管理用户
通过定义用户、组、角色和权限,可以控制谁可以访问Citrix Hypervisor服务器和池,以及他们可以执行什么操作。
首次安装Citrix Hypervisor时,会自动在Citrix Hypervisor中添加用户。该帐户为本地超级用户LSU或root, Citrix Hypervisor本地认证的用户。
LSU或root是用于系统管理的特殊用户帐户,具有所有权限。在Citrix Hypervisor中,LSU是安装时的默认帐号。Citrix Hypervisor对LSU帐户进行认证。LSU不需要任何外部认证服务。当外部认证服务失败时,LSU仍然可以登录并管理系统。LSU始终可以通过SSH协议访问Citrix Hypervisor物理服务器。
您可以通过XenCenter的users选项卡或xe CLI添加Active Directory帐户来创建更多用户。如果您的环境不使用Active Directory,则只能使用LSU帐户。
注意:
在创建用户时,Citrix Hypervisor不会自动为新创建的用户帐户分配RBAC角色。因此,在为这些帐户分配角色之前,它们不能访问Citrix Hypervisor池。
这些权限是通过角色授予的,如中所述AD认证用户部分。
使用Active Directory (AD)认证用户
如果希望在一台服务器或一个池上有多个用户帐户,则必须使用Active Directory用户帐户进行身份验证。AD帐户允许Citrix Hypervisor用户使用他们的Windows域凭据登录到一个池。
注意:
您可以在AD域控制器上启用LDAP通道绑定和LDAP签名。有关更多信息,请参见微软安全咨询.
您可以通过启用Active Directory身份验证、添加用户帐户并为这些帐户分配角色,为特定用户配置不同的访问级别。
Active Directory用户可以使用xe命令行(传递适当的- u
而且pw
参数),并使用XenCenter连接到主机。身份验证是在每个资源池的基础上进行的。
主题控制对用户帐户的访问。Citrix Hypervisor中的主题映射到目录服务器上的实体(用户或组)。当启用外部身份验证时,Citrix Hypervisor会根据本地根凭证和主题列表检查用于创建会话的凭证。要允许访问,请为要授予访问权的个人或组创建主题条目。您可以使用XenCenter或xe CLI创建主题条目。
如果您熟悉XenCenter,请注意Citrix Hypervisor CLI使用了稍微不同的术语来指代Active Directory和用户帐户特性
尽管Citrix Hypervisor是基于linux的,但Citrix Hypervisor允许对Citrix Hypervisor用户帐户使用活动目录帐户。为此,它将Active Directory凭据传递给Active Directory域控制器。
将Active Directory添加到Citrix Hypervisor时,Active Directory用户和组将成为Citrix Hypervisor主题。这些主题在XenCenter中称为用户。在向Citrix Hypervisor注册主题时,登录时使用Active Directory对用户/组进行身份验证。用户和组不需要使用域名限定用户名。
要限定用户名,必须以“低级登录名称”格式输入用户名,例如,mydomain \ myuser
.
注意:
默认情况下,如果您没有限定用户名,XenCenter将尝试使用它所加入的域将用户登录到AD认证服务器。唯一的例外是LSU帐户,XenCenter总是首先在本地(即在Citrix Hypervisor上)对其进行身份验证。
外部认证流程如下:
连接到服务器时提供的凭据被传递到Active Directory域控制器进行身份验证。
域控制器检查凭据。如果它们无效,身份验证立即失败。
如果凭据有效,则查询Active Directory控制器以获得与凭据关联的主题标识符和组成员资格。
如果主题标识符与Citrix Hypervisor中存储的标识符匹配,则身份验证成功。
当您加入域时,您将为该池启用Active Directory身份验证。但是,当一个池加入一个域时,只有该域(或与它有信任关系的域)中的用户可以连接到池。
注意:
不支持手动更新dhcp配置的网络PIF的DNS配置,可能导致AD集成失败或用户认证停止工作。
配置Active Directory认证
Citrix Hypervisor支持使用Windows 2008或更高版本的Active Directory服务器。
要对Citrix Hypervisor服务器的Active Directory进行身份验证,必须对Active Directory服务器(配置为允许互操作性)和Citrix Hypervisor服务器使用相同的DNS服务器。在某些配置中,活动目录服务器可以自己提供DNS。这可以通过使用DHCP向Citrix Hypervisor服务器提供IP地址和DNS服务器列表来实现。或者,您可以在PIF对象中设置值,或者在使用手动静态配置时使用安装程序。
建议启用DHCP分配主机名。不分配主机名本地主机
或linux
主机。
警告:
在整个Citrix Hypervisor部署过程中,Citrix Hypervisor服务器名称必须是唯一的。
请注意以下几点:
Citrix Hypervisor使用它的主机名在AD数据库上标记它的AD条目。如果两台具有相同主机名的Citrix Hypervisor加入同一个AD域,第二个Citrix Hypervisor将覆盖第一个Citrix Hypervisor的AD条目。不管主机是属于相同的池还是不同的池,都会发生覆盖。这可能导致第一个Citrix Hypervisor上的AD身份验证停止工作。
您可以在两台Citrix Hypervisor服务器中使用相同的主机名,只要它们加入不同的AD域即可。
Citrix Hypervisor服务器可以位于不同的时区,因为比较的是UTC时间。为了保证同步的正确性,您可以为Citrix Hypervisor池和Active Directory服务器使用相同的NTP服务器。
不支持混合身份验证池。不能将池中的一些服务器配置为使用Active Directory,而另一些服务器不配置)。
Citrix Hypervisor活动目录集成使用Kerberos协议与活动目录服务器通信。因此,Citrix Hypervisor不支持与不使用Kerberos的Active Directory服务器通信。
要成功使用Active Directory进行外部身份验证,Citrix Hypervisor服务器上的时钟必须与Active Directory服务器上的时钟同步。当Citrix Hypervisor加入Active Directory域时,如果服务器之间存在过大的倾斜,则会检查同步并验证失败。
警告:
主机名必须由不超过63个字母数字字符组成,并且不能纯为数字。
启用Active Directory认证后,将服务器加入池时,会提示加入池的服务器上配置Active Directory。当提示在连接服务器上输入凭据时,键入具有足够权限的Active Directory凭据,以便将服务器添加到该域。
活动目录集成
确保以下防火墙端口对出站流量开放,以便Citrix Hypervisor能够访问域控制器。
港口 | 协议 | 使用 |
---|---|---|
53 | UDP / TCP | DNS |
88 | UDP / TCP | Kerberos 5 |
123 | UDP | 国家结核控制规划 |
137 | UDP | NetBIOS名称服务 |
139 | TCP | NetBIOS会话(SMB) |
389 | UDP / TCP | LDAP |
445 | TCP | SMB / TCP |
464 | UDP / TCP | 机密码更改 |
3268 | TCP | 全球目录搜索 |
注:
- 查询Linux计算机的防火墙规则iptables,执行如下命令:
iptables问
.- Citrix Hypervisor使用PBIS (PowerBroker Identity Services)对AD服务器中的AD用户进行认证,并对与AD服务器的通信进行加密。
Citrix Hypervisor如何管理集成AD的机器帐号密码?
与Windows客户端计算机类似,PBIS自动更新计算机帐户密码。PBIS每30天更新一次密码,或者根据AD服务器上的机器帐号密码更新策略进行更新。
开启池外部认证功能
使用Active Directory的外部认证可以通过XenCenter或CLI配置,使用以下命令。
xe pool-enable-external-auth auth-type=AD \ service-name=full-qualified-domain \ config:user=username \ config:pass=password
指定的用户必须具有添加/删除计算机对象或工作站
权限,这是域管理员的默认权限。
如果在Active Directory和Citrix Hypervisor服务器使用的网络上没有使用DHCP,请使用以下方法设置DNS:
设置您的域DNS后缀搜索顺序,以解析非fqdn条目:
Xe piif -param-set uuid=pif_uuid_in_the_dns_subnetwork \ "other-config:domain=suffix1.com suffix2.com suffix3.com"
配置要在Citrix Hypervisor服务器上使用的DNS服务器:
Xe pif- reconfiguration -ip mode=static dns=dnshost ip=ip \ gateway=gateway netmask=netmask uuid=uuid
手动设置管理接口使用与DNS服务器在同一网络上的PIF:
Xe host-management-reconfigure pif-uuid=pif_in_the_dns_subnetwork
注意:
外部身份验证是每个主机的属性。但是,我们建议您在每个池的基础上启用和禁用外部身份验证。每个池设置允许Citrix Hypervisor处理在特定主机上启用身份验证时发生的失败。Citrix Hypervisor还回滚可能需要的任何更改,确保整个池的配置一致。使用
host-param-list
命令,检查主机属性,并通过检查相关字段的值来判断外部认证的状态。
使用XenCenter禁用Active Directory身份验证,或执行以下xe命令:
xe pool-disable-external-auth < !——NeedCopy >
用户身份验证
要允许用户访问Citrix Hypervisor服务器,必须为该用户或用户所在的组添加主题。(传递组成员也以正常方式进行检查。例如,为组添加主题一个
,组一个
包含组B
而且用户1
是小组成员吗B
将允许进入用户1
)。如果要在Active Directory中管理用户权限,可以创建单个组,然后向其中添加和删除用户。或者,您可以根据您的身份验证需求,从Citrix Hypervisor中添加和删除单个用户,或者用户和组的组合。您可以从XenCenter或使用CLI管理主题列表,如下节所述。
在对用户进行身份验证时,首先根据本地根帐户检查凭证,允许您恢复AD服务器已故障的系统。如果凭据(用户名和密码)不匹配,则向AD服务器发出身份验证请求。如果身份验证成功,则检索用户的信息并根据本地主题列表进行验证。如果身份验证失败,则拒绝访问。如果用户的传递组成员关系中的用户或组在主题列表中,则针对主题列表的验证成功。
注意:
当使用Active Directory组为需要主机ssh访问的Pool Administrator用户授予访问权限时,AD组的大小不能超过500个用户。
在Citrix Hypervisor上添加AD主体。
Xe subject-add subject-name=entity_name
entity_name是要授予访问权的用户或组的名称。您可以包含实体的域(例如,' xendt\user1 '而不是' user1 '),尽管行为是相同的,除非需要消除歧义。
查找用户的主题标识符。标识符是用户或包含用户的组。删除一个组将删除对该组中所有用户的访问权,前提是这些用户没有在主题列表中指定。使用主题列表
命令查找用户的主题标识符。:
xe主题列表< !——NeedCopy >
这个命令返回所有用户的列表。
对列表应用筛选器,例如查找用户的主题标识符user1
在testad
域,使用以下命令:
Xe subject-list other-config:subject-name='testad\user1'
方法删除用户subject-remove
命令,传入你在上一步学到的主题标识符:
Xe subject-remove subject-uuid=subject_uuid
您可以结束此用户已通过身份验证的任何当前会话。有关更多信息,请参见使用xe终止所有已验证的会话而且使用xe终止单个用户会话在下一节中。如果不结束会话,被撤销权限的用户可能会继续访问系统,直到注销。
运行以下命令确定具有访问Citrix Hypervisor服务器或池权限的用户和组列表:
xe主题列表< !——NeedCopy >
删除用户的访问权限
当用户通过身份验证后,他们可以访问服务器,直到结束他们的会话,或者另一个用户结束他们的会话。从主题列表中删除用户,或从主题列表中的组中删除用户,不会自动撤销该用户拥有的任何已经过身份验证的会话。用户可以继续使用XenCenter或他们已经创建的其他API会话访问池。XenCenter和CLI提供了强制结束单个会话或所有活动会话的功能。看到XenCenter文档查看使用xenenter的过程的信息,或查看使用CLI的过程的下面部分。
使用xe终止所有经过身份验证的会话
执行以下CLI命令,使用xe结束所有已认证的会话:
xe session-subject-identifier-logout-all < !——NeedCopy >
使用xe终止单个用户会话
确定要注销其会话的主题标识符。使用
session-subject-identifier-list
或主题列表
Xe命令查找主题标识符。第一个命令显示有会话的用户。第二个命令显示所有用户,但可以进行过滤。例如,通过使用这样的命令xe主题列表的配置:主题名称= xendt \ \ user1
.您可能需要一个双反斜杠,这取决于您的shell)。使用
session-subject-logout
命令,将在上一步中确定的主题标识符作为参数传递,例如:Xe session-subject-identifier-logout subject-identifier=subject - _id
退出AD域
警告:
当您离开域时,使用Active Directory凭据向池或服务器进行身份验证的任何用户都将断开连接。
使用XenCenter退出AD域。有关更多信息,请参见XenCenter文档.交替运行pool-disable-external-auth
命令,如果需要,指定池的UUID。
注意:
退出域不会从AD数据库中删除主机对象。有关如何检测和删除禁用的主机条目的信息,请参阅Active Directory文档。