Referenzarchitekturen der StoreFront-Authentifizierung im eigenen Rechenzentrum für Citrix DaaS

Es gibt verschiedene Gründe, Citrix StoreFront im eigenen Rechenzentrum zu hosten, statt die Citrix工作空间平台zu nutzen。Angesichts der Komplexität einiiger Umgebungen ist es wicichtig zu wissen, wie Citrix Cloud-Komponenten mit StoreFront and Active Directory interagieren, wenn StoreFront als primäres Benutzerfrontend für den Dienst fungiert。

Citrix工作空间erfüllt zwar die Anforderungen der meisten Anwendungsfälle von Citrix DaaS (früher Citrix虚拟应用程序和桌面服务)，在Einzelfällen muss jedoch StoreFront im Rechenzentrum oder an resourcenstandorten des Kunden gehostet werden。

Gründe für das Hosten von StoreFront im eigenen Rechenzentrum

• Unterstützung der lokalen Hostcache-Funktionalität在云连接器
• Citrix Workspace unterstützt keine Authentifizierung per智能卡
• Nicht standardmäßige store - konfigationen (web.config中的Änderungen)
• 托管mehererer store - konfigationen für internne und externe Benutzer

diesel Artikel enthält einen Überblick über die architecture turen und die Interaktion der Komponenten mit verschiedenen, von Active Directory-Designs unterstützten Authentifizierungsszenarien。云连接器treten einer Domäne bei und ermöglichen Citrix DaaS die Active Directory-Zuweisung von Benutzern und Gruppen der Domäne bzw。vertrauenswurdiger Domanen。Die Cloud Connectors fungieren außerdem als交付控制器和STA-Server für StoreFront- und Citrix Gateway-Komponenten。

在diesem Artikel wid davon ausgegangen, dass StoreFront和Gateway-Komponenten im selben Rechenzentrum gehostet werden。

Übergeordnete und untergeordnete Domänen als Ressourcendomänen

In diesem Szenario fungiert die untergeordnete Domäne als Ressourcendomäne für虚拟桌面代理(VDAs)和StoreFront-Instanzen。死übergeordnete Domäne enthält死Benutzer，死auf死资源在under tergeordneten Domäne zugreifen。

1. 云连接器treten nur der untergeordneten Domäne bei。Die bidirektionale, transitive Vertrauensstellung zwischen untergeodneter und übergeordneter Domäne ermöglicht dem云连接器Die Kommunikation mit dem globalen Katalog in der übergeordneten Domäne。
2. StoreFront gehört der untergeordneten Domäne an。Die Store-Authentifizierung ist für Benutzername/Kennwort und Passthrough von Citrix Gateway konfiguriert。Die Benutzername/Kennwort-Authentifizierung ist so konfiguriert, dass jder Domäne vertraut wid。
3. Das Citrix gateway - authentifizierungsprofilist so konfiguriert, dass die übergeordnete Domäne den UPN als primäre Anmeldemethode verwendet。Müssen sich auch Benutzer ausder untergeordneten Domäne authentifizieren, dann müssen ldap - authentifizierungsproffil und -richtlinie für die untergeordnete Domäne ebenfalls an den virtuellen Gateway-Server gebunden sein。
4. Bearbeiten Sie die Citrix网关- sitzungsbetriebssystem - und网络配置文件和legen Sie die选项“已发布的应用程序/单点登录”auf leer fest (möglicherweise muss eine Außerkraftsetzung festgelegt werden)。

Verbindungsworkflow

1. User@corp.com meldet sich bei Citrix Gateway an。Gateway sucht den Benutzer and hand des Authentifizierungsprofils und wählt die Richtlinienaktion。
2. Die Anmeldeinformationen werden an StoreFront übergeben。StoreFront akzeptiert模具Anmeldeinformationen和übergibt sie an die云连接器(模具交付控制器真菌)。
3. Die Cloud Connectors suchen Die von Citrix Cloud benötigten Benutzerobjektdetails。
4. Die Cloud Connectors übergeben Die Identitätsinformationen an Citrix Cloud, der Benutzer bird durch Identitätstoken authentifiziert und ihm zugewiesenen resource werden aufgelistet。
5. Die Cloud Connectors geben Die zugewiesenen resourcen an StoreFront zurück, damit sie für den Benutzer aufgelistet werden。
6. winn der Benutzer eine Anwendung oder einen桌面启动，generiert Citrix Gateway mithilfe der konfigurierten Cloud Connectors eine STA-Ticketanforderung。
7. Die Citrix Cloud- broker verwalten Die Sitzungen zwischen der Ressourcendomäne und den云连接器和VDAs, Die am resource censtandort registriert sind。
8. Die Sitzung wid zwischen客户端，Citrix Gateway und dem aufgelösten VDA eingerichtet。

Externe vertrauenswürdige Domänen an Ressourcendomäne

在diesem Szenario benötigt ein Geschäftspartner Zugriff auf für Unternehmensbenutzer veröffentlichte资源。死Unternehmensdomäne ist corp.com死Partnerdomäne ist partner.com。

1. 死亡Unternehmensdomäne帽子eine ausgehende Vertrauensstellung zur Partnerdomäne。Die Benutzer der Partnerdomäne können sich bei Ressourcen in der Unternehmensdomäne authentifizieren。
2. Der Citrix Cloud-Kunde benötigt zwei Ressourcenstandorte: einen für corp.com-Cloud Connectors und den zweiten für partner.com-Cloud Connectors。Die partner.com-云连接器werden nur für Authentifizierungs und Identitätsaufrufe an Die Domäne benötigt。Sie verhandeln keine VDAs oder Sitzungen。
3. StoreFront gehört der Domäne corp.com模具云连接器在Domäne corp.com werden als交付控制器在Store-Konfiguration verwendet。Die Store-Authentifizierung ist für Benutzername/Kennwort und Passthrough von Citrix Gateway konfiguriert。Die Benutzername/Kennwort-Authentifizierung ist so konfiguriert, dass jder Domäne vertraut wid。
4. Das Citrix gateway - authentifizierungsprofilist so konfiguriert, dass die Domäne corp.com den UPN als primäre Anmeldemethode verwendet。Konfigurieren Sie ein zweites profile和eine zweite Richtlinie für die Domäne partner.com zur Verwendung des UPN und bden Sie diese an denselben virtuellen网关-服务器wie für die Domäne corp.com。
5. Bearbeiten Sie die Citrix网关- sitzungsbetriebssystem - und网络配置文件和legen Sie die选项“已发布的应用程序/单点登录”auf leer fest (möglicherweise muss eine Außerkraftsetzung festgelegt werden)。

Hinweis:

Abhängig vom Standort der external vertrauenswürdigen Domäne sind die Startzeiten für die external Domänenbenutzer möglicherweise länger als für Benutzer in der übergeordneten Domäne。

Verbindungsworkflow

1. User@partner.com meldet sich bei Citrix Gateway an。Benutzer认证证书，德国UPN entspricht，和wählt德国Richtlinienaktion。
2. Die Anmeldeinformationen werden an StoreFront übergeben。StoreFront akzeptiert模具Anmeldeinformationen和übergibt sie an die云连接器(模具交付控制器真菌)。
3. Die Cloud Connectors suchen Die von Citrix Cloud benötigten Benutzerobjektdetails。
4. Die Cloud Connectors übergeben Die Identitätsinformationen an Citrix Cloud, der Benutzer bird durch Identitätstoken authentifiziert und ihm zugewiesenen resource werden aufgelistet。
5. Die Cloud Connectors geben Die zugewiesenen resourcen an StoreFront zurück, damit sie für den Benutzer aufgelistet werden。
6. Wenn der Benutzer eine Anwendung oder einen桌面启动，generiert Citrix Gateway mithilife der konfigurierten云连接器(in diesem Fall auschild1.corp.com) eine STA-Ticketanforderung。
7. Die Citrix Cloud- broker verwalten Die Sitzungen zwischen der Ressourcendomäne und den云连接器和VDAs, Die am resource censtandort registriert sind。
8. Die Sitzung wid zwischen客户端，Citrix Gateway und dem aufgelösten VDA eingerichtet。

Gesamtstruktur-/Verknüpfungsvertrauensstellungen an Ressourcendomänen

Domänen mit Gesamtstruktur- oder Verknüpfungsvertrauensstellung werden nur unterstützt, wenn sie als externe Domänenvertrauensstellung zur Ressourcendomäne behandelt werden。Für gesamtstrukturl - vertrauensstellungen gilt das unterExterne vertrauenswürdige Domänen an Ressourcendomänebeschriebene埃森展览。Der Inhalt dieses Abschnitt kann sich künftig ändern, je nachdem wie native gesamtstrukturl - vertrauensstellungen zwischen Benutzer und Ressourcendomänen/-gesamtstrukturen unterstützt werden können。