ADC-configuratie - Deelvenster Acties herschrijven

  2. Selecteer Toevoegen en voer de volgende stappen uit:

    1. Voer bij Naam een naam in voor de herschrijfactie.

    2. Voer bij Type INSERT_HTTP_HEADER in.

    3. Voer voor headernaam een headernaam in (in dit voorbeeld gebruiken we SecretID).

    4. Voer voor Expressie aaa in . GEBRUIKER. ATTRIBUTE("mySecretID"), waarbij mySecretID de Microsoft Entra SAML-claim is die is verzonden naar Citrix ADC.

    5. Selecteer Maken.

    Citrix ADC-configuratie - Deelvenster Herschrijfactie maken

Een herschrijfbeleid maken

  1. Ga naar AppExpert>Rewrite Rewrite Rewrite>Policies.

    Citrix ADC-configuratie - deelvenster Beleid herschrijven

  2. Selecteer Toevoegen en voer de volgende stappen uit:

    1. Voer bij Naam een naam in voor het herschrijfbeleid.

    2. Selecteer voor Actie de herschrijfactie die u in de vorige sectie hebt gemaakt.

    3. Voer voor Expressie waar in.

    4. Selecteer Maken.

    Citrix ADC-configuratie - Deelvenster Herschrijfbeleid maken

Een herschrijfbeleid binden aan een virtuele server

Een herschrijfbeleid binden aan een virtuele server met behulp van de GUI:

  1. Ga naar Virtuele servers voor verkeersbeheertaakverdeling>>.

  2. Selecteer in de lijst met virtuele servers de virtuele server waaraan u het herschrijfbeleid wilt binden en selecteer vervolgens Openen.

  3. Selecteer In het deelvenster Taakverdeling virtuele server onder Geavanceerde instellingen de optie Beleid. Alle beleidsregels die zijn geconfigureerd voor uw NetScaler-exemplaar, worden weergegeven in de lijst. Citrix ADC-configuratie - deelvenster Taakverdeling van virtuele server

  4. Schakel het selectievakje in naast de naam van het beleid dat u aan deze virtuele server wilt koppelen.

    Citrix ADC-configuratie - deelvenster Taakverdeling van verkeersbeleid voor virtuele server

  5. In het dialoogvenster Type kiezen:

    1. Selecteer Verkeer voor Beleid kiezen.

    2. Selecteer Aanvraag voor Type kiezen.

    Citrix ADC-configuratie - Dialoogvenster Beleid

  6. Selecteer OK. Een bericht op de statusbalk geeft aan dat het beleid is geconfigureerd.

De SAML-server wijzigen om kenmerken uit een claim te extraheren

  1. Ga naar Security>AAA - Application Traffic Policies>>Authentication>Advanced Policies>Actions>Servers.

  2. Selecteer de juiste VERIFICATIE SAML-server voor de toepassing.

    Citrix ADC-configuratie - Deelvenster Verificatie SAML-server configureren

  3. Voer in de pijn kenmerken de SAML-kenmerken in die u wilt extraheren, gescheiden door komma's. In ons voorbeeld voeren we het kenmerk mySecretIDin.

    Citrix ADC-configuratie - deelvenster Kenmerken

  4. Als u de toegang wilt controleren, zoekt u op de URL in een browser naar het SAML-kenmerk onder Headers Collection.

    Citrix ADC-configuratie - Headers Collection op de URL

Een Citrix ADC-testgebruiker maken

In deze sectie wordt een gebruiker met de naam B.Simon gemaakt in Citrix ADC. Citrix ADC biedt ondersteuning voor Just-In-Time-inrichting van gebruikers. Deze functie is standaard ingeschakeld. Er is geen actie die u in deze sectie kunt uitvoeren. Als er nog geen gebruiker in Citrix ADC bestaat, wordt er een nieuwe gemaakt na verificatie.

Notitie

Als u handmatig een gebruiker moet maken, neemt u contact op met het ondersteuningsteam van Citrix ADC.

Eenmalige aanmelding testen

In deze sectie test u de configuratie voor eenmalige aanmelding van Microsoft Entra met de volgende opties.

  • Klik op Deze toepassing testen. U wordt omgeleid naar de aanmeldings-URL van Citrix ADC, waar u de aanmeldingsstroom kunt initiëren.

  • Ga rechtstreeks naar de aanmeldings-URL van Citrix ADC en initieer de aanmeldingsstroom daar.

  • U kunt Microsoft Mijn apps gebruiken. Wanneer u in de Mijn apps op de tegel Citrix ADC klikt, wordt u omgeleid naar de aanmeldings-URL van Citrix ADC. Zie Inleiding tot de Mijn apps voor meer informatie over de Mijn apps.

Volgende stappen

Zodra u Citrix ADC hebt geconfigureerd, kunt u sessiebeheer afdwingen, waardoor exfiltratie en infiltratie van gevoelige gegevens van uw organisatie in realtime worden beschermd. Sessiebeheer is een uitbreiding van voorwaardelijke toegang. Meer informatie over het afdwingen van sessiebeheer met Microsoft Defender voor Cloud Apps.