Поделиться через

Руководство по интеграции единого входа Microsoft Entra с Citrix ADC (проверка подлинности на основе заголовков)

  • Статья

В этом руководстве описано, как интегрировать Citrix ADC с идентификатором Microsoft Entra ID. Интеграция Citrix ADC с идентификатором Microsoft Entra id позволяет:

  • Контроль доступа к Citrix ADC с помощью идентификатора Microsoft Entra ID.
  • Включите автоматический вход пользователей в Citrix ADC с помощью учетных записей Microsoft Entra.
  • Управление учетными записями в одном центральном расположении.

Необходимые компоненты

Чтобы приступить к работе, потребуется следующее.

  • Подписка Microsoft Entra. Если у вас нет подписки, вы можете получить бесплатную учетную запись.
  • Подписка Citrix ADC с поддержкой единого входа.

Описание сценария

В этом руководстве описана настройка и проверка единого входа Microsoft Entra в тестовой среде. Этот учебник включает в себя следующие сценарии:

Чтобы интегрировать Citrix ADC с идентификатором Microsoft Entra ID, сначала добавьте Citrix ADC в список управляемых приложений SaaS из коллекции:

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

  2. Перейдите к приложениям>Identity>Applications>Enterprise. Новое приложение.

  3. В разделе Добавление из коллекции в поле поиска введите Citrix ADC.

  4. Выберите Citrix ADC в области результатов и добавьте это приложение. Подождите несколько секунд, пока приложение не будет добавлено в ваш клиент.

Кроме того, можно также использовать мастер конфигурации корпоративных приложений. В этом мастере можно добавить приложение в клиент, добавить пользователей и группы в приложение, назначить роли, а также просмотреть конфигурацию единого входа. Подробнее о мастерах Microsoft 365.

Настройка и проверка единого входа Microsoft Entra для Citrix ADC

Настройте и проверьте единый вход Microsoft Entra в Citrix ADC с помощью тестового пользователя B.Simon. Для обеспечения работы единого входа необходимо установить связь между пользователем Microsoft Entra и соответствующим пользователем в Citrix ADC.

Чтобы настроить и проверить единый вход Microsoft Entra в Citrix ADC, выполните следующие действия.

  1. Настройте единый вход Microsoft Entra, чтобы пользователи могли использовать эту функцию.

    1. Создайте тестового пользователя Microsoft Entra для тестирования единого входа Microsoft Entra в B.Simon.

    2. Назначьте тестового пользователя Microsoft Entra, чтобы включить единый вход Microsoft Entra Simon.

  2. Настройка единого входа в Citrix ADC необходима, чтобы настроить параметры единого входа на стороне приложения.

  3. Проверка единого входа позволяет убедиться в правильности конфигурации.

Настройка единого входа Microsoft Entra

Чтобы включить единый вход Microsoft Entra с помощью портал Azure, выполните следующие действия:

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор облачных приложений.

  2. Перейдите к >области интеграции приложений Citrix ADC для приложений>Identity Applications>Enterprise, в разделе "Управление" выберите единый вход.

  3. В области Выбрать метод единого входа выберите SAML.

  4. В области Настройка единого входа с помощью SAML щелкните значок пера Правка, чтобы открыть диалоговое окно Базовая конфигурация SAML и изменить эти параметры.

    Изменение базовой конфигурации SAML

  5. Если вы хотите настроить приложение в режиме, инициируемом поставщиком удостоверений, в разделе Базовая конфигурация SAML выполните следующие действия.

    1. В текстовом поле Идентификатор введите URL-адрес в следующем формате: https://<Your FQDN>

    2. В текстовом поле URL-адрес ответа введите URL-адрес в следующем формате: https://<Your FQDN>/CitrixAuthService/AuthService.asmx

  6. Если вы хотите настроить приложение для работы в режиме, инициируемом поставщиком услуг, выберите Задать дополнительные URL-адреса и выполните следующие действия:

    • В текстовом поле URL-адрес для входа введите URL-адрес в следующем формате: https://<Your FQDN>/CitrixAuthService/AuthService.asmx

    Примечание.

    • URL-адреса, используемые в этом разделе, не являются реальными значениями. Замените их фактическими значениями для идентификатора, URL-адреса ответа и URL-адреса входа. Чтобы получить эти значения, обратитесь в службу поддержки клиентов Citrix ADC. Вы также можете ссылаться на шаблоны, показанные в разделе "Базовая конфигурация SAML".
    • Чтобы настроить единый вход, URL-адреса должны быть доступны с общедоступных веб-сайтов. Необходимо включить брандмауэр или другие параметры безопасности на стороне Citrix ADC, чтобы включить идентификатор Microsoft Entra для публикации маркера по заданному URL-адресу.

  7. На панели Настройка единого входа с помощью SAML в разделе Сертификат подписи SAML найдите URL-адрес метаданных федерации приложений, скопируйте его и сохраните в Блокноте.

    Ссылка для скачивания сертификата

  8. Приложение Citrix ADC ожидает проверочные утверждения SAML в определенном формате, который требует добавить сопоставления настраиваемых атрибутов в вашу конфигурацию атрибутов токена SAML. На следующем снимке экрана показан список атрибутов по умолчанию. Щелкните Изменить и измените сопоставление атрибутов.

    Изменение сопоставлений атрибутов SAML

  9. Приложение Citrix ADC ожидает несколько дополнительных атрибутов в ответе SAML. В диалоговом окне Атрибуты пользователя выполните в разделе Утверждения пользователя приведенные ниже действия, чтобы добавить представленные в таблице атрибуты токена SAML.

    Имя. Атрибут источника
    mySecretID user.userprincipalname

    1. Чтобы открыть диалоговое окно Управление утверждениями пользователя, выберите Добавить новое утверждение.

    2. В текстовое поле Имя введите имя атрибута, отображаемое для этой строки.

    3. Оставьте пустым поле Пространство имен.

    4. Для поля Атрибут выберите Источник.

    5. В списке Атрибут источника введите значение атрибута, отображаемое для этой строки.

    6. Нажмите ОК.

    7. Выберите Сохранить.

  10. Скопируйте требуемые URL-адреса в разделе Настройка Citrix ADC.

    Копирование URL-адресов настройки

Создание тестового пользователя Microsoft Entra

В этом разделе описано, как создать тестового пользователя B.Simon.

  1. Войдите в Центр администрирования Microsoft Entra как минимум администратор пользователя.
  2. Перейдите в раздел Удостоверение>Пользователи>Все пользователи.
  3. Выберите "Создать пользователя>" в верхней части экрана.
  4. В свойствах пользователя выполните следующие действия.
    1. В поле "Отображаемое имя" введите B.Simon.
    2. В поле имени участника-пользователя введите username@companydomain.extensionимя пользователя. Например, B.Simon@contoso.com.
    3. Установите флажок Показать пароль и запишите значение, которое отображается в поле Пароль.
    4. Выберите Review + create (Просмотреть и создать).
  5. Нажмите кнопку создания.

Назначение тестового пользователя Microsoft Entra

В этом разделе описано, как разрешить пользователю B.Simon использовать единый вход Azure, предоставив этому пользователю доступ к Citrix ADC.

  1. Перейдите к приложениям Identity>Applications>Enterprise.

  2. В списке приложений выберите Citrix ADC.

  3. В обзоре приложения в разделе Управление выберите Пользователи и группы.

  4. Выберите Добавить пользователя. Затем в диалоговом окне Добавление назначения выберите Пользователи и группы.

  5. В диалоговом окне Пользователи и группы выберите B.Simon из списка Пользователи. Выберите Выбрать.

  6. Если пользователям необходимо назначить роль, вы можете выбрать ее из раскрывающегося списка Выберите роль. Если для этого приложения не настроена ни одна роль, будет выбрана роль "Доступ по умолчанию".

  7. В диалоговом окне Добавление назначения выберите Назначить.

Настройка единого входа в Citrix ADC

Выберите ссылку для необходимого типа проверки подлинности:

Публикация веб-сервера

Чтобы создать виртуальный сервер, сделайте следующее:

  1. Выберите Traffic Management (Управление трафиком)>Балансировка нагрузки>Службы.

  2. Выберите Добавить.

    Настройка Citrix ADC — область служб

  3. Задайте следующие значения для веб-сервера, на котором выполняются приложения:

    • Имя службы

    • IP-адрес сервера и существующий сервер;

    • Протокол

    • порт.

      Область конфигурации Citrix ADC

Настройка подсистемы балансировки нагрузки.

Чтобы настроить подсистему балансировки нагрузки, сделайте следующее.

  1. Выберите Traffic Management (Управление трафиком)>Балансировка нагрузки>Виртуальные серверы.

  2. Выберите Добавить.

  3. Задайте следующие значения, как показано на следующем снимке экрана:

    • Имя
    • Протокол
    • IP Address
    • порт.

  4. Нажмите ОК.

    Настройка Citrix ADC — область основных параметров

Привязка виртуального сервера

Чтобы привязать подсистему балансировки нагрузки к виртуальному серверу, сделайте следующее:

  1. В области Services and Service Groups (Службы и группы служб) выберите пункт No Load Balancing Virtual Server Service Binding (Нет привязки к службе виртуальных серверов для балансировки нагрузки).

    Настройка Citrix ADC — область привязки к службе виртуального сервера балансировки нагрузки

  2. Проверьте, чтобы параметры были установлены, как показано на следующем снимке экрана, а затем выберите Close (Закрыть).

    Настройка Citrix ADC — проверка привязки к службе виртуального сервера

Привязка сертификата

Чтобы опубликовать эту службу как службу TLS, привяжите сертификат сервера, а затем протестируйте приложение.

  1. В разделе Certificate (Сертификат) выберите No Server Certificate (Без сертификата сервера).

    Настройка Citrix ADC — область сертификата сервера

  2. Проверьте, чтобы параметры были установлены, как показано на следующем снимке экрана, а затем выберите Close (Закрыть).

    Настройка Citrix ADC — проверка сертификата

Профиль SAML для Citrix ADC

Чтобы настроить профиль SAML для Citrix ADC, выполните следующие действия.

Создание политики проверки подлинности

Чтобы создать политику проверки подлинности, сделайте следующее:

  1. Выберите Security (Безопасность)>AAA – Application Traffic (AAA — трафик приложений)>Policies (Политики)>Authentication (Проверка подлинности)>Authentication Policies (Политики проверки подлинности).

  2. Выберите Добавить.

  3. На панели Create Authentication Policy (Создание политики проверки подлинности) введите или выберите следующие значения:

    • Имя. Введите имя политики проверки подлинности.
    • Действие: введите SAML и нажмите кнопку "Добавить".
    • Выражение: введите true.

    Настройка Citrix ADC — область создания политики аутентификации

  4. Нажмите кнопку создания.

Создание сервера SAML для проверки подлинности

Чтобы создать сервер SAML для проверки подлинности, перейдите на панель Create Authentication SAML Server (Создание сервера SAML для проверки подлинности), а затем выполните следующие действия:

  1. В поле Name (Имя) введите имя сервера SAML для проверки подлинности.

  2. В разделе Export SAML Metadata (Экспорт метаданных SAML):

    1. Установите флажок Import Metadata (Импортировать метаданные).

    2. Введите URL-адрес метаданных федерации из пользовательского интерфейса SAML Azure, скопированного ранее.

  3. В поле Issuer Name (Имя поставщика) введите соответствующий URL-адрес.

  4. Нажмите кнопку создания.

Настройка Citrix ADC — область создания сервера SAML для аутентификации

Создание виртуального сервера проверки подлинности

Чтобы создать виртуальный сервер проверки подлинности, сделайте следующее:

  1. Выберите Security (Безопасность)>AAA - Application Traffic (AAA — трафик приложений)>Policies (Политики)>Authentication (Проверка подлинности)>Authentication Virtual Servers (Виртуальные серверы проверки подлинности).

  2. Выберите Добавить и выполните следующие действия.

    1. В поле Name (Имя) введите имя для виртуального сервера проверки подлинности.

    2. Установите флажок Non-Addressable (Без адресации).

    3. Для параметра Protocol (Протокол) выберите значение SSL.

    4. Нажмите ОК.

    Настройка Citrix ADC — область виртуального сервера для аутентификации

Настройка виртуального сервера проверки подлинности для использования идентификатора Microsoft Entra

Измените два раздела для виртуального сервера проверки подлинности.

  1. На панели Advanced Authentication Policies (Расширенные политики проверки подлинности) выберите No Authentication Policy (Без политики проверки подлинности).

    Настройка Citrix ADC — область расширенных политик аутентификации

  2. На панели Policy Binding (Привязка политики) выберите политику проверки подлинности, а затем нажмите кнопку Bind (Привязать).

    Настройка Citrix ADC — область привязки политики

  3. На панели Form Based Virtual Servers (Виртуальные серверы на основе формы) выберите No Load Balancing Virtual Server (Виртуальный сервер без балансировки нагрузки).

    Настройка Citrix ADC — область виртуальных серверов на основе формы

  4. В поле Authentication FQDN (Полное доменное имя для проверки подлинности) введите полное доменное имя (обязательно).

  5. Выберите виртуальный сервер балансировки нагрузки, который требуется защитить с помощью проверки подлинности Microsoft Entra.

  6. Выберите Связать.

    Настройка Citrix ADC — область привязки виртуального сервера для балансировки нагрузки

    Примечание.

    Обязательно нажмите кнопу Done (Готово) на панели Authentication Virtual Server Configuration (Конфигурация виртуального сервера проверки подлинности).

  7. Чтобы проверить изменения, в браузере перейдите по URL-адресу приложения. Должна отобразиться страница входа клиента вместо страницы без запроса проверки подлинности, которая открывалась ранее.

    Настройка Citrix ADC — страница входа в веб-браузере

Настройка единого входа в Citrix ADC для аутентификации на основе заголовков.

Настройка Citrix ADC

Чтобы настроить аутентификацию на основе заголовков для Citrix ADC, выполните следующие действия.

Создание действия перезаписи

  1. Последовательно откройте AppExpert>Rewrite>Rewrite Actions (AppExpert > Перезапись > Действия перезаписи).

    Настройка Citrix ADC — область действий перезаписи

  2. Выберите Добавить и выполните следующие действия.

    1. В поле Name (Имя) введите имя для действия перезаписи.

    2. В поле Type (тип) введите INSERT_HTTP_HEADER.

    3. В поле Header Name введите имя заголовка (в нашем примере это SecretID).

    4. В поле Expression введите aaa. ПОЛЬЗОВАТЕЛЬ. ATTRIBUTE("mySecretID"), где mySecretID является утверждением Microsoft Entra SAML, которое было отправлено в Citrix ADC.

    5. Нажмите кнопку создания.

    Настройка Citrix ADC — область создания действия перезаписи

Создание политики перезаписи

  1. Последовательно откройте AppExpert>Rewrite>Rewrite Policies (AppExpert > Перезапись > Политики перезаписи).

    Настройка Citrix ADC — область политик перезаписи

  2. Выберите Добавить и выполните следующие действия.

    1. В поле Name (Имя) введите имя для политики перезаписи.

    2. В поле Action (Действие) выберите действие перезаписи, созданное в предыдущем разделе.

    3. В поле Expression (Выражение) введите true.

    4. Нажмите кнопку создания.

    Настройка Citrix ADC — область создания политики перезаписи

Связь политики перезаписи с виртуальными серверами

Чтобы привязать политику перезаписи к виртуальному серверу с помощью графического пользовательского интерфейса, сделайте следующее.

  1. Выберите Traffic Management (Управление трафиком)>Балансировка нагрузки>Виртуальные серверы.

  2. В списке виртуальных серверов выберите виртуальный сервер, к которому требуется привязать политику перезаписи, а затем выберите Open (Открыть).

  3. В области Load Balancing Virtual Server (Виртуальный сервер балансировки нагрузки) в разделе Advanced Settings (Расширенные параметры) выберите Policies (Политики). Все политики, настроенные для экземпляра NetScaler, отображаются в списке. Настройка Citrix ADC — область виртуального сервера балансировки нагрузки.

  4. Установите флажок рядом с именем политики, которую вы хотите связать с этим виртуальным сервером.

    Настройка Citrix ADC — область привязки политики трафика виртуального сервера для балансировки нагрузки

  5. В диалоговом окне Choose Type (Выбор типа) выполните следующее:

    1. Для параметра Choose Policy (Выберите политику) выберите Traffic (Трафик).

    2. Для параметра Выбор типа выберите Запрос.

    Настройка Citrix ADC — диалоговое окно политик

  6. Нажмите ОК. В строке состояния появится сообщение о том, что политика успешно настроена.

Настройка сервера SAML для извлечения атрибутов из утверждения

  1. Выберите Безопасность>AAA — трафик приложений>Политики>Проверка подлинности>Расширенные политики>Действия>Серверы.

  2. Выберите для приложения подходящий сервер проверки подлинности SAML.

    Настройка Citrix ADC — область настройки сервера SAML для аутентификации

  3. В разделе Attribute (Атрибут) введите атрибуты SAML, которые вы намерены извлекать, разделяя их запятыми (","). В нашем примере это атрибут mySecretID.

    Настройка Citrix ADC — область атрибутов

  4. Чтобы проверить доступ, в URL-адресе для браузера найдите атрибут SAML в разделе Коллекция заголовков.

    Настройка Citrix ADC — область коллекции заголовков по URL-адресу

Создание тестового пользователя Citrix ADC

В этом разделе описано, как в Citrix ADC создать пользователя с именем B.Simon. Citrix ADC поддерживает JIT-подготовку пользователей, которая включена по умолчанию. В этом разделе никакие действия с вашей стороны не требуются. Если пользователь не существует в Citrix ADC, он создается после проверки подлинности.

Примечание.

Если вам нужно создать пользователя вручную, обратитесь в службу технической поддержки клиентов Citrix ADC.

Проверка единого входа

В этом разделе описана конфигурация единого входа Microsoft Entra с помощью следующих параметров.

  • Щелкните "Тестировать это приложение", вы будете перенаправлены по URL-адресу входа Citrix ADC, где можно инициировать поток входа.

  • Перейдите по URL-адресу для входа в Citrix ADC и инициируйте поток входа.

  • Вы можете использовать портал "Мои приложения" корпорации Майкрософт. Щелкнув плитку Citrix ADC в окне "Мои приложения", вы перейдете по URL-адресу для входа в Citrix ADC. Дополнительные сведения о портале "Мои приложения" см. в этой статье.

Следующие шаги

После настройки Citrix ADC вы можете применить функцию управления сеансом, которая в реальном времени защищает конфиденциальные данные вашей организации от хищения и несанкционированного доступа. Управление сеансом является расширением функции условного доступа. Узнайте, как применять управление сеансами с помощью приложений Defender для облака.