Authentifizierung mit Clientzertifikat oder Zertifikat und Domäne
Standardmäßig ist XenMobile für die Authentifizierung per Benutzernamen und Kennwort konfiguriert. Als zusätzliche Sicherheitsstufe für die Registrierung bei und den Zugriff auf die XenMobile-Umgebung ist die zertifikatbasierte Authentifizierung in Betracht zu ziehen. In der XenMobile-Umgebung bietet diese Konfiguration das beste Gleichgewicht zwischen Sicherheit und Benutzererfahrung. Die Authentifizierung per Zertifikat und Domäne bietet die besten SSO-Möglichkeiten in Kombination mit der von der zweistufigen Authentifizierung unter Citrix ADC gebotenen Sicherheit.
Die optimale Benutzerfreundlichkeit erreichen Sie, wenn Sie die Authentifizierung per Zertifikat und Domäne mit der Citrix-PIN und Active Directory-Kennwortcaching kombinieren. Die Benutzer müssen dann ihre LDAP-Benutzernamen und -Kennwörter nicht wiederholt eingeben. Die Benutzer geben Benutzernamen und Kennwörter für die Registrierung sowie bei Kennwortablauf und Kontosperrung ein.
Wichtig:
Der Authentifizierungsmodus kann nicht von Domänenauthentifizierung in einen anderen Authentifizierungsmodus geändert werden, nachdem Benutzer die Geräte bei XenMobile registriert haben.
Wenn Sie LDAP nicht zulassen und Smartcards oder ähnliche Methoden verwenden, können Sie durch Konfigurieren von Zertifikaten XenMobile eine Smartcard präsentieren. Die Benutzer registrieren sich in diesem Fall mit einer eindeutigen PIN, die von XenMobile generiert wird. Sobald ein Benutzer Zugriff hat, erstellt XenMobile das Zertifikat, das für die Authentifizierung bei der XenMobile-Umgebung verwendet wird, und stellt dieses bereit.
Sie können die in XenMobile erforderliche Konfiguration mit dem Citrix ADC für XenMobile-Assistenten durchführen, wenn Sie die Citrix ADC-Authentifizierung per Zertifikat oder per Zertifikat und Domäne verwenden. Sie können den Citrix ADC für XenMobile-Assistenten nur einmal ausführen.
In Hochsicherheitsumgebungen stellt die Verwendung von LDAP-Anmeldeinformationen außerhalb der Organisation in öffentlichen oder unsicheren Netzwerken eine große Sicherheitsbedrohung dar. In solchen Umgebungen kann die zweistufige Authentifizierung mit Clientzertifikat und Sicherheitstoken verwendet werden. Weitere Informationen finden Sie unterConfiguring XenMobile for Certificate and Security Token Authentication.
死Clientzertifikatauthentifizierung steht im XenMobile-MAM-Modus (Nur-MAM-Modus) und im ENT-Modus (wenn Benutzer sich bei MDM registrieren) zur Verfügung. Die Clientzertifikatauthentifizierung steht im XenMobile-ENT-Modus nicht zur Verfügung, wenn Benutzer sich im Legacy-MAM-Modus registrieren. Zum Verwenden von Clientzertifikatauthentifizierung im Enterprise- oder MAM-Modus müssen Sie den Microsoft-Server, XenMobile Server und dann Citrix Gateway konfigurieren. Folgen Sie den in diesem Artikel beschriebenen allgemeinen Schritten.
Auf dem Microsoft-Server:
- Fügen Sie der Microsoft Management Console ein Zertifikat-Snap-In hinzu.
- Fügen Sie der Zertifizierungsstelle (ZS) eine Vorlage hinzu.
- Erstellen Sie ein PFX-Zertifikat vom ZS-Server.
Auf dem XenMobile-Server:
- Laden Sie das Zertifikat in XenMobile hoch.
- Erstellen Sie die PKI-Entität für zertifikatbasierte Authentifizierung.
- Konfigurieren Sie Anmeldeinformationsanbieter.
- Konfigurieren Sie Citrix Gateway, um ein Benutzerzertifikat für die Authentifizierung bereitzustellen.
Informationen über die Citrix Gateway-Konfiguration finden Sie in folgenden Artikeln der Citrix ADC-Dokumentation:
- Clientauthentifizierung
- SSL-Profilinfrastruktur
- Konfigurieren und Binden einer Richtlinie für die Clientzertifikatauthentifizierung
Voraussetzungen
Vermeiden Sie beim Erstellen einer Microsoft-Zertifikatdiensteentitätsvorlage die Verwendung von Sonderzeichen. Verwenden in Vorlagennamen beispielsweise nicht folgende Zeichen:
: ! $ () # % + * ~ ? | {} []
- Informationen zum Konfigurieren der zertifikatbasierten Authentifizierung für Exchange ActiveSync finden Sie in diesemMicrosoft-Blog. Konfigurieren Sie die Serversite für die Zertifizierungsstelle, so dass Exchange ActiceSync Clientzertifikate anfordert.
- Wenn Sie private Serverzertifikate zum Schützen des ActiveSync-Datenverkehrs an Exchange Server verwenden, müssen die mobilen Geräte alle erforderlichen Stamm- und Zwischenzertifikate haben. Ansonsten schlägt die zertifikatbasierte Authentifizierung beim Einrichten des Postfachs in Secure Mail fehl. In der Exchange-IIS-Konsole müssen Sie folgende Schritte ausführen:
- Website für die Verwendung durch XenMobile mit Exchange hinzufügen und das Webserverzertifikat binden
- Port 9443 verwenden
- 毛死网站请来两Anwendungen hinzufugen,风景明信片für “Microsoft-Server-ActiveSync” und eine für “EWS”. Wählen Sie für beide Anwendungen unterSSL-Einstellungendie OptionSSL erforderlichaus.
Fügen Sie der Microsoft Management Console ein Zertifikat-Snap-In hinzu
Öffnen Sie die Konsole und klicken Sie aufSnap-In hinzufügen/entfernen.
Fügen Sie die folgenden Snap-Ins hinzu:
- Zertifikatvorlagen
- Zertifikate (lokaler Computer)
- Zertifikate – aktueller Benutzer
- Zertifizierungsstelle (lokal)
Erweitern SieZertifikatvorlagen.
Wählen Sie die VorlageBenutzerund dannDoppelte Vorlage.
Geben Sie den Anzeigenamen der Vorlage an.
Wichtig:
Aktivieren Sie das Kontrollkästchen fürZertifikat in Active Directory veröffentlichennur bei Bedarf. Wenn diese Option aktiviert ist, werden alle Benutzerclientzertifikate in Active Directory erstellt, wodurch die Active Directory-Datenbank überladen werden kann.
Wählen Sie als VorlagentypWindows 2003 Server. Wählen Sie in Windows 2012 R2-Server unterKompatibilitätdie OptionZertifizierungsstelleund legen Sie als EmpfängerWindows 2003fest.
Wählen Sie unterSicherheitin der SpalteZulassendie OptionRegistrierenfür die authentifizierten Benutzer aus.
Geben Sie unterKryptografiedie Schlüsselgröße an. Sie geben die Schlüsselgröße später bei der XenMobile-Konfiguration ein.
Wählen Sie unterAntragstellernamedie OptionInformationen werden in der Anforderung angegebenaus. Wenden Sie die Änderungen an und speichern Sie.
Hinzufügen der Vorlage zur Zertifizierungsstelle
Navigieren Sie zuZertifizierungsstelleund wählen SieZertifikatvorlagen.
Klicken Sie mit der rechten Maustaste in den rechten Bereich und wählen SieNeu > Auszustellende Zertifikatvorlage.
Wählen Sie die im vorherigen Schritt erstellte Vorlage und klicken Sie aufOK, um sie derZertifizierungsstellehinzuzufügen.
Erstellen eines PFX-Zertifikats vom ZS-Server
Erstellen Sie mit dem Dienstkonto, mit dem Sie sich angemeldet haben, ein PFX-Benutzerzertifikat. Diese PFX-Datei wird in XenMobile hochgeladen, um ein Benutzerzertifikat im Namen der Benutzer anzufordern, die ihre Geräte registrieren.
Erweitern SieZertifikateunterAktueller Benutzer.
Klicken Sie mit der rechten Maustaste in den rechten Bereich und klicken Sie aufNeues Zertifikat anfordern.
Der BildschirmZertifikatregistrierungwird angezeigt. Klicken Sie aufWeiter.
Wählen SieActive Directory-Registrierungsrichtlinieund klicken Sie aufWeiter.
Wählen Sie die VorlageBenutzerund klicken Sie aufRegistrieren.
Exportieren Sie die PFX-Datei, die Sie im vorherigen Schritt erstellt haben.
Klicken Sie aufJa, privaten Schlüssel exportieren.
Aktivieren Sie die KontrollkästchenWenn möglich, alle Zertifikate im Zertifizierungspfad einbeziehenundAlle erweiterten Eigenschaften exportieren.
Legen Sie ein Kennwort für den Upload des Zertifikats in XenMobile fest.
Speichern Sie das Zertifikat auf Ihrer Festplatte.
Hochladen des Zertifikats in XenMobile
Klicken Sie in der XenMobile-Konsole auf das Zahnradsymbol rechts oben. Die SeiteEinstellungenwird angezeigt.
Klicken Sie aufZertifikateund dann aufImportieren.
Geben Sie die folgenden Parameter ein:
- Importieren:Schlüsselspeicher
- Schlüsselspeichertyp:PKCS#12
- Verwenden als:服务器
- Schlüsselspeicherdatei:Klicken Sie aufDurchsuchen, um das erstellte
.pfx
-Zertifikat zu suchen. - Kennwort:Geben Sie das Kennwort ein, das Sie für dieses Zertifikat erstellt haben.
Klicken Sie aufImportieren.
Prüfen Sie, ob das Zertifikat richtig installiert wurde. Ein richtig installiertes Zertifikat wird als Benutzerzertifikat angezeigt.
Erstellen der PKI-Entität für die zertifikatbasierte Authentifizierung
Gehen Sie inEinstellungenzuMehr > Zertifikatverwaltung > PKI-Entitäten.
Klicken Sie aufHinzufügenund dann auf MicrosoftZertifikatdiensteentität. Der BildschirmMicrosoft Zertifikatdiensteentität: Allgemeine Informationenwird angezeigt.
Geben Sie die folgenden Parameter ein:
- Name:您杯以静脉。
- Stamm-URL des Webregistrierungsdiensts:
https://RootCA-URL/certsrv/
Achten Sie darauf, den letzten Schrägstrich (/) im URL-Pfad hinzuzufügen. - certnew.cer-Seitenname:certnew.cer (Standardwert)
- certfnsh.asp:certfnsh.asp (Standardwert)
- Authentifizierungstyp:Clientzertifikat
- SSL-Clientzertifikat:Wählen Sie das Benutzerzertifikat aus, das zum Ausstellen des XenMobile-Clientzertifikats verwendet werden soll.
Fügen Sie unterVorlagendie Vorlage hinzu, die Sie beim Konfigurieren des Microsoft-Zertifikats erstellt haben. Fügen Sie keine Leerzeichen hinzu.
Überspringen Sie “HTTP-Parameter” und klicken Sie aufZS-Zertifikate.
Wählen Sie den Namen der Stammzertifizierungsstelle, der mit Ihrer Umgebung übereinstimmt. Diese Stammzertifizierungsstelle gehört zur Kette, die aus dem XenMobile-Clientzertifikat importiert wurde.
Klicken Sie aufSpeichern.
Konfigurieren der Anmeldeinformationsanbieter
Navigieren Sie unterEinstellungenzuMehr > Zertifikatverwaltung > Anbieter für Anmeldeinformationen.
Klicken Sie aufHinzufügen.
Geben Sie unterAllgemeindie folgenden Parameter ein:
- Name:您杯以静脉。
- Beschreibung:Geben Sie eine Beschreibung ein.
- Ausstellende Entität:Wählen Sie die zuvor erstellte PKI-Entität aus.
- Ausstellungsmethode:SIGN
- Vorlagen:Wählen Sie die unter der PKI-Entität hinzugefügte Vorlage aus.
Klicken Sie aufZertifikatsignieranforderungund geben Sie die folgenden Parameter ein:
- Schlüsselalgorithmus:RSA
- Schlüsselgröße:2048
- Signaturalgorithmus:SHA256withRSA
- Antragsstellername:
cn=$user.username
Klicken Sie fürAlternative AntragstellernamenaufHinzufügenund geben Sie die folgenden Parameter ein:
- Typ:Benutzerprinzipalname
- Wert:
$user.userprincipalname
Klicken Sie aufVerteilungund geben Sie die folgenden Parameter ein:
- Zertifikat der ausstellenden ZS:Wählen Sie die ausstellende Zertifizierungsstelle, die das XenMobile-Clientzertifikat signiert hat.
- Verteilungsmodus wählen:Wählen SieBevorzugt zentralisiert: Schlüssel serverseitig generieren.
Legen Sie für die zwei folgenden AbschnitteXenMobile-SperrungundPKI-Sperrungdie Parameter nach Bedarf fest. In diesem Beispiel werden beide Optionen übersprungen.
Klicken Sie aufVerlängerung.
Wählen Sie fürZertifikate erneuern, wenn sie ablaufendie OptionEIN.
Behalten Sie für alle anderen Einstellungen die Standardwerte bei oder ändern Sie sie nach Bedarf.
Klicken Sie aufSpeichern.
Konfigurieren von Secure Mail für die zertifikatbasierte Authentifizierung
Beim Hinzufügen von Secure Mail zu XenMobile müssen Sie die Exchange-Einstellungen unterApp-Einstellungenkonfigurieren.
Konfigurieren der Citrix ADC-Zertifikatbereitstellung in XenMobile
Melden Sie sich bei der XenMobile-Konsole an und klicken Sie auf das Zahnradsymbol rechts oben. Die SeiteEinstellungenwird angezeigt.
Klicken Sie unter服务器aufCitrix Gateway.
Wenn Citrix Gateway noch nicht hinzugefügt wurde, klicken Sie aufHinzufügenund legen Sie folgende Einstellungen fest:
- Externe URL:
https://YourCitrixGatewayURL
- Anmeldetyp:Zertifikat und Domäne
- Kennwort erforderlich:AUS
- Als Standard setzen:EIN
- Externe URL:
Legen SieBenutzerzertifikat für Authentifizierung bereitstellenaufEinfest.
Wählen Sie unterAnmeldeinformationsanbietereinen Anbieter und klicken Sie aufSpeichern.
Zum Verwenden von sAMAccount-Attributen anstelle des UPN (Benutzerprinzipalname) in den Benutzerzertifikaten konfigurieren Sie den LDAP-Connector in XenMobile folgendermaßen: Navigieren Sie zuEinstellungen > LDAP, wählen Sie das Verzeichnis, klicken Sie aufBearbeitenund wählen Sie fürBenutzersuche nachdie OptionsAMAccountName.
Aktivieren der Citrix-PIN der Zwischenspeicherung von Benutzerkennwörtern
Um die Citrix-PIN und die Zwischenspeicherung von Benutzerkennwörtern zu aktivieren, gehen Sie zuEinstellungen > Clienteigenschaftenund aktivieren Sie die KontrollkästchenEnable Citrix-PIN AuthenticationundEnable User Password Caching. Weitere Informationen finden Sie unterClienteigenschaften.
Problembehandlung bei der Clientzertifikatkonfiguration
Wenn die Konfiguration wie oben beschrieben erfolgt ist und auch Citrix Gateway konfiguriert wurde, sieht der Workflow für Benutzer folgendermaßen aus:
Der Benutzer registriert sein mobiles Gerät.
XenMobile fordert den Benutzer auf, eine Citrix PIN zu erstellen.
Der Benutzer wird an den XenMobile Store weitergeleitet.
Wenn Benutzer Secure Mail starten, fordert XenMobile sie nicht auf, die Benutzeranmeldeinformationen einzugeben, um das Postfach zu konfigurieren. Stattdessen fordert Secure Mail das Clientzertifikat aus Secure Hub an und sendet es zur Authentifizierung an Microsoft Exchange Server. Wenn XenMobile beim Starten von Secure Mail durch die Benutzer die Eingabe von Anmeldeinformationen anfordert, prüfen Sie die Konfiguration.
Wenn die Benutzer Secure Mail herunterladen und installieren können, die Postfachkonfiguration jedoch nicht abgeschlossen werden kann, führen Sie folgende Schritte aus:
Wenn Microsoft Exchange Server ActiveSync private SSL-Serverzertifikate zum Schützen des Datenverkehrs verwendet, vergewissern Sie sich, dass Stamm- und Zwischenzertifikat auf dem Mobilgerät installiert sind.
Vergewissern Sie sich, dass für ActiveSync der AuthentifizierungstypClientzertifikate anfordernfestgelegt ist.
Vergewissern Sie sich, dass auf dem Microsoft Exchange Server für die SiteMicrosoft-Server-ActiveSyncdie Authentifizierung über Clientzertifikatzuordnung aktiviert ist. Standardmäßig ist die Authentifizierung über Clientzertifikatzuordnung deaktiviert. Die Option befindet sich unterKonfigurationseditor > Sicherheit > Authentifizierung.
Klicken Sie nach der Auswahl vonTrueaufAnwenden, damit die Änderungen wirksam werden.
Überprüfen Sie die Citrix Gateway-Einstellungen in der XenMobile-Konsole: Vergewissern Sie sich, dassBenutzerzertifikat für Authentifizierung bereitstellenaufEINfestgelegt ist und fürAnmeldeinformationsanbieterdas richtige Profil ausgewählt wurde.
Ermitteln, ob das Clientzertifikat auf einem Mobilgerät bereitgestellt wurde
Navigieren Sie in der XenMobile-Konsole zuVerwalten > Geräteund wählen Sie das Gerät.
Klicken Sie aufBearbeitenoderMehr anzeigen.
Navigieren Sie zum BereichBereitstellungsgruppenund suchen Sie folgenden Eintrag:
Citrix Gateway-Anmeldeinformationen: Requested credential, CertId=
Überprüfen, ob die Clientzertifikataushandlung aktiviert wurde
Führen Sie den Befehl
netsh
aus, um die auf der IIS-Website gebundene SSL-Zertifikatkonfiguration anzuzeigen:netsh http show sslcert
Wenn der Wert fürNegotiate Client CertificatemitDisabledangegeben ist, aktivieren Sie die Aushandlung mit folgendem Befehl:
netsh http delete sslcert ipport=0.0.0.0:443
netsh http add sslcert ipport=0.0.0.0:443 certhash=cert_hash appid={app_id} certstorename=store_name verifyclientcertrevocation=Enable VerifyRevocationWithCachedClientCertOnly=Disable UsageCheck=Enable clientcertnegotiation=Enable
Beispiel:
netsh http add sslcert ipport=0.0.0.0:443 certhash=609da5df280d1f54a7deb714fb2c5435c94e05da appid={4dc3e181-e14b-4a21-b022-59fc669b0914} certstorename=ExampleCertStoreName verifyclientcertrevocation=Enable VerifyRevocationWithCachedClientCertOnly=Disable UsageCheck=Enable clientcertnegotiation=Enable
In diesem Artikel
- Voraussetzungen
- Fügen Sie der Microsoft Management Console ein Zertifikat-Snap-In hinzu
- Hinzufügen der Vorlage zur Zertifizierungsstelle
- Erstellen eines PFX-Zertifikats vom ZS-Server
- Hochladen des Zertifikats in XenMobile
- Erstellen der PKI-Entität für die zertifikatbasierte Authentifizierung
- Konfigurieren der Anmeldeinformationsanbieter
- Konfigurieren von Secure Mail für die zertifikatbasierte Authentifizierung
- Konfigurieren der Citrix ADC-Zertifikatbereitstellung in XenMobile
- Problembehandlung bei der Clientzertifikatkonfiguration