PKI-Entitäten
Eine XenMobile-PKI-Entität ist eine Komponente, die PKI-Vorgänge (Ausstellung, Sperrung und Statusinformationen) durchführt. Dies sind interne oder externe Komponenten von XenMobile. Interne Komponenten werden als eigenverwaltet bezeichnet. Externe Komponenten sind Teil Ihrer Unternehmensinfrastruktur.
XenMobile unterstützt folgende Arten von PKI-Entitäten:
Microsoft Zertifikatdienste
Eigenverwaltete CAs
XenMobile unterstützt die folgenden Zertifizierungsstellenserver:
- Windows Server 2019
- Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012
- Windows Server 2008 R2
Allgemeine PKIs – Konzepte
Unabhängig von ihrem Typ umfasst jede PKI-Entität folgende Funktionen:
- Sign:Ausstellung eines neuen Zertifikats nach Zertifikatsignieranforderung (CSR)
- Fetch:Abruf eines vorhandenen Zertifikat-/Schlüsselpaars
- Revoke:Sperre eines Clientzertifikats
Informationen über Zertifizierungsstellenzertifikate
Beim Konfigurieren einer PKI-Entität müssen Sie in XenMobile angeben, welches ZS-Zertifikat die von dieser Entität ausgestellten bzw. wiederhergestellten Zertifikate signiert. Diese PKI-Entität kann abgerufene oder neu signierte Zertifikate, die von einer beliebigen Zahl verschiedener Zertifizierungsstellen signiert wurden, zurückgeben.
Stellen Sie das Zertifikat jeder dieser Zertifizierungsstellen als Teil der PKI-Entitätskonfiguration bereit. Hierfür laden Sie die Zertifikate in XenMobile hoch und referenzieren sie dann in der PKI-Entität. Bei eigenverwalteten Zertifizierungsstellen gehört das Zertifikat implizit zur signierenden Zertifizierungsstelle. Bei externen Entitäten müssen Sie das Zertifikat manuell definieren.
Wichtig:
Zur Vermeidung von Problemen bei der Authentifizierung registrierter Geräte verwenden Sie beim Erstellen einer Microsoft-Zertifikatdiensteentitätsvorlage keine Sonderzeichen im Vorlagennamen. Beispiele für Sonderzeichen:
! : $ ( ) # % + * ~ ? | { } [ ]
Microsoft Zertifikatdienste
XenMobile interagiert mit Microsoft Zertifikatdiensten über seine Schnittstelle zur Webregistrierung. XenMobile unterstützt nur die Ausstellung neuer Zertifikate über diese Schnittstelle. Wenn die Microsoft-ZS ein Citrix Gateway-Benutzerzertifikat erstellt, unterstützt Citrix Gateway Verlängerung und Sperrung für diese Zertifikate.
Zum Erstellen einer PKI-Entität für eine Microsoft-Zertifizierungsstelle in XenMobile müssen Sie die Basis-URL der Webschnittstelle für die Zertifikatdienste angeben. Bei entsprechender Auswahl verwenden Sie die SSL-Clientauthentifizierung zum Schützen der Verbindung zwischen XenMobile und der Webschnittstelle für die Zertifikatdienste.
Hinzufügen einer Microsoft-Zertifikatdiensteentität
Klicken Sie in der XenMobile-Konsole auf das Zahnradsymbol rechts oben und dann aufPKI-Entitäten.
Klicken Sie auf der SeitePKI-EntitätenaufHinzufügen.
静脉菜单der PKI-Entitatstypen将angezeigt。
Klicken Sie aufMicrosoft Zertifikatdiensteentität.
Die SeiteMicrosoft Zertifikatdiensteentität: Allgemeine Informationenwird angezeigt.
Konfigurieren Sie auf der SeiteMicrosoft Zertifikatdiensteentität: Allgemeine Informationenfolgende Einstellungen:
- Name:Geben Sie einen Namen für die neue Entität ein. Der Name von Entitäten muss eindeutig sein.
- Stamm-URL des Webregistrierungsdiensts:Geben Sie die Stamm-URL des Webregistrierungsdiensts für die Microsoft-Zertifizierungsstelle ein. Beispiel:
https://192.0.2.13/certsrv/
. Die URL darf HTTP oder HTTP über SSL verwenden. - certnew.cer page name:Name der certnew.cer-Seite. Verwenden Sie den Standardnamen, es sei denn, Sie haben die Seite aus irgendeinem Grund umbenannt.
- certfnsh.asp:Name der certfnsh.asp-Seite. Verwenden Sie den Standardnamen, es sei denn, Sie haben die Seite aus irgendeinem Grund umbenannt.
- Authentifizierungstyp:Wählen Sie die Authentifizierungsmethode, die Sie verwenden möchten.
- Ohne
- HTTP Basic:Geben Sie den Benutzernamen und das Kennwort für die Verbindung ein.
- Clientzertifikat:Wählen Sie das richtige SSL-Clientzertifikat aus.
Klicken Sie auf版本bindung testenum sicherzustellen, dass der Server erreichbar ist. Andernfalls wird eine Meldung angezeigt, dass die Verbindung fehlgeschlagen ist. Überprüfen Sie die Konfigurationseinstellungen.
Klicken Sie aufWeiter.
Die SeiteMicrosoft Zertifikatdiensteentität: Vorlagenwird angezeigt. Auf dieser Seite geben Sie die internen Namen der Vorlagen ein, die die Microsoft-Zertifizierungsstelle unterstützt. Beim Erstellen von Anmeldeinformationsanbietern wählen Sie eine Vorlage aus der hier definierten Liste aus. Jeder Anmeldeinformationsanbieter, der diese Entität verwendet, verwendet eine Vorlage.
Informationen zu den Anforderungen für Microsoft Zertifikatdienste-Vorlagen finden Sie in der Microsoft-Dokumentation zu Ihrer Windows Server-Version. In XenMobile gelten außer den unterZertifikateaufgeführten Regeln für Zertifikatformate keine weiteren Anforderungen für die von XenMobile verteilten Zertifikate.
Klicken Sie auf der SeiteMicrosoft Zertifikatdiensteentität: VorlagenaufHinzufügen, geben Sie den Namen der Vorlage ein und klicken Sie aufSpeichern. Wiederholen Sie diesen Schritt für jede Vorlage, die Sie hinzufügen möchten.
Klicken Sie aufWeiter.
Die SeiteMicrosoft Zertifikatdiensteentität: HTTP-Parameterwird angezeigt. Auf dieser Seite legen Sie benutzerdefinierte Parameter fest, die XenMobile in HTTP-Anforderungen an die Microsoft-Webregistrierungsschnittstelle einfügen soll. Benutzerdefinierte Parameter sind nur für angepasste Skripts nützlich, die auf der Zertifizierungsstelle ausgeführt werden.
Klicken Sie auf der SeiteMicrosoft Zertifikatdiensteentität: HTTP-ParameteraufHinzufügen, geben Sie Namen und Wert der gewünschten HTTP-Parameter ein und klicken Sie aufWeiter.
Die SeiteMicrosoft Zertifikatdiensteentität: ZS-Zertifikatewird angezeigt. Auf dieser Seite müssen Sie für XenMobile die Signierer der Zertifikate angeben, die das System über diese Entität erhält. Wenn das ZS-Zertifikat erneuert wurde, aktualisieren Sie es in XenMobile. XenMobile wendet die Änderung transparent auf die Entität an.
Wählen Sie auf der SeiteMicrosoft Zertifikatdiensteentität: ZS-ZertifikateZertifikate aus死去,死您毛皮死Entitat verwenden möchten.
Klicken Sie aufSpeichern.
Die Entität wird in der Tabelle der PKI-Entitäten angezeigt.
Citrix ADC-Zertifikatsperrliste
XenMobile unterstützt Zertifikatsperrlisten (CRL) nur für Drittanbieterzertifizierungsstellen. Wenn Sie eine Microsoft-Zertifizierungsstelle konfiguriert haben, wird in XenMobile zum Verwalten der Zertifikatsperre Citrix ADC verwendet.
Bedenken Sie beim Konfigurieren der Clientzertifikatauthentifizierung, ob Sie die Citrix ADC-Einstellung für Zertifikatsperrlisten (CRL)Enable CRL Auto Refreshkonfigurieren. Dadurch wird sichergestellt, dass Benutzer von Geräten im ausschließlichen MAM-Modus keine Authentifizierung mit einem existierenden Zertifikat am Gerät durchführen können.
XenMobile stellt ein neues Zertifikat aus, da es Benutzer nicht daran hindert, ein Benutzerzertifikat zu generieren, nachdem eines gesperrt wurde. Diese Einstellung erhöht die Sicherheit von PKI-Entitäten, wenn über die Zertifikatsperrliste auf abgelaufene PKI-Entitäten geprüft wird.
Eigenverwaltete Zertifizierungsstellen
Eine eigenverwaltete Zertifizierungsstelle wird erstellt, wenn Sie in XenMobile ein Zertifizierungsstellenzertifikat mit zugehörigem privatem Schlüssel angeben. XenMobile wickelt Zertifikatausstellung, Sperrungen und Statusinformationen intern gemäß den von Ihnen gewählten Parametern ab.
Beim Konfigurieren einer eigenverwalteten Zertifizierungsstelle können Sie OCSP-Unterstützung (Online Certificate Status Protocol) für diese ZS aktivieren. Wird die OCSP-Unterstützung aktiviert, fügt die Zertifizierungsstelle den von ihr ausgestellten Zertifikaten die Erweiterungid-pe-authorityInfoAccess
hinzu. Die Erweiterung verweist auf die XenMobile-internen OCSP-Responder im folgenden Verzeichnis:
https://
您要是窝OCSP-Dienst konfigurieren,得您ein OCSP-Signaturzertifikat für die eigenverwaltete Entität angeben. Sie können das Zertifizierungsstellenzertifikat selbst als Signaturzertifikat verwenden. Um eine unnötige Offenlegung des privaten Schlüssels Ihrer Zertifizierungsstelle zu vermeiden (dies wird empfohlen), erstellen Sie ein von der eigenverwalteten Zertifizierungsstelle signiertes Delegate-OCSP-Signaturzertifikat und schließen Sie folgende Erweiterung ein:id-kp-OCSPSigning extendedKeyUsage
.
Der OCSP-Responder-Dienst von XenMobile unterstützt einfache OCSP-Antworten und folgende Hashalgorithmen in Anforderungen:
- SHA-1
- SHA-224
- SHA-256
- SHA-384
- SHA-512
Antworten werden mit SHA-256 und dem Signaturzertifikat-Schlüsselalgorithmus (DSA, RSA oder ECDSA) signiert.
Hinzufügen von eigenverwalteten Zertifizierungsstellen
Klicken Sie in der XenMobile-Konsole auf das Zahnradsymbol rechts oben und dann aufMehr > PKI-Entitäten.
Klicken Sie auf der SeitePKI-EntitätenaufHinzufügen.
静脉菜单der PKI-Entitatstypen将angezeigt。
Klicken Sie aufEigenverwaltete ZS.
Die SeiteEigenverwaltete ZS: Allgemeine Informationenwird angezeigt.
Führen Sie auf der SeiteEigenverwaltete ZS: Allgemeine Informationenfolgende Schritte aus:
- Name:Geben Sie einen aussagekräftigen Namen für die eigenverwaltete ZS ein.
ZS-Zertifikate zum Signieren von Zertifikatanforderungen:Klicken Sie auf das Zertifikat, das von der eigenverwalteten ZS zum Signieren von Zertifikatanforderungen verwendet werden soll.
Die Liste der Zertifikate wird aus den von Ihnen überKonfigurieren > Einstellungen > Zertifikatein XenMobile hochgeladenen Zertifizierungsstellenzertifikaten mit privatem Schlüssel generiert.
Klicken Sie aufWeiter.
Die SeiteEigenverwaltete ZS: Parameterwird angezeigt.
Führen Sie auf der SeiteEigenverwaltete ZS: Parameterfolgende Schritte aus:
- Seriennummergenerator:Die eigenverwaltete ZS generiert Seriennummern für die von ihr herausgegebenen Zertifikate Klicken Sie in dieser Liste aufSequenzielloderNichtsequenziell, um zu bestimmen, wie die Nummern generiert werden sollen.
- Nächste Seriennummer:Geben Sie einen Wert für die nächste Seriennummer ein.
- Zertifikat gültig für:Geben Sie die Anzahl der Tage ein, für die das Zertifikat gültig sein soll.
- Schlüsselverwendung:Legen Sie den Zweck der von der eigenverwalteten ZS herausgegebenen Zertifikate fest, indem Sie die entsprechenden Schlüssel aufEinsetzen. Im Anschluss an diese Einstellung ist die Zertifizierungsstelle auf die Ausstellung von Zertifikaten für diese Zwecke beschränkt.
- Erweiterte Schlüsselverwendung:Zum Hinzufügen weiterer Parameter klicken Sie aufHinzufügen, geben Sie den Schlüsselnamen ein und klicken Sie aufSpeichern.
Klicken Sie aufWeiter.
Die SeiteEigenverwaltete ZS: Verteilungwird angezeigt.
Wählen Sie auf der SeiteEigenverwaltete ZS: Verteilungeinen Verteilungsmodus aus:
- Zentralisiert: Schlüssel serverseitig generieren:Citrix empfiehlt diese zentrale Verteilung. Die privaten Schlüssel werden auf dem Server generiert und gespeichert und auf die Benutzergeräte verteilt.
- 版本teilt: Schlüssel geräteseitig generieren:Die privaten Schlüssel werden auf den Benutzergeräten generiert. Beim verteilten Modus wird SCEP verwendet und es ist ein RA-Verschlüsselungszertifikat mit der Erweiterung
keyUsage keyEncryption
sowie ein RA-Signaturzertifikat mit der ErweiterungkeyUsage digitalSignature
erforderlich. Das gleiche Zertifikat kann für Verschlüsselung und Signieren verwendet werden.
Klicken Sie aufWeiter.
Die SeiteEigenverwaltete ZS: Online Certificate Status Protocol (OCSP)wird angezeigt.
Führen Sie auf der SeiteEigenverwaltete ZS: Online Certificate Status Protocol (OCSP)folgende Schritte aus:
- Wenn Sie den von dieser Zertifizierungsstelle signierten Zertifikaten die Erweiterung
AuthorityInfoAccess
(RFC2459) hinzufügen möchten, legen SieOCSP-Unterstützung für diese ZS aktivierenaufEinfest. Diese Erweiterung verweist auf den OCSP-Responder der Zertifizierungsstelle unterhttps://
./ /ocsp - Wenn Sie OCSP-Unterstützung aktiviert haben, wählen Sie ein OSCP-Zertifizierungsstellenzertifikat aus. Die Liste der Zertifikate wird aus den von Ihnen in XenMobile hochgeladenen Zertifizierungsstellenzertifikaten generiert.
- Wenn Sie den von dieser Zertifizierungsstelle signierten Zertifikaten die Erweiterung
Klicken Sie aufSpeichern.
Die eigenverwaltete ZS wird in der Tabelle der PKI-Entitäten angezeigt.