Zelfstudie: Integratie van eenmalige aanmelding van Microsoft Entra met Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID (kerberos-verificatie)

In deze zelfstudie leert u hoe u Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID integreert met Microsoft Entra ID. Wanneer u Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID integreert met Microsoft Entra ID, kunt u het volgende doen:

• In Microsoft Entra ID beheren wie toegang heeft tot Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID.
• Ervoor zorgen dat gebruikers automatisch met hun Microsoft Entra-account worden aangemeld bij Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id.
• Beheer uw accounts op één centrale locatie.

Vereisten

U hebt het volgende nodig om aan de slag te gaan:

• Een Microsoft Entra-abonnement. Als u geen abonnement hebt, kunt u een gratis account krijgen.
• Citrix ADC SAML Verbinding maken or voor een abonnement op Microsoft Entra waarvoor eenmalige aanmelding is ingeschakeld.

Beschrijving van scenario

In deze zelfstudie configureert en test u eenmalige aanmelding van Microsoft Entra in een testomgeving. De zelfstudie omvat deze scenario’s:

• Door SP geïnitieerde eenmalige aanmelding voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id.

• Just-In-Time-inrichting van gebruikers voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID.

• Verificatie op basis van Kerberos voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id.

• Verificatie op basis van headers voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id.

Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID toevoegen vanuit de galerie

Als u Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID wilt integreren met Microsoft Entra ID, voegt u eerst Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID toe aan uw lijst met beheerde SaaS-apps uit de galerie:

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.

2. Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>>Nieuwe toepassing.

3. Voer in de sectie Toevoegen uit de galerie Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id in het zoekvak in.

4. Selecteer in de resultaten Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID en voeg vervolgens de app toe. Wacht enkele seconden tot de app aan de tenant is toegevoegd.

U kunt ook de wizard Enterprise App Configuration gebruiken. In deze wizard kunt u een toepassing toevoegen aan uw tenant, gebruikers/groepen toevoegen aan de app, rollen toewijzen en ook de configuratie van eenmalige aanmelding doorlopen. Meer informatie over Microsoft 365-wizards.

Eenmalige aanmelding van Microsoft Entra configureren en testen voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id

Configureer en test eenmalige aanmelding van Microsoft Entra met Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID met behulp van een testgebruiker met de naam B.Simon. Eenmalige aanmelding werkt alleen als u een koppelingsrelatie tot stand brengt tussen een Microsoft Entra-gebruiker en de bijbehorende gebruiker in Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID.

Voer de volgende stappen uit om eenmalige aanmelding van Microsoft Entra met Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID te configureren en te testen:

1. Configureer eenmalige aanmelding van Microsoft Entra - zodat uw gebruikers deze functie kunnen gebruiken.

   1. Maak een Microsoft Entra-testgebruiker om eenmalige aanmelding van Microsoft Entra met B.Simon te testen.

   2. Wijs de Microsoft Entra-testgebruiker toe om B.Simon in staat te stellen eenmalige aanmelding van Microsoft Entra te gebruiken.

2. Configureer Citrix ADC SAML Verbinding maken or voor Microsoft Entra SSO: als u de instellingen voor eenmalige aanmelding aan de toepassingszijde wilt configureren.

   1. Testgebruiker voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra maken: als u een tegenhanger van B.Simon in Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id wilt hebben die is gekoppeld aan de Microsoft Entra-weergave van de gebruiker.

3. Eenmalige aanmelding testen: om te controleren of de configuratie werkt.

Eenmalige aanmelding voor Microsoft Entra configureren

Voer de volgende stappen uit om eenmalige aanmelding van Microsoft Entra in te schakelen met behulp van Azure Portal:

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.

2. Blader naar Identity>Applications Enterprise-toepassingen>>Citrix ADC SAML Verbinding maken or voor het integratiedeelvenster van microsoft Entra ID-toepassingen, onder Beheren, selecteer Eenmalige aanmelding.

3. Selecteer in het deelvenster Selecteer een methode voor eenmalige aanmelding de optie SAML.

4. Selecteer op de pagina Eenmalige aanmelding instellen met SAML het potloodpictogram voor Standaard-SAML-configuratie om de instellingen te bewerken.

   

5. In de sectie Standaard-SAML-configuratie voert u de volgende stappen uit om de toepassing in de door IDP geïnitieerde modus te configureren:

   1. Typ in het tekstvak Id een URL met het volgende patroon: https://<YOUR_FQDN>

   2. Typ in het tekstvak Antwoord-URL een URL met het volgende patroon: http(s)://<YOUR_FQDN>.of.vserver/cgi/samlauth

6. Als u de toepassing in de door SP geïnitieerde modus wilt configureren, selecteert u Extra URL's instellen en voert u de volgende stap uit:

   • Typ in het tekstvak Aanmeldings-URL een URL met het volgende patroon: https://<YOUR_FQDN>/CitrixAuthService/AuthService.asmx

   Notitie

   • De URL’s die in deze sectie worden gebruikt, zijn geen echte waarden. Werk deze waarden bij met de werkelijke waarden voor Id, Antwoord-URL en Aanmeldings-URL. Neem contact op met het citrix ADC SAML-Verbinding maken or voor het klantondersteuningsteam van Microsoft Entra om deze waarden te verkrijgen. U kunt ook verwijzen naar de patronen die worden weergegeven in de sectie Standaard SAML-configuratie .
   • Om eenmalige aanmelding in te stellen, moeten de URL’s toegankelijk zijn vanaf openbare websites. U moet de firewall of andere beveiligingsinstellingen inschakelen op de Citrix ADC SAML-Verbinding maken or voor Microsoft Entra ID om Microsoft Entra ID in te schakelen om het token te posten op de geconfigureerde URL.

7. Op de pagina Eenmalige aanmelding met SAML instellen in de sectie SAML-handtekeningcertificaat kopieert u de URL bij App-URL voor federatieve metagegevens en slaat u deze op in Kladblok.

   

8. Kopieer in de sectie Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID de relevante URL's op basis van uw vereisten.

   

Een Microsoft Entra-testgebruiker maken

In deze sectie maakt u een testgebruiker met de naam B.Simon.

1. Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een gebruiker Beheer istrator.
2. Blader naar Identiteit>Gebruikers>Alle gebruikers.
3. Selecteer Nieuwe gebruiker Nieuwe gebruiker> maken bovenaan het scherm.
4. Voer in de gebruikerseigenschappen de volgende stappen uit:
   1. Voer in het veld Weergavenaam de tekst in B.Simon.
   2. Voer in het veld User Principal Name de username@companydomain.extensionnaam in. Bijvoorbeeld: B.Simon@contoso.com.
   3. Schakel het selectievakje Wachtwoord weergeven in en noteer de waarde die wordt weergegeven in het vak Wachtwoord.
   4. Selecteer Controleren + maken.
5. Selecteer Maken.

De Microsoft Entra-testgebruiker toewijzen

In deze sectie geeft u de gebruiker B.Simon toestemming om eenmalige aanmelding van Azure te gebruiken door de gebruiker toegang te geven tot Citrix ADC SAML Verbinding maken or voor Microsoft Entra-id.

1. Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>.

2. Selecteer Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID in de lijst met toepassingen.

3. In het app-overzicht onder Beheren selecteert u Gebruikers en groepen.

4. Selecteer Gebruiker toevoegen. Selecteer vervolgens Gebruikers en groepen in het dialoogvenster Toewijzing toevoegen.

5. Selecteer in het dialoogvenster Gebruikers en groepenB.Simon in de lijst Gebruikers. Kies Selecteren.

6. Als u verwacht dat er een rol aan de gebruikers moet worden toegewezen, kunt u de rol selecteren in de vervolgkeuzelijst Selecteer een rol. Als er geen rol is ingesteld voor deze app, wordt de rol Standaardtoegang geselecteerd.

7. Selecteer Toewijzen in het dialoogvenster Toewijzing toevoegen.

Citrix ADC SAML Verbinding maken or configureren voor eenmalige aanmelding van Microsoft Entra

Selecteer een koppeling voor stappen voor het soort verificatie dat u wilt configureren:

• Citrix ADC SAML-Verbinding maken or configureren voor verificatie op basis van Microsoft Entra SSO voor Kerberos

• Citrix ADC SAML Verbinding maken or configureren voor eenmalige aanmelding van Microsoft Entra voor verificatie op basis van headers

De webserver publiceren

Ga als volgt te werk om een virtuele server te maken:

1. Selecteer Verkeersbeheer>Taakverdeling>Services.

2. Selecteer Toevoegen.

   

3. Stel de volgende waarden in voor de webserver die de toepassingen uitvoert:

   • Servicenaam
   • IP-adres van de server/Bestaande server
   • Protocol
   • Poort

De load balancer configureren

Ga als volgt te werk om de load balancer te configureren:

1. Ga naar Verkeersbeheer>Taakverdeling>Virtuele servers.

2. Selecteer Toevoegen.

3. Stel de volgende waarden in zoals beschreven in de volgende schermopname:

   • Naam
   • Protocol
   • IP-adres
   • Poort

4. Selecteer OK.

   

De virtuele server binden

Ga als volgt te werk om de load balancer aan de virtuele server te binden:

1. Selecteer in het deelvenster Services en servicegroepen de optie Geen servicebinding van taakverdelende virtuele server.

   

2. Verifieer de instellingen zoals weergegeven in de volgende schermopname, en selecteer vervolgens Sluiten.

   

Het certificaat binden

Om deze service als TLS te publiceren, bindt u het servercertificaat en test u uw toepassing:

1. Onder Certificaat selecteert u Geen servercertificaat.

   

2. Verifieer de instellingen zoals weergegeven in de volgende schermopname, en selecteer vervolgens Sluiten.

   

Citrix ADC SAML Verbinding maken or voor Microsoft Entra SAML-profiel

Voltooi de volgende secties om het Citrix ADC SAML-Verbinding maken or voor het Microsoft Entra SAML-profiel te configureren.

Een verificatiebeleid maken

Ga als volgt te werk om een verificatiebeleid te maken:

1. Ga naar Beveiliging>AAA – Toepassingsverkeer>Beleidsregels>Verificatie>Verificatiebeleid.

2. Selecteer Toevoegen.

3. Typ of selecteer in het deelvenster Verificatiebeleid maken de volgende waarden:

   • Naam: Voer een naam in voor uw verificatiebeleid.
   • Actie: Voer SAML in en selecteer Vervolgens Toevoegen.
   • Expressie: Voer waar in.

   

4. Selecteer Maken.

Een verificatie-SAML-server maken

Om een verificatie-SAML-server te maken, gaat u naar het deelvenster Verificatie-SAML-server maken en voert u de volgende stappen uit:

1. Bij Naam voert u een naam in voor de verificatie-SAML-server.

2. Doe het volgende onder SAML-metagegevens exporteren:

   1. Schakel het selectievakje Metagegevens importeren in.

   2. Voer de URL voor federatieve metagegevens in die u eerder hebt gekopieerd uit de Azure SAML-gebruikersinterface.

3. Bij Naam van uitgever voert u de relevante URL in.

4. Selecteer Maken.

Een virtuele verificatieserver maken

Ga als volgt te werk om een virtuele verificatieserver te maken:

1. Ga naar Beveiliging>AAA – Toepassingsverkeer>Beleidsregels>Verificatie>Virtuele verificatieservers.

2. Selecteer Toevoegen en voltooi de volgende stappen:

   1. Bij Naam voert u een naam in voor de virtuele verificatieserver.

   2. Schakel het selectievakje Niet-adresseerbaar in.

   3. Bij Protocol selecteert u SSL.

   4. Selecteer OK.

3. Selecteer Doorgaan.

De virtuele verificatieserver configureren voor het gebruik van Microsoft Entra-id

Wijzig de twee secties voor de virtuele verificatieserver:

1. In het deelvenster Geavanceerd verificatiebeleid selecteert u Geen verificatiebeleid.

   

2. In het deelvenster Beleidsbinding selecteert u het verificatiebeleid en selecteert u vervolgens Binden.

   

3. In het deelvenster Formuliergebaseerde virtuele servers selecteert u Geen taakverdelende virtuele server.

   

4. Bij Verificatie-FQDN voert u een Fully Qualified Domain Name (FQDN) in (vereist).

5. Selecteer de virtuele server voor taakverdeling die u wilt beveiligen met Microsoft Entra-verificatie.

6. Selecteer Binden.

   

   Notitie

   Zorg ervoor dat u Gereed selecteert in het deelvenster Configuratie van virtuele verificatieserver.

7. Om uw wijzigingen te verifiëren, gaat u in een browser naar de toepassings-URL. U zou de aanmeldingspagina van uw tenant moeten zien in plaats van de niet-geverifieerde toegang die u eerder zou hebben gezien.

   

Citrix ADC SAML-Verbinding maken or configureren voor verificatie op basis van Microsoft Entra SSO voor Kerberos

Een Kerberos-delegatieaccount maken voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID

1. Maak een gebruikersaccount (in dit voorbeeld gebruiken we AppDelegation).

   

2. Stel de HOST SPN voor dit account in.

   Voorbeeld: setspn -S HOST/AppDelegation.IDENTT.WORK identt\appdelegation

   In dit voorbeeld:

   • IDENTT.WORK is de FQDN van het domein.
   • identt is de NetBIOS-naam van het domein.
   • appdelegation is de naam van het gebruikersaccount voor delegatie.

3. Configureer de delegatie voor de webserver, zoals wordt weergegeven in de volgende schermafbeelding:

   

   Notitie

   In het de schermafbeeldingsvoorbeeld is CWEB2 de naam van de interne webserver waarop de WIA-site (Windows Integrated Authentication) wordt uitgevoerd.

Citrix ADC SAML Verbinding maken or voor Microsoft Entra AAA KCD (Kerberos-delegatieaccounts)

De Citrix ADC SAML-Verbinding maken or configureren voor het KCD-account van Microsoft Entra AAA:

1. Ga naar Citrix-gateway>AAA KCD-accounts (beperkte Kerberos-delegatie).

2. Selecteer Toevoegen en voer de volgende waarden in of selecteer deze:

   • Naam: Voer een naam in voor het KCD-account.

   • Realm: Voer het domein en de extensie in hoofdletters in.

   • SPN van de service: http/<host/fqdn>@<DOMAIN.COM>.

     Notitie

     @DOMAIN.COM is verplicht en moet in hoofdletters zijn. Voorbeeld: http/cweb2@IDENTT.WORK.

   • Gedelegeerde gebruiker: voer de gedelegeerde gebruikersnaam in.

   • Schakel het selectievakje Wachtwoord voor gedelegeerde gebruiker in, voer een wachtwoord in en bevestig dit.

3. Selecteer OK.

   

Beleid voor Citrix-verkeer en -verkeersprofiel

Het Citrix-verkeersbeleid en -verkeersprofiel configureren:

1. Ga naar Beveiliging>AAA – Toepassingsverkeer>Beleidsregels>Verkeersbeleid, Profielen en Formulier Verkeersbeleid SSO-profielen.

2. Selecteer Verkeersprofielen.

3. Selecteer Toevoegen.

4. Als u een verkeersprofiel wilt configureren, voert u de volgende waarden in of selecteert u deze.

   • Naam: Voer een naam in voor het verkeersprofiel.

   • Eenmalige aanmelding: Select ON.

   • KCD-account: selecteer het KCD-account dat u in de vorige sectie hebt gemaakt.

5. Selecteer OK.

   

6. Selecteer Verkeersbeleid.

7. Selecteer Toevoegen.

8. Als u verkeersbeleid wilt configureren, voert u de volgende waarden in of selecteert u deze.

   • Naam: Voer een naam in voor het verkeersbeleid.

   • Profiel: Selecteer het verkeersprofiel dat u in de vorige sectie hebt gemaakt.

   • Expressie: Voer waar in.

9. Selecteer OK.

   

Een verkeersbeleid binden aan een virtuele server in Citrix

Ga als volgt te werk om een verkeersbeleid te binden aan een virtuele server met behulp van de GUI:

1. Ga naar Verkeersbeheer>Taakverdeling>Virtuele servers.

2. In de lijst met virtuele servers selecteert u de virtuele server waaraan u het herschrijfbeleid wilt binden, en vervolgens selecteert u Openen.

3. In het deelvenster Taakverdelende virtuele server onder Geavanceerde instellingen selecteert u Beleidsregels. Alle beleidsregels die voor uw NetScaler-exemplaar zijn geconfigureerd, worden in de lijst weergegeven.

   

   

4. Schakel het selectievakje in naast de naam van het beleid dat u aan deze virtuele server wilt binden.

   

5. Doe het volgende in het dialoogvenster Type kiezen:

   1. Bij Beleid kiezen selecteert u Verkeer.

   2. Bij Type kiezen selecteert u Aanvraag.

   

6. Wanneer het beleid is gebonden, selecteert u Gereed.

   

7. Test de binding via de WIA-website.

   

Testgebruiker maken voor Citrix ADC SAML Verbinding maken or voor Microsoft Entra

In deze sectie wordt een gebruiker met de naam B.Simon gemaakt in Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID. Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID biedt ondersteuning voor Just-In-Time-inrichting van gebruikers. Deze functie is standaard ingeschakeld. U hoeft geen handelingen uit te voeren in deze sectie. Als er nog geen gebruiker bestaat in Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID, wordt er een nieuwe gemaakt na verificatie.

Notitie

Als u handmatig een gebruiker moet maken, neemt u contact op met het citrix ADC SAML-Verbinding maken or voor het klantondersteuningsteam van Microsoft Entra.

Eenmalige aanmelding testen

In deze sectie test u de configuratie voor eenmalige aanmelding van Microsoft Entra met de volgende opties.

• Klik op Deze toepassing testen. U wordt omgeleid naar Citrix ADC SAML Verbinding maken or voor de aanmeldings-URL van Microsoft Entra, waar u de aanmeldingsstroom kunt initiëren.

• Ga rechtstreeks naar citrix ADC SAML Verbinding maken or voor de aanmeldings-URL van Microsoft Entra en initieer de aanmeldingsstroom daar.

• U kunt Microsoft Mijn apps gebruiken. Wanneer u in de Mijn apps op de tegel Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID klikt, wordt u omgeleid naar citrix ADC SAML Verbinding maken or voor de aanmeldings-URL van Microsoft Entra. Zie Introduction to My Apps (Inleiding tot Mijn apps) voor meer informatie over Mijn apps.

Volgende stappen

Zodra u Citrix ADC SAML Verbinding maken or voor Microsoft Entra ID hebt geconfigureerd, kunt u sessiebeheer afdwingen, waardoor exfiltratie en infiltratie van gevoelige gegevens van uw organisatie in realtime worden beschermd. Sessiebeheer is een uitbreiding van voorwaardelijke toegang. Meer informatie over het afdwingen van sessiebeheer met Microsoft Defender voor Cloud Apps.