SAML für Single Sign-On mit Citrix Files

科尔XenMobile和Citrix内容aboration können zur Verwendung von SAML (Security Assertion Markup Language) konfiguriert werden, um SSO-Zugriff (Single Sign-On) auf mobile Citrix Files-Apps bereitzustellen. Diese Funktionalität umfasst:

• Citrix Files-Apps, die MAM-SDK-fähig sind oder Apps, die mit dem MDX Toolkit umschlossen wurden

• Nicht umschlossene Citrix Files-Clients, z. B. die Website, das Outlook-Plug-in oder Synchronisierungsclients

• Umschlossene Citrix Files-Apps. Benutzer, die sich bei Citrix Files über die mobile Citrix Files-App anmelden, werden zur Benutzerauthentifizierung und zum Abrufen eines SAML-Tokens an Secure Hub weitergeleitet. Nach einer erfolgreichen Authentifizierung sendet die mobile Citrix Files-App das SAML-Token an Content Collaboration. Nach der Erstanmeldung können Benutzer über SSO auf die mobile Citrix Files-App zugreifen. Sie können außerdem Dokumente aus Content Collaboration an E-Mails in Secure Mail anfügen, ohne sich jedes Mal neu anzumelden.
• Nicht umschlossene Citrix Files-Clients. Benutzer, die sich über einen Webbrowser oder einen anderen Citrix Files-Client bei Citrix Files anmelden, werden an XenMobile umgeleitet. XenMobile authentifiziert die Benutzer, die dann einen SAML-Token erhalten, der an Content Collaboration gesendet wird. Nach der ersten Anmeldung können Benutzer auf Citrix Files-Clients über SSO ohne erneute Anmeldung zugreifen.

Zur Verwendung von XenMobile als SAML-Identitätsanbieter (IdP) für Content Collaboration müssen Sie XenMobile wie in diesem Artikel beschrieben für die Verwendung mit Enterprise-Konten konfigurieren. Alternativ können Sie XenMobile für die ausschließliche Zusammenarbeit mit Speicherzonenconnectors konfigurieren. Weitere Informationen finden Sie unterVerwenden von Citrix Content Collaboration mit XenMobile.

Ein detailliertes Architekturdiagramm finden Sie unterArchitektur.

Voraussetzungen

Damit Sie Single Sign-On für XenMobile und Citrix Files-Apps konfigurieren können, müssen die folgenden Voraussetzungen erfüllt sein:

• Das MAM-SDK oder eine kompatible Version des MDX Toolkits (für mobile Citrix Files-Apps).

  Weitere Informationen finden Sie unterXenMobile-Kompatibilität.

• Eine kompatible Version mobiler Citrix Files-Apps und Secure Hub.
• Content Collaboration-Administratorkonto.
• Überprüfte Konnektivität zwischen XenMobile und Content Collaboration.

Konfigurieren des Zugriffs auf Content Collaboration

Bevor您SAML毛皮einrichte内容合作n, stellen Sie die Zugriffsinformationen für Content Collaboration wie folgt bereit:

1. Klicken Sie in der XenMobile-Webkonsole aufKonfigurieren > ShareFile. Die KonfigurationsseiteShareFilewird angezeigt. In Ihrer Konsole wird möglicherweise der Begriff “Content Collaboration” anstelle von ShareFile angezeigt.

   

2. Konfigurieren Sie folgende Einstellungen:

   • Domäne:Geben Sie Ihren Content Collaboration-Unterdomänennamen ein. Beispiel:example.sharefile.com.
   • Bereitstellungsgruppen zuweisen:Suchen Sie nach Bereitstellungsgruppen, die SSO mit Content Collaboration verwenden sollen, oder wählen Sie sie aus.
   • ShareFile-Administratorkonto
   • Benutzername:Geben Sie den Benutzernamen des Content Collaboration-Administrators ein. Dieses Benutzerkonto muss über Administratorrechte verfügen.
   • Kennwort:Geben Sie das Kennwort des Content Collaboration-Administrators ein.
   • Benutzerkontoprovisioning:Lassen Sie diese Einstellung deaktiviert. Verwenden Sie das Content Collaboration User Management Tool für das Provisioning von Benutzern. SieheProvision user accounts and distribution groups.

3. Sie können über die SchaltflächeVerbindung testenprüfen, ob Benutzername und Kennwort des Content Collaboration-Administratorkontos für das angegebene Content Collaboration-Konto authentifiziert werden.

4. Klicken Sie aufSpeichern.

   • XenMobile und Content Collaboration werden synchronisiert und die Content Collaboration-EinstellungenShareFile-Aussteller/Entitäts-IDundAnmelde-URLwerden aktualisiert.

   • Auf der SeiteKonfigurieren > ShareFilewird derinterne App-Nameangezeigt. Sie benötigen diesen Namen, um die inÄndern der SSO-Einstellungen für Citrix Files.combeschriebenen Schritte auszuführen.

Einrichten von SAML für umschlossene Citrix Files MDX-Apps

Sie müssen Citrix Gateway nicht für die Single Sign-On-Konfiguration von umschlossenen Citrix Files MDX-Apps verwenden. Informationen zum Konfigurieren des Zugriffs für nicht umschlossene Citrix Files-Clients wie die Website, das Outlook-Plug-In oder die Sync-Clients finden Sie unterKonfigurieren von Citrix Gateway für andere Citrix Files-Clients.

Die folgenden Schritte gelten für iOS- und Android-Apps und -Geräte. So konfigurieren Sie SAML für umschlossene Citrix Files MDX-Apps:

1. Umschließen Sie die mobile Citrix Files-App mit dem MDX Toolkit. Informationen hierzu finden Sie unterUmschließen von Apps mit dem MDX Toolkit.

2. Laden Sie in der XenMobile-Konsole die umschlossene mobile Citrix Files-App hoch. Weitere Informationen zum Hochladen von MDX-Apps finden Sie unterHinzufügen einer MDX-App zu XenMobile.

3. Überprüfen Sie die SAML-Einstellungen: Melden Sie sich bei Content Collaboration mit den Anmeldeinformationen des Administrators an, die Sie zuvor konfiguriert haben.

4. Vergewissern Sie sich, dass Content Collaboration und XenMobile für dieselbe Zeitzone konfiguriert sind. Stellen Sie sicher, dass in XenMobile die Uhrzeit der konfigurierten Zeitzone angezeigt wird. Ist dies nicht der Fall, kann das SSO fehlschlagen.

Uberprufen der mobilen Citrix Files-App

1. Installieren und konfigurieren Sie Secure Hub auf dem Benutzergerät.

2. Laden Sie die mobile Citrix Files-App aus dem XenMobile-Store herunter und installieren Sie sie.

3. Starten Sie die mobile Citrix Files-App. Citrix Files wird ohne Anforderung von Benutzernamen und Kennwort gestartet.

Überprüfung mit Secure Mail

1. Installieren und konfigurieren Sie Secure Hub gegebenenfalls auf dem Benutzergerät.

2. Laden Sie Secure Mail aus dem XenMobile Store herunter und installieren und konfigurieren Sie das Programm.

3. Öffnen Sie ein neues E-Mail-Formular und tippen Sie aufVon Citrix Files anfügen. Die zum Anfügen verfügbaren Dateien werden ohne Anforderung von Benutzernamen und Kennwort angezeigt.

Konfigurieren von Citrix Gateway für andere Citrix Files-Clients

Zum Konfigurieren des Zugriffs für nicht umschlossene Citrix Files-Clients (z. B. Website, Outlook-Plug-In oder Synchronisierungsclients) konfigurieren Sie Citrix Gateway folgendermaßen, damit es die Verwendung von XenMobile als SAML-Identitätsanbieter unterstützt:

• Deaktivieren Sie die Homepageumleitung.
• Erstellen Sie eine Citrix Files-Sitzungsrichtlinie und ein Profil.
• Konfigurieren Sie Richtlinien auf dem virtuellen Citrix Gateway-Server.

Deaktivieren der Homepageumleitung

Deaktivieren Sie das Standardverhalten für Anforderungen aus dem /cginfra-Pfad. Dadurch können Benutzer die ursprünglich angeforderte interne URL anstelle der konfigurierten Homepage sehen.

1. Bearbeiten Sie die Einstellungen für den virtuellen Citrix Gateway-Server, der für XenMobile-Anmeldungen verwendet wird. Navigieren Sie in Citrix ADC zuOther Settingsund deaktivieren Sie das KontrollkästchenRedirect to Home Page.

   

2. Geben Sie unterShareFile(jetzt Content Collaboration genannt) den internen Namen des XenMobile-Servers und die Portnummer ein.

3. Geben Sie unterCitrix Endpoint ManagementIhre XenMobile-URL ein. Ihre Version von Citrix Gateway verwendet möglicherweise den älteren ProduktnamenAppController.

   Mit dieser Konfiguration werden Anforderungen an die über den /cginfra-Pfad eingegebene URL genehmigt.

Erstellen einer Citrix Files-Sitzungsrichtlinie und eines Anforderungsprofils

Konfigurieren Sie die folgenden Einstellungen zum Erstellen einer Citrix Files-Sitzungsrichtlinie und eines Anforderungsprofils:

1. Klicken Sie im Konfigurationsprogramm für Citrix Gateway im linken Navigationsbereich aufCitrix Gateway > Policies > Session.

2. Erstellen Sie eine Sitzungsrichtlinie. Klicken Sie auf der RegisterkartePoliciesaufAdd.

3. Geben Sie im FeldNameden AusdruckShareFile_Policyein.

4. Erstellen Sie eine Aktion durch Klicken auf die+-Schaltfläche. Die SeiteCreate Session Profilewird angezeigt.

   

   Konfigurieren Sie folgende Einstellungen:

   • Name:Geben SieShareFile_Profileein.
   • Klicken Sie auf die RegisterkarteClient Experienceund konfigurieren Sie die folgenden Einstellungen:
     • Home Page:Geben Sienoneein.
     • Session Time-out (mins):Geben Sie1ein.
     • Single Sign-on to Web Applications:Wählen Sie diese Einstellung aus.
     • Credential Index:Klicken Sie aufPRIMARY.
   • Klicken Sie auf die RegisterkartePublished Applications.

   

   Konfigurieren Sie folgende Einstellungen:

   • ICA Proxy:Klicken Sie aufON.
   • Web Interface Address:Geben Sie die XenMobile Server-URL ein.

   • Single Sign-on Domain:Geben Sie den Namen Ihrer Active Directory-Domäne ein.

     Beim Konfigurieren des Citrix Gateway-Sitzungsprofils muss das Domänensuffix fürSingle Sign-on Domainmit dem in LDAP festgelegten XenMobile-Domänenalias übereinstimmen.

5. Klicken Sie aufCreate, um das Sitzungsprofil zu definieren.

6. Klicken Sie aufExpression Editor.

   

   Konfigurieren Sie folgende Einstellungen:

   • Value:Geben SieNSC_FSRDein.
   • Header Name:Geben SieCOOKIEein.

7. Klicken Sie aufCreateund dann aufClose.

   

Konfigurieren von Richtlinien auf dem virtuellen Citrix Gateway-Server

Konfigurieren Sie die folgenden Einstellungen auf dem virtuellen Citrix Gateway-Server.

1. Klicken Sie im Konfigurationsprogramm für Citrix Gateway im linken Navigationsbereich aufCitrix Gateway > Virtual Servers.

2. Klicken Sie im BereichDetailsauf den virtuellen Citrix Gateway-Server.

3. Klicken Sie aufEdit.

4. Klicken Sie aufConfigured policies > Session policiesund dann aufAdd binding.

5. Wählen SieShareFile_Policyaus.

6. Bearbeiten Sie die automatisch generierte Prioritätszahl unterPriorityfür die ausgewählte Richtlinie so, dass sie die höchste Priorität (die niedrigste Zahl) vor allen anderen aufgeführten Richtlinien hat. Beispiel:

   

7. Klicken Sie aufDoneund speichern Sie die ausgeführte Citrix ADC-Konfiguration.

Ändern der SSO-Einstellungen für Citrix Files.com

Nehmen Sie die folgenden Änderungen für mit MDX umschlossene und nicht umschlossene Citrix Files-Apps vor.

Wichtig:

An den internen Anwendungsnamen wird eine neue Nummer angehängt:

• Jedes Mal, wenn Sie die Citrix Files-App bearbeiten oder neu erstellen
• Jedes Mal, wenn Sie die Content Collaboration-Einstellungen in XenMobile ändern

Daher müssen Sie die Anmelde-URL auf der Citrix Files-Website dem neuen App-Namen entsprechend aktualisieren.

1. Melden Sie sich bei Ihrem Content Collaboration-Konto (https://.sharefile.com) als Content Collaboration-Administrator an.

2. Klicken Sie im Content Collaboration-Webinterface aufAdminund wählen SieSingle Sign-On konfigurierenaus.

3. Bearbeiten Sie den Eintrag im FeldAnmelde-URLwie folgt:

   Beispiel für eineAnmelde-URLvor der Bearbeitung:https://xms.citrix.lab/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML_SP&reqtype=1.

   

   • Geben Sie den externen FQDN des virtuellen Citrix Gateway-Servers plus/cginfra/https/vor dem FQDN des XenMobile-Servers und hinter dem FQDN des XenMobile-Servers8443ein.

     Beispiel für eine URL nach der Bearbeitung:https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=SHareFile_SAML_SP&reqtype=1

   • Ändern Sie den Parameter&app=ShareFile_SAML_SPin den internen Citrix Files-App-Namen. Der interne Name lautet standardmäßigShareFile_SAML. Jedes Mal, wenn Sie die Konfiguration ändern, wird eine Zahl an den internen Namen angehängt (ShareFile_SAML_2,ShareFile_SAML_3usw.). Sie können deninternen App-Namenauf der SeiteKonfigurieren > ShareFilenachschlagen.

     Beispiel für eine URL nach der Bearbeitung:https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1

   • Hängen Sie&nssso=truean das Ende der URL an.

     Beispiel der endgültigen URL:https://nsgateway.acme.com/cginfra/https/xms.citrix.lab:8443/samlsp/websso.do?action=authenticateUser&app=ShareFile_SAML&reqtype=1&nssso=true.

4. Aktivieren Sie unterOptional Settingsdas KontrollkästchenEnable Web Authentication.

   

Überprüfen der Konfiguration

Überprüfen Sie die Konfiguration wie nachfolgend beschrieben.

1. Geben Siehttps://sharefile.com/saml/loginim Browser ein.

   Sie werden zum Citrix Gateway-Anmeldungsformular umgeleitet. Erfolgt keine Umleitung, überprüfen Sie die oben aufgeführten Konfigurationseinstellungen.

2. Geben Sie die Anmeldeinformationen ein, die Sie für die Citrix Gateway- bzw. XenMobile-Umgebung konfiguriert haben.

   Ihre Citrix Files-Ordner unter.sharefile.comwerden angezeigt. Wenn keine Citrix Files-Ordner angezeigt werden, prüfen Sie, ob Sie die richtigen Anmeldeinformationen eingegeben haben.