Udostępnij za pośrednictwem

Konfigurowanie łącznika SAML usługi Citrix ADC dla identyfikatora Entra firmy Microsoft (uwierzytelniania opartego na protokole Kerberos) na potrzeby logowania jednokrotnego przy użyciu identyfikatora Entra firmy Microsoft

Z tego artykułu dowiesz się, jak zintegrować łącznik SAML Citrix ADC z Microsoft Entra ID. Po zintegrowaniu łącznika SAML Citrix ADC dla Entra ID firmy Microsoft z Entra ID firmy Microsoft, masz możliwość:

  • Kontroluj w usłudze Microsoft Entra ID, kto ma dostęp do łącznika SAML Citrix ADC dla identyfikatora Entra firmy Microsoft.
  • Zezwalaj Twoim użytkownikom na automatyczne logowanie do łącznika SAML Citrix ADC dla Microsoft Entra ID za pomocą ich kont Microsoft Entra.
  • Zarządzaj kontami w jednej centralnej lokalizacji.

Wymagania wstępne

W scenariuszu opisanym w tym artykule przyjęto założenie, że masz już następujące wymagania wstępne:

  • Subskrypcja aplikacji Citrix ADC SAML Connector dla aplikacji Microsoft Entra z obsługą logowania jednokrotnego.

Opis scenariusza

W tym artykule skonfigurujesz i przetestujesz Microsoft Entra logowanie jednokrotne w środowisku testowym. Artykuł zawiera następujące scenariusze:

Aby zintegrować łącznik SAML Citrix ADC dla Microsoft Entra ID z tą samą usługą, najpierw dodaj Citrix ADC SAML Connector dla Microsoft Entra ID do listy zarządzanych aplikacji SaaS w galerii:

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.

  2. Przejdź do Entra ID>aplikacji dla przedsiębiorstw>Nowa aplikacja.

  3. W sekcji Dodawanie z galerii wpisz Citrix ADC SAML Connector for Microsoft Entra ID w polu wyszukiwania.

  4. W wynikach wybierz pozycję Citrix ADC SAML Connector for Microsoft Entra ID, a następnie dodaj aplikację. Proszę poczekać kilka sekund, aż aplikacja zostanie dodana do Twojej dzierżawy.

Alternatywnie można również użyć Kreatora konfiguracji aplikacji dla przedsiębiorstw. W tym kreatorze możesz dodać aplikację do swojego klienta, dodać użytkowników lub grupy do aplikacji, przypisać role oraz przeprowadzić konfigurację logowania jednokrotnego (SSO). Dowiedz się więcej o kreatorach Microsoft 365.

Konfiguracja i testowanie Microsoft Entra SSO dla Citrix ADC SAML Connector dla Microsoft Entra ID

Skonfiguruj i przetestuj Microsoft Entra SSO z łącznikiem SAML Citrix ADC dla Microsoft Entra ID, używając użytkownika testowego o nazwie B.Simon. Aby logowanie jednokrotne działało, należy ustanowić powiązanie między użytkownikiem w Microsoft Entra a powiązanym użytkownikiem w usłudze Citrix ADC SAML Connector dla Microsoft Entra ID.

Aby skonfigurować i przetestować Microsoft Entra SSO z użyciem łącznika SAML Citrix ADC dla Microsoft Entra ID, wykonaj następujące kroki:

  1. Skonfiguruj Microsoft Entra SSO — aby umożliwić użytkownikom korzystanie z tej funkcji.

    1. Utwórz użytkownika testowego Microsoft Entra — aby przetestować Microsoft Entra SSO z B.Simon.

    2. Przypisz użytkownika testowego Microsoft Entra — aby umożliwić B.Simon korzystanie z logowania jednokrotnego Microsoft Entra.

  2. Skonfiguruj łącznik SAML citrix ADC dla usługi Microsoft Entra SSO — aby skonfigurować ustawienia logowania jednokrotnego po stronie aplikacji.

    1. Tworzenie użytkownika testowego aplikacji Citrix ADC SAML Connector dla firmy Microsoft Entra — aby mieć w aplikacji Citrix ADC SAML Connector for Microsoft Entra ID odpowiednik użytkownika B.Simon połączony z reprezentacją użytkownika w usłudze Microsoft Entra.

  3. Testowanie logowania jednokrotnego — aby sprawdzić, czy konfiguracja działa.

Konfigurowanie SSO Microsoft Entra

Aby włączyć logowanie jednokrotne Microsoft Entra za pomocą portalu Azure, wykonaj następujące kroki:

  1. Zaloguj się do centrum administracyjnego firmy Microsoft Entra co najmniej jako administrator aplikacji w chmurze.

  2. Przejdź do Entra ID>aplikacji dla przedsiębiorstw>okienka integracji aplikacji Citrix ADC SAML Connector for Microsoft Entra ID, w obszarze Zarządzanie, wybierz Logowanie jednokrotne.

  3. W okienku Wybierz metodę logowania jednokrotnego wybierz pozycję SAML.

  4. W okienku Konfigurowanie pojedynczego Sign-On przy użyciu SAML wybierz ikonę ołówka dla Podstawowej konfiguracji protokołu SAML, aby edytować ustawienia.

    Zrzut ekranu przedstawiający edytowanie podstawowej konfiguracji protokołu SAML.

  5. W sekcji Podstawowa konfiguracja protokołu SAML , aby skonfigurować aplikację w trybie inicjowanym przez dostawcę tożsamości , wykonaj następujące kroki:

    1. W polu tekstowym Identyfikator wprowadź adres URL, który ma następujący wzorzec: https://<YOUR_FQDN>

    2. W polu tekstowym Adres URL odpowiedzi wprowadź adres URL, który ma następujący wzorzec: http(s)://<YOUR_FQDN>.of.vserver/cgi/samlauth

  6. Aby skonfigurować aplikację w trybie inicjowanym przez dostawcę usług, wybierz pozycję Ustaw dodatkowe adresy URL i wykonaj następujący krok:

    • W polu tekstowym Adres URL logowania wprowadź adres URL, który ma następujący wzorzec: https://<YOUR_FQDN>/CitrixAuthService/AuthService.asmx

    Uwaga

    • Adresy URL używane w tej sekcji nie są rzeczywistymi wartościami. Zaktualizuj te wartości przy użyciu rzeczywistych wartości identyfikatora, adresu URL odpowiedzi i adresu URL logowania. Aby uzyskać te wartości, skontaktuj się z zespołem pomocy technicznej klienta aplikacji Citrix ADC SAML Connector for Microsoft Entra . Możesz również odwołać się do wzorców przedstawionych w sekcji Podstawowa konfiguracja protokołu SAML .
    • Aby skonfigurować logowanie jednokrotne, adresy URL muszą być dostępne z publicznych witryn internetowych. Należy włączyć zaporę sieciową lub inne ustawienia zabezpieczeń dla łącznika SAML Citrix ADC dla Microsoft Entra ID, aby umożliwić Microsoft Entra ID przesłanie tokenu na skonfigurowany adres URL.

  7. W okienku Konfigurowanie pojedynczego Sign-On przy użyciu języka SAML w sekcji Certyfikat podpisywania SAML w polu Adres URL metadanych federacji aplikacji skopiuj adres URL i zapisz go w Notatniku.

    Zrzut ekranu przedstawia link pobierania certyfikatu.

  8. W sekcji Konfigurowanie łącznika SAML citrix ADC dla firmy Microsoft Entra ID skopiuj odpowiednie adresy URL na podstawie wymagań.

    Zrzut ekranu pokazujący, jak skopiować adresy URL konfiguracji.

Tworzenie i przypisywanie użytkownika testowego aplikacji Microsoft Entra

Postępuj zgodnie z wytycznymi w przewodniku "Szybki start: tworzenie i przypisywanie konta użytkownika" , aby utworzyć testowe konto użytkownika o nazwie B.Simon.

Konfigurowanie łącznika SAML citrix ADC dla usługi Microsoft Entra SSO

Wybierz link, aby uzyskać instrukcje dotyczące rodzaju uwierzytelniania, które chcesz skonfigurować:

Publikowanie serwera internetowego

Aby utworzyć serwer wirtualny:

  1. Wybierz zarządzanie ruchem>równoważenie obciążenia>usługi.

  2. Wybierz pozycję Dodaj.

    Zrzut ekranu z konfiguracji Citrix ADC SAML Connector dla Microsoft Entra — okienko Usługi.

  3. Ustaw następujące wartości dla serwera internetowego, na którym są uruchomione aplikacje:

    • Nazwa usługi
    • Adres IP serwera/ istniejący serwer
    • Protokół
    • Port

Konfigurowanie modułu równoważenia obciążenia

Aby skonfigurować moduł równoważenia obciążenia:

  1. Przejdź do Zarządzanie Ruchem>Równoważenie Obciążenia>Serwery Wirtualne.

  2. Wybierz pozycję Dodaj.

  3. Ustaw następujące wartości zgodnie z opisem na poniższym zrzucie ekranu:

    • Nazwa
    • Protokół
    • Adres IP
    • Port

  4. Wybierz przycisk OK.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra — Ustawienia podstawowe.

Zwiąż serwer wirtualny

Aby powiązać moduł równoważenia obciążenia z serwerem wirtualnym:

  1. W okienku Usługi i grupy usług, wybierz pozycję Powiązanie usługi serwera wirtualnego bez równoważenia obciążenia.

    Zrzut ekranu przedstawiający konfigurację łącznika SAML Citrix ADC dla Microsoft Entra - okienko powiązania usługi równoważenia obciążenia serwera wirtualnego.

  2. Sprawdź ustawienia, jak pokazano na poniższym zrzucie ekranu, a następnie wybierz pozycję Zamknij.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji firmy Microsoft Entra — weryfikowanie powiązania usług serwera wirtualnego.

Wiązanie certyfikatu

Aby opublikować tę usługę jako protokół TLS, powiąż certyfikat serwera, a następnie przetestuj aplikację:

  1. W obszarze Certyfikat wybierz pozycję Brak certyfikatu serwera.

    Zrzut ekranu konfiguracji łącznika SAML Citrix ADC dla Microsoft Entra - okienko certyfikatu serwera.

  2. Sprawdź ustawienia, jak pokazano na poniższym zrzucie ekranu, a następnie wybierz pozycję Zamknij.

    Zrzut ekranu przedstawiający łącznik SAML citrix ADC dla konfiguracji firmy Microsoft Entra — weryfikowanie certyfikatu.

Citrix ADC SAML Connector for Microsoft Entra SAML profile (Łącznik SAML firmy Citrix ADC dla profilu SAML firmy Microsoft)

Aby skonfigurować łącznik SAML Citrix ADC dla profilu SAML Microsoft Entra, wykonaj kroki w poniższych sekcjach.

Tworzenie zasad uwierzytelniania

Aby utworzyć zasady uwierzytelniania:

  1. Przejdź do Zabezpieczenia>AAA — ruch aplikacji>Zasada>Uwierzytelnianie>Zasady uwierzytelniania.

  2. Wybierz pozycję Dodaj.

  3. W okienku Tworzenie zasad uwierzytelniania wprowadź lub wybierz następujące wartości:

    • Nazwa: wprowadź nazwę zasad uwierzytelniania.
    • Akcja: wprowadź saml, a następnie wybierz pozycję Dodaj.
    • Wyrażenie: Wprowadź prawda.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji firmy Microsoft Entra — okienko tworzenia zasad uwierzytelniania.

  4. Wybierz pozycję Utwórz.

Tworzenie serwera SAML uwierzytelniania

Aby utworzyć serwer SAML uwierzytelniania, przejdź do okienka Tworzenie serwera SAML uwierzytelniania , a następnie wykonaj następujące kroki:

  1. W polu Nazwa wprowadź nazwę serwera SAML uwierzytelniania.

  2. W obszarze Eksportuj metadane SAML:

    1. Zaznacz pole wyboru Importuj metadane .

    2. Wprowadź adres URL metadanych federacji, który skopiowałeś wcześniej z interfejsu użytkownika SAML na platformie Azure.

  3. W polu Nazwa wystawcy wprowadź odpowiedni adres URL.

  4. Wybierz pozycję Utwórz.

Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji firmy Microsoft Entra — tworzenie okienka serwera SAML uwierzytelniania.

Tworzenie serwera wirtualnego uwierzytelniania

Aby utworzyć serwer wirtualny uwierzytelniania:

  1. Przejdź do Zabezpieczenia>AAA - Ruch aplikacji>Zasady>Uwierzytelnianie>Serwery Wirtualne Uwierzytelniania.

  2. Wybierz pozycję Dodaj, a następnie wykonaj następujące kroki:

    1. W polu Nazwa wprowadź nazwę serwera wirtualnego uwierzytelniania.

    2. Zaznacz pole wyboru Nieadresowalne.

    3. W polu Protokół wybierz pozycję SSL.

    4. Wybierz przycisk OK.

  3. Wybierz pozycję Kontynuuj.

Konfigurowanie serwera wirtualnego uwierzytelniania do używania identyfikatora Entra firmy Microsoft

Zmodyfikuj dwie sekcje dla serwera wirtualnego uwierzytelniania:

  1. W okienku Zaawansowane zasady uwierzytelniania wybierz pozycję Brak zasad uwierzytelniania.

    Zrzut ekranu przedstawiający okienko Citrix ADC SAML Connector for Microsoft Entra configuration — Advanced Authentication Policies (Zaawansowane zasady uwierzytelniania).

  2. W okienku Powiązanie zasad wybierz zasady uwierzytelniania, a następnie wybierz Wiązanie.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra - okienko Powiązanie Zasad

  3. W okienku Serwery wirtualne oparte na formularzach wybierz pozycję Brak równoważenia obciążenia serwera wirtualnego.

    Zrzut ekranu z konfiguracji łącznika Citrix ADC SAML dla Microsoft Entra — panel serwerów wirtualnych opartych na formularzu.

  4. W polu Nazwa FQDN uwierzytelniania wprowadź w pełni kwalifikowaną nazwę domeny (FQDN) (wymagana).

  5. Wybierz serwer wirtualny równoważenia obciążenia, który chcesz chronić za pomocą uwierzytelniania firmy Microsoft Entra.

  6. Wybierz pozycję Powiąż.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra - okienko powiązania wirtualnego serwera.

    Uwaga

    Pamiętaj, aby wybrać pozycję Gotowe w okienku Uwierzytelnianie Konfiguracja serwera wirtualnego .

  7. Aby zweryfikować zmiany, w przeglądarce przejdź do adresu URL aplikacji. Powinieneś zobaczyć stronę logowania najemcy zamiast nieuwierzytelnionego dostępu, który mogłeś wcześniej zobaczyć.

    Zrzut ekranu przedstawiający łącznik SAML firmy Citrix ADC dla konfiguracji firmy Microsoft Entra — strona logowania w przeglądarce internetowej.

Konfigurowanie łącznika SAML citrix ADC dla usługi Microsoft Entra SSO na potrzeby uwierzytelniania opartego na protokole Kerberos

Utwórz konto delegowania Kerberos dla Citrix ADC SAML Connector dla Microsoft Entra ID

  1. Utwórz konto użytkownika (w tym przykładzie używamy funkcji AppDelegation).

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra — okienko Właściwości.

  2. Skonfiguruj nazwę SPN hosta dla tego konta.

    Przykład: setspn -S HOST/AppDelegation.IDENTT.WORK identt\appdelegation

    W tym przykładzie:

    • IDENTT.WORK to nazwa FQDN domeny.
    • identt to nazwa NetBIOS domeny.
    • appdelegation to nazwa konta użytkownika delegowania.

  3. Skonfiguruj delegowanie dla serwera internetowego, jak pokazano na poniższym zrzucie ekranu:

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra — Delegowanie w okienku Właściwości.

    Uwaga

    Na przykładowym zrzucie ekranu wewnętrzna nazwa serwera sieci Web, na którym działa witryna z uwierzytelnianiem zintegrowanym systemu Windows (WIA), to CWEB2.

Citrix ADC SAML Connector for Microsoft Entra AAA KCD (konta delegowania Protokołu Kerberos)

Aby skonfigurować łącznik SAML Citrix ADC dla konta KCD firmy Microsoft Entra AAA:

  1. Przejdź do Citrix Gateway>Konta AAA KCD (ograniczone delegowanie protokołu Kerberos).

  2. Wybierz pozycję Dodaj, a następnie wprowadź lub wybierz następujące wartości:

    • Nazwa: wprowadź nazwę konta KCD.

    • Realm: Wprowadź domenę i rozszerzenie WIELKIMI literami.

    • SPN usługi: http/<host/fqdn>@<DOMAIN.COM>.

      Uwaga

      @DOMAIN.COM jest wymagany i musi być napisany wielkimi literami. Przykład: http/cweb2@IDENTT.WORK.

    • Użytkownik delegowany: wprowadź nazwę delegowanego użytkownika.

    • Zaznacz pole wyboru Hasło dla delegowanego użytkownika , a następnie wprowadź i potwierdź hasło.

  3. Wybierz przycisk OK.

Zasady ruchu citrix i profil ruchu

Aby skonfigurować zasady ruchu citrix i profil ruchu:

  1. Przejdź do Zabezpieczenia>AAA - Ruch aplikacji>Zasady> ruchu, profile i profile logowania jednokrotnego SSOZasady ruchu.

  2. Wybierz pozycję Profile ruchu.

  3. Wybierz pozycję Dodaj.

  4. Aby skonfigurować profil ruchu, wprowadź lub wybierz następujące wartości.

    • Nazwa: wprowadź nazwę profilu ruchu.

    • Logowanie jednokrotne: wybierz pozycję WŁĄCZONE.

    • Konto KCD: wybierz konto KCD utworzone w poprzedniej sekcji.

  5. Wybierz przycisk OK.

    Zrzut ekranu z konfiguracji łącznika Citrix ADC SAML dla Microsoft Entra - panel Konfigurowanie profilu ruchu.

  6. Wybierz Zasady ruchu.

  7. Wybierz pozycję Dodaj.

  8. Aby skonfigurować zasady ruchu, wprowadź lub wybierz następujące wartości:

    • Nazwa: wprowadź nazwę zasad ruchu.

    • Profil: wybierz profil ruchu utworzony w poprzedniej sekcji.

    • Wyrażenie: Wprowadź prawda.

  9. Wybierz przycisk OK.

    Zrzut ekranu przedstawiający konfigurację łącznika SAML Citrix ADC dla Microsoft Entra — okienko Konfigurowanie zasad ruchu

Wiązanie zasad ruchu z serwerem wirtualnym w programie Citrix

Aby powiązać politykę ruchu z serwerem wirtualnym przy użyciu graficznego interfejsu użytkownika:

  1. Przejdź do Zarządzanie Ruchem>Równoważenie Obciążenia>Serwery Wirtualne.

  2. Na liście serwerów wirtualnych wybierz serwer wirtualny, do którego chcesz powiązać zasady ponownego zapisywania, a następnie wybierz pozycję Otwórz.

  3. W okienku Równoważenie obciążenia Serwer wirtualny w obszarze Ustawienia zaawansowane wybierz pozycję Zasady. Na liście są wyświetlane wszystkie zasady skonfigurowane dla instancji NetScaler.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra — okienko serwera wirtualnego równoważenia obciążenia.

    Zrzut ekranu przedstawiający okno dialogowe Citrix ADC SAML Connector for Microsoft Entra configuration — Policies (Łącznik SAML firmy Citrix ADC dla konfiguracji firmy Microsoft — zasady).

  4. Zaznacz pole wyboru obok nazwy zasad, które chcesz powiązać z tym serwerem wirtualnym.

    Zrzut ekranu przedstawiający Łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra - okienko powiązania zasady ruchu serwera wirtualnego z równoważeniem obciążenia.

  5. W oknie dialogowym Wybieranie typu :

    1. W obszarze Wybierz zasady wybierz pozycję Ruch.

    2. W obszarze Wybierz typ wybierz pozycję Żądanie.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra — wybierz okienko Typ.

  6. Gdy polisa jest powiązana, wybierz pozycję Gotowe.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra - okienko Zasady.

  7. Przetestuj powiązanie przy użyciu witryny internetowej WIA.

    Zrzut ekranu przedstawiający łącznik SAML Citrix ADC dla konfiguracji Microsoft Entra - strona testowa w przeglądarce internetowej

Tworzenie użytkownika testowego aplikacji Citrix ADC SAML Connector dla firmy Microsoft

W tej sekcji w aplikacji Citrix ADC SAML Connector for Microsoft Entra ID jest tworzony użytkownik o nazwie B.Simon. Łącznik SAML Citrix ADC dla Microsoft Entra ID obsługuje aprowizację użytkowników typu just-in-time, która jest włączona domyślnie. W tej sekcji nie musisz podejmować żadnych działań. Jeśli użytkownik jeszcze nie istnieje w programie Citrix ADC SAML Connector for Microsoft Entra ID, zostanie utworzony po uwierzytelnieniu.

Uwaga

Jeśli musisz ręcznie utworzyć użytkownika, skontaktuj się z zespołem pomocy technicznej klienta aplikacji Citrix ADC SAML Connector for Microsoft Entra.

Testowanie logowania jednokrotnego

W tej sekcji przetestujesz konfigurację jednokrotnego logowania Microsoft Entra z następującymi opcjami.

  • Wybierz opcję Przetestuj tę aplikację. Ta opcja przekierowuje do łącznika SAML Citrix ADC dla adresu URL logowania Microsoft Entra, gdzie można zainicjować przepływ logowania.

  • Przejdź bezpośrednio do Citrix ADC SAML Connector for Microsoft Entra Sign-on URL i zainicjuj proces logowania z tego miejsca.

  • Możesz użyć usługi Microsoft Moje aplikacje. Po wybraniu kafelka Citrix ADC SAML Connector for Microsoft Entra ID w obszarze Moje aplikacje ta opcja przekierowuje do adresu URL logowania Citrix ADC SAML Connector for Microsoft Entra. Aby uzyskać więcej informacji na temat moich aplikacji, zobacz Introduction to the My Apps( Wprowadzenie do aplikacji My Apps).

Powiązana zawartość

Po skonfigurowaniu łącznika SAML Citrix ADC dla identyfikatora Entra firmy Microsoft można wymusić kontrolę sesji, która chroni eksfiltrację i infiltrację poufnych danych organizacji w czasie rzeczywistym. Kontrola sesji rozszerza się od dostępu warunkowego. Dowiedz się, jak wymusić kontrolę sesji za pomocą usługi Microsoft Defender for Cloud Apps.