Руководство по интеграции единого входа Microsoft Entra с Citrix ADC SAML Подключение or для идентификатора Microsoft Entra (проверка подлинности на основе Kerberos)

  • Статья

В этом руководстве вы узнаете, как интегрировать Citrix ADC SAML Подключение or для идентификатора Microsoft Entra с идентификатором Microsoft Entra ID. Интеграция Citrix ADC SAML Подключение or для идентификатора Microsoft Entra с идентификатором Microsoft Entra можно:

  • Управляйте идентификатором Microsoft Entra, имеющим доступ к Citrix ADC SAML Подключение or для идентификатора Microsoft Entra.
  • Включите автоматический вход пользователей в Citrix ADC SAML Подключение or для идентификатора Microsoft Entra с помощью учетных записей Microsoft Entra.
  • Управление учетными записями в одном центральном расположении.

Необходимые компоненты

Чтобы приступить к работе, потребуется следующее.

  • Подписка Microsoft Entra. Если у вас нет подписки, вы можете получить бесплатную учетную запись.
  • Подписка Citrix ADC SAML Подключение or для единого входа (SSO) Microsoft Entra.

Описание сценария

В этом руководстве описана настройка и проверка единого входа Microsoft Entra в тестовой среде. Этот учебник включает в себя следующие сценарии:

Чтобы интегрировать Citrix ADC SAML Подключение or для идентификатора Microsoft Entra id с идентификатором Microsoft Entra, сначала добавьте Citrix ADC SAML SAML Подключение or для Microsoft Entra ID в список управляемых приложений SaaS из коллекции:

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.

  2. Перейдите к приложениям>Identity>Applications>Enterprise. Новое приложение.

  3. В разделе "Добавление из коллекции" в поле поиска введите Citrix ADC SAML Подключение or для идентификатора Microsoft Entra ID.

  4. В результатах выберите Citrix ADC SAML Подключение or для идентификатора Microsoft Entra ID, а затем добавьте это приложение. Подождите несколько секунд, пока приложение не будет добавлено в ваш клиент.

Кроме того, можно также использовать мастер конфигурации корпоративных приложений. В этом мастере можно добавить приложение в клиент, добавить пользователей и группы в приложение, назначить роли, а также просмотреть конфигурацию единого входа. Подробнее о мастерах Microsoft 365.

Настройка и проверка единого входа Microsoft Entra для Citrix ADC SAML Подключение or для идентификатора Microsoft Entra

Настройте и проверьте единый вход Microsoft Entra в Citrix ADC SAML Подключение or для идентификатора Microsoft Entra ID с помощью тестового пользователя B.Simon. Для обеспечения работы единого входа необходимо установить связь между пользователем Microsoft Entra и соответствующим пользователем в Citrix ADC SAML Подключение or для идентификатора Microsoft Entra.

Чтобы настроить и проверить единый вход Microsoft Entra в Citrix ADC SAML Подключение or для идентификатора Microsoft Entra, выполните следующие действия.

  1. Настройте единый вход Microsoft Entra, чтобы пользователи могли использовать эту функцию.

    1. Создайте тестового пользователя Microsoft Entra для тестирования единого входа Microsoft Entra в B.Simon.

    2. Назначьте тестового пользователя Microsoft Entra, чтобы включить единый вход Microsoft Entra Simon.

  2. Настройте citrix ADC SAML Подключение or для единого входа Microsoft Entra, чтобы настроить параметры единого входа на стороне приложения.

    1. Создание тестового пользователя Citrix ADC SAML SAML Подключение or для тестового пользователя Microsoft Entra требуется для того, чтобы в Citrix ADC SAML Подключение or для идентификатора Microsoft Entra, связанного с представлением Microsoft Entra пользователя.

  3. Проверка единого входа позволяет убедиться в правильности конфигурации.

Настройка единого входа Microsoft Entra

Чтобы включить единый вход Microsoft Entra с помощью портал Azure, выполните следующие действия:

  1. Войдите в Центр администрирования Microsoft Entra как минимум облачные приложения Администратор istrator.

  2. Перейдите к> приложениям>Identity Applications>Enterprise Citrix ADC SAML Подключение or для интеграции с приложением Идентификатора Microsoft Entra, в разделе "Управление" выберите единый вход.

  3. В области Выбрать метод единого входа выберите SAML.

  4. На панели Настройка единого входа с помощью SAML щелкните значок карандаша, чтобы открыть диалоговое окно Базовая конфигурация SAML и изменить параметры.

    Screenshot shows to edit Basic SAML Configuration.

  5. Чтобы настроить приложение в режиме, инициированном поставщиком удостоверений, в разделе Базовая конфигурация SAML выполните следующие действия:

    1. В текстовом поле Идентификатор введите URL-адрес в следующем формате: https://<YOUR_FQDN>

    2. В текстовом поле URL-адрес ответа введите URL-адрес в следующем формате: http(s)://<YOUR_FQDN>.of.vserver/cgi/samlauth

  6. Чтобы настроить приложение для работы в режиме, инициированном поставщиком услуг, щелкните Задать дополнительные URL-адреса и выполните следующее действие:

    • В текстовом поле URL-адрес для входа введите URL-адрес в следующем формате: https://<YOUR_FQDN>/CitrixAuthService/AuthService.asmx

    Примечание.

    • URL-адреса, используемые в этом разделе, не являются реальными значениями. Замените их фактическими значениями для идентификатора, URL-адреса ответа и URL-адреса входа. Чтобы получить эти значения, обратитесь в службу поддержки клиентов Citrix ADC SAM Подключение L SAML для Microsoft Entra. Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML".
    • Чтобы настроить единый вход, URL-адреса должны быть доступны с общедоступных веб-сайтов. Необходимо включить брандмауэр или другие параметры безопасности в Подключение or citrix ADC SAML для идентификатора Microsoft Entra ID, чтобы разрешить идентификатору Microsoft Entra id публиковать маркер по указанному URL-адресу.

  7. На панели Настройка единого входа с помощью SAML в разделе Сертификат подписи SAML найдите URL-адрес метаданных федерации приложений, скопируйте его и сохраните в Блокноте.

    Screenshot shows the Certificate download link.

  8. Скопируйте соответствующие URL-адреса в разделе "Настройка Citrix ADC SAML SAML Подключение or для идентификатора Microsoft Entra ID".

    Screenshot shows to copy configuration URLs.

Создание тестового пользователя Microsoft Entra

В этом разделе описано, как создать тестового пользователя B.Simon.

  1. Войдите в Центр администрирования Microsoft Entra как минимум пользователь Администратор istrator.
  2. Перейдите в раздел Удостоверение>Пользователи>Все пользователи.
  3. Выберите "Создать пользователя>" в верхней части экрана.
  4. В свойствах пользователя выполните следующие действия.
    1. В поле "Отображаемое имя" введите B.Simon.
    2. В поле имени участника-пользователя введите username@companydomain.extensionимя пользователя. Например, B.Simon@contoso.com.
    3. Установите флажок Показать пароль и запишите значение, которое отображается в поле Пароль.
    4. Выберите Review + create (Просмотреть и создать).
  5. Нажмите кнопку создания.

Назначение тестового пользователя Microsoft Entra

В этом разделе описано, как разрешить пользователю B.Simon использовать единый вход Azure, предоставив пользователю доступ к Citrix ADC SAML Подключение or для идентификатора Microsoft Entra.

  1. Перейдите к приложениям Identity>Applications>Enterprise.

  2. В списке приложений выберите Citrix ADC SAML Подключение or для идентификатора Microsoft Entra ID.

  3. В обзоре приложения в разделе Управление выберите Пользователи и группы.

  4. Выберите Добавить пользователя. Затем в диалоговом окне Добавление назначения выберите Пользователи и группы.

  5. В диалоговом окне Пользователи и группы выберите B.Simon из списка Пользователи. Выберите Выбрать.

  6. Если пользователям необходимо назначить роль, вы можете выбрать ее из раскрывающегося списка Выберите роль. Если для этого приложения не настроена ни одна роль, будет выбрана роль "Доступ по умолчанию".

  7. В диалоговом окне Добавление назначения выберите Назначить.

Настройка единого входа Citrix ADC SAML Подключение or для Единого входа Microsoft Entra

Выберите ссылку для необходимого типа проверки подлинности:

Публикация веб-сервера

Чтобы создать виртуальный сервер, сделайте следующее:

  1. Выберите Traffic Management (Управление трафиком)>Балансировка нагрузки>Службы.

  2. Выберите Добавить.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Services pane.

  3. Задайте следующие значения для веб-сервера, на котором выполняются приложения:

    • Имя службы
    • IP-адрес сервера и существующий сервер;
    • Протокол
    • порт.

Настройка подсистемы балансировки нагрузки.

Чтобы настроить подсистему балансировки нагрузки, сделайте следующее.

  1. Выберите Traffic Management (Управление трафиком)>Балансировка нагрузки>Виртуальные серверы.

  2. Выберите Добавить.

  3. Задайте следующие значения, как показано на следующем снимке экрана:

    • Имя
    • Протокол
    • IP Address
    • порт.

  4. Нажмите ОК.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Basic Settings pane.

Привязка виртуального сервера

Чтобы привязать подсистему балансировки нагрузки к виртуальному серверу, сделайте следующее:

  1. В области Services and Service Groups (Службы и группы служб) выберите пункт No Load Balancing Virtual Server Service Binding (Нет привязки к службе виртуальных серверов для балансировки нагрузки).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Service Binding pane.

  2. Проверьте, чтобы параметры были установлены, как показано на следующем снимке экрана, а затем выберите Close (Закрыть).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Verify the virtual server services binding.

Привязка сертификата

Чтобы опубликовать эту службу как службу TLS, привяжите сертификат сервера, а затем протестируйте приложение.

  1. В разделе Certificate (Сертификат) выберите No Server Certificate (Без сертификата сервера).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Server Certificate pane.

  2. Проверьте, чтобы параметры были установлены, как показано на следующем снимке экрана, а затем выберите Close (Закрыть).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Verify the certificate.

Citrix ADC SAML Подключение or для профиля Microsoft Entra SAML

Чтобы настроить профиль Citrix ADC SAML Подключение or для профиля Microsoft Entra SAML, выполните следующие разделы.

Создание политики проверки подлинности

Чтобы создать политику проверки подлинности, сделайте следующее:

  1. Выберите Security (Безопасность)>AAA – Application Traffic (AAA — трафик приложений)>Policies (Политики)>Authentication (Проверка подлинности)>Authentication Policies (Политики проверки подлинности).

  2. Выберите Добавить.

  3. На панели Create Authentication Policy (Создание политики проверки подлинности) введите или выберите следующие значения:

    • Имя. Введите имя политики проверки подлинности.
    • Действие: введите SAML и нажмите кнопку "Добавить".
    • Выражение: введите true.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Create Authentication Policy pane.

  4. Нажмите кнопку создания.

Создание сервера SAML для проверки подлинности

Чтобы создать сервер SAML для проверки подлинности, перейдите на панель Create Authentication SAML Server (Создание сервера SAML для проверки подлинности), а затем выполните следующие действия:

  1. В поле Name (Имя) введите имя сервера SAML для проверки подлинности.

  2. В разделе Export SAML Metadata (Экспорт метаданных SAML):

    1. Установите флажок Import Metadata (Импортировать метаданные).

    2. Введите URL-адрес метаданных федерации из пользовательского интерфейса SAML Azure, скопированного ранее.

  3. В поле Issuer Name (Имя поставщика) введите соответствующий URL-адрес.

  4. Нажмите кнопку создания.

Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Create Authentication SAML Server pane.

Создание виртуального сервера проверки подлинности

Чтобы создать виртуальный сервер проверки подлинности, сделайте следующее:

  1. Выберите Security (Безопасность)>AAA - Application Traffic (AAA — трафик приложений)>Policies (Политики)>Authentication (Проверка подлинности)>Authentication Virtual Servers (Виртуальные серверы проверки подлинности).

  2. Выберите Добавить и выполните следующие действия.

    1. В поле Name (Имя) введите имя для виртуального сервера проверки подлинности.

    2. Установите флажок Non-Addressable (Без адресации).

    3. Для параметра Protocol (Протокол) выберите значение SSL.

    4. Нажмите ОК.

  3. Выберите Продолжить.

Настройка виртуального сервера проверки подлинности для использования идентификатора Microsoft Entra

Измените два раздела для виртуального сервера проверки подлинности.

  1. На панели Advanced Authentication Policies (Расширенные политики проверки подлинности) выберите No Authentication Policy (Без политики проверки подлинности).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Advanced Authentication Policies pane.

  2. На панели Policy Binding (Привязка политики) выберите политику проверки подлинности, а затем нажмите кнопку Bind (Привязать).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policy Binding pane

  3. На панели Form Based Virtual Servers (Виртуальные серверы на основе формы) выберите No Load Balancing Virtual Server (Виртуальный сервер без балансировки нагрузки).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Form Based Virtual Servers pane.

  4. В поле Authentication FQDN (Полное доменное имя для проверки подлинности) введите полное доменное имя (обязательно).

  5. Выберите виртуальный сервер балансировки нагрузки, который требуется защитить с помощью проверки подлинности Microsoft Entra.

  6. Выберите Связать.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Binding pane.

    Примечание.

    Обязательно нажмите кнопу Done (Готово) на панели Authentication Virtual Server Configuration (Конфигурация виртуального сервера проверки подлинности).

  7. Чтобы проверить изменения, в браузере перейдите по URL-адресу приложения. Должна отобразиться страница входа клиента вместо страницы без запроса проверки подлинности, которая открывалась ранее.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - A sign-in page in a web browser.

Настройка citrix ADC SAML Подключение or для единого входа Microsoft Entra для проверки подлинности на основе Kerberos

Создание учетной записи делегирования Kerberos для Citrix ADC SAML Подключение or для идентификатора Microsoft Entra

  1. Создайте учетную запись пользователя (AppDelegation в нашем примере).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Properties pane.

  2. Настройте имя субъекта-службы узла для этой учетной записи.

    Пример: setspn -S HOST/AppDelegation.IDENTT.WORK identt\appdelegation

    В этом примере:

    • IDENTT.WORK: полное доменное имя.
    • identt: NetBIOS-имя домена.
    • appdelegation: имя учетной записи пользователя для делегирования.

  3. Настройте делегирование для веб-сервера, как показано на следующем снимке экрана:

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Delegation under Properties pane.

    Примечание.

    В примере снимка экрана внутреннее имя веб-сервера, где выполняется сайт встроенной проверки подлинности Windows (WIA), — CWEB2.

Citrix ADC SAML Подключение or для Microsoft Entra AAA KCD (учетные записи делегирования Kerberos)

Чтобы настроить учетную запись Citrix ADC SAML samL Подключение or для учетной записи Microsoft Entra AAA KCD:

  1. Выберите Citrix Gateway (Шлюз Citrix)>AAA KCD (Kerberos Constrained Delegation) Accounts (Учетные записи AAA KCD (ограниченное делегирование Kerberos)).

  2. Выберите Add (Добавить), а затем введите или выберите следующие значения:

    • Имя: введите имя учетной записи KCD.

    • Область. Введите домен и расширение в верхнем регистре.

    • Service SPN (Имя субъекта-службы): http/<host/fqdn>@<DOMAIN.COM>.

      Примечание.

      @DOMAIN.COM нужно обязательно добавлять в формате с прописными буквами. Пример: http/cweb2@IDENTT.WORK.

    • Делегированный пользователь: введите делегированное имя пользователя.

    • Установите флажок Password for Delegated User (Пароль для делегированного пользователя), а затем введите и подтвердите пароль.

  3. Нажмите ОК.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure KCD Account pane

Политика и профиль трафика Citrix

Чтобы настроить политику трафика Citrix и профиль трафика, сделайте следующее:

  1. Go to Security (Безопасность)>AAA - Application Traffic (AAA — трафик приложений)>Policies (Политики)>Traffic Policies, Profiles and Form SSO ProfilesTraffic Policies (Политики трафика, профили и создание политик трафика профилей для единого входа).

  2. Выберите Traffic Profiles (Профили трафика).

  3. Выберите Добавить.

  4. Чтобы настроить профиль трафика, введите или выберите следующие значения.

    • Имя: введите имя профиля трафика.

    • Единый вход. Выберите ON.

    • Учетная запись KCD: выберите учетную запись KCD, созданную в предыдущем разделе.

  5. Нажмите ОК.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure Traffic Profile pane.

  6. Выберите Traffic Policy (Политика трафика).

  7. Выберите Добавить.

  8. Чтобы настроить политику трафика, введите или выберите следующие значения:

    • Имя. Введите имя политики трафика.

    • Профиль. Выберите профиль трафика, созданный в предыдущем разделе.

    • Выражение: введите true.

  9. Нажмите ОК.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Configure Traffic Policy pane

Привязка политики трафика к виртуальному серверу в Citrix

Чтобы привязать политику трафика к виртуальному серверу с помощью графического пользовательского интерфейса, сделайте следующее:

  1. Выберите Traffic Management (Управление трафиком)>Балансировка нагрузки>Виртуальные серверы.

  2. В списке виртуальных серверов выберите виртуальный сервер, к которому требуется привязать политику перезаписи, а затем выберите Open (Открыть).

  3. В области Load Balancing Virtual Server (Виртуальный сервер балансировки нагрузки) в разделе Advanced Settings (Расширенные параметры) выберите Policies (Политики). Все политики, настроенные для экземпляра NetScaler, отображаются в списке.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server pane.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policies dialog box.

  4. Установите флажок рядом с именем политики, которую вы хотите связать с этим виртуальным сервером.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Load Balancing Virtual Server Traffic Policy Binding pane.

  5. В диалоговом окне Choose Type (Выбор типа) выполните следующее:

    1. Для параметра Choose Policy (Выберите политику) выберите Traffic (Трафик).

    2. Для параметра Выбор типа выберите Запрос.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Choose Type pane.

  6. Когда политика будет привязана, нажмите кнопку Done (Готово).

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - Policies pane.

  7. Протестируйте привязку с помощью веб-сайта WIA.

    Screenshot of Citrix ADC SAML Connector for Microsoft Entra configuration - A test page in a web browser

Создание тестового пользователя Citrix ADC SAML Подключение or для тестового пользователя Microsoft Entra

В этом разделе пользователь с именем B.Simon создается в Citrix ADC SAML Подключение or для идентификатора Microsoft Entra. Citrix ADC SAML Подключение or для идентификатора Microsoft Entra ID поддерживает JIT-подготовку пользователей, которая включена по умолчанию. В этом разделе никакие действия с вашей стороны не требуются. Если пользователь еще не существует в Citrix ADC SAML Подключение or для идентификатора Microsoft Entra ID, он создается после проверки подлинности.

Примечание.

Если вам нужно создать пользователя вручную, обратитесь в службу поддержки клиентов Citrix ADC SAML Подключение or для microsoft Entra.

Проверка единого входа

В этом разделе описана конфигурация единого входа Microsoft Entra с помощью следующих параметров.

  • Щелкните "Тестировать это приложение", вы будете перенаправлены на Citrix ADC SAML Подключение or для URL-адреса входа Microsoft Entra, где можно инициировать поток входа.

  • Перейдите в Citrix ADC SAML Подключение or для URL-адреса входа Microsoft Entra и инициируйте поток входа.

  • Вы можете использовать портал "Мои приложения" корпорации Майкрософт. Щелкнув плитку Citrix ADC SAML Подключение or для идентификатора Microsoft Entra ID в Мои приложения, вы будете перенаправлены в Citrix ADC SAML Подключение or для URL-адреса входа Microsoft Entra. Дополнительные сведения о портале "Мои приложения" см. в этой статье.

Следующие шаги

После настройки Citrix ADC SAML Подключение or для идентификатора Microsoft Entra можно применить функцию управления сеансами, которая защищает конфиденциальные данные вашей организации от кражи и несанкционированного доступа в режиме реального времени. Управление сеансом является расширением функции условного доступа. Узнайте, как применять управление сеансами с помощью приложений Defender для облака.